不做完整账号体系，也能把这个工具保持为私有访问。

当前实现使用签名 session cookie 和 middleware 保护页面与接口。 这符合单用户工具的定位，也让生产环境的访问控制保持简单。