feat: add initial frontend setup with styles, types, and testing framework

- Created a global CSS file for styling the frontend with responsive design.
- Introduced TypeScript types for various entities including Research, Alpha, and Account.
- Implemented Playwright tests for account management and data synchronization workflows.
- Configured TypeScript with strict settings and included necessary libraries.
- Set up Vite as the build tool with React plugin and API proxy configuration.
- Added a Python script to initialize environment variables securely.

docs/project-plan.md

@@ -0,0 +1,67 @@
+# WorldQuant Alpha 研究系统
+
+确认日期：2026-09-07。项目位于 `wq-alpha-system`，面向个人单个 WorldQuant 账户。
+
+## 已确认范围
+
+- 首期：个人信息与会话、Alpha 列表与详情、本地研究记录、可靠同步、Docker 部署。
+- Python + React + TypeScript + Semi Design，前后端分别位于 backend/ 和 frontend/，独立依赖与测试。
+- PostgreSQL 存储数据，FastAPI 提供 OpenAPI 契约，HTTPX 统一异步调用 WorldQuant。
+- React 19 使用 @douyinfe/semi-ui-19。Caddy 提供静态资源、API 代理与公网 HTTPS。
+- 根目录包含两套完整 Compose、Dockerfile、Caddyfile、环境模板和部署说明。
+- 从 WorldQuant 重新建立数据，不迁移旧库，不承担旧系统的兼容或维护。
+- 平台数据只读；不回测、不触发检查、不修改平台属性、不正式提交。
+
+## 首期产品能力
+
+### 个人信息
+
+系统登录与平台连接分开。单管理员，无开放注册；部署时设置初始密码，服务端哈希保存，HttpOnly Cookie 管理会话。
+在个人页配置平台邮箱及密码，连接、重新连接、人工验证、断开与刷新资料。
+平台凭据加密存储，解密密钥独立配置，不在前端持久化，也不进入日志或响应。
+展示平台 ID、昵称、邮箱、身份与权限（以返回字段为准）、连接状态、最后同步时间。
+提供本地显示名称、主题、时区和分页偏好，默认中文、浅色、Asia/Shanghai、25 条/页。
+缺失资料显示“未提供”，不得虚构数据。
+
+### Alpha 管理
+
+- 主界面为侧栏、筛选区、可排序分页表格、列显隐、多选、详情抽屉；任务进度在独立面板查看。
+- 全量同步已提交/未提交、隐藏/可见 Alpha；指定 ID 导入及选中刷新；仅手动触发。
+- 筛选 ID/名称/表达式、地区、Universe、类型、语言、平台状态、隐藏、日期、核心指标、本地标签/状态/收藏。
+- 展示 REGULAR/SUPER、FASTEXPR/PYTHON、Selection/Combo、完整 settings、IS/OS、已有 checks。
+- PnL 按需获取、缓存、曲线展示、刷新；可打开 BRAIN 原页面。
+- 本地备注、标签、收藏与研究状态单独保存，同步不能覆盖。研究状态：inbox/candidate/optimizing/archived。
+- 批量加减标签及改研究状态；CSV 按当前筛选与排序导出全部结果，不限制为 500 条。
+- 指标缺失保留 null，不伪装成零；本地研究状态与平台状态、检查结果分开。
+
+## 模块与接口
+
+模块为账户、Alpha、同步任务、WorldQuant 集成。所有上游认证、会话、分页和退避集中封装。
+页面读取本地数据库。`/api/v1/auth` 管理登录，`/account` 管理配置与资料，`/alphas` 管理查询及研究记录，`/alphas/{id}/pnl` 读取缓存，`/sync-jobs` 创建、查询、取消和重试任务。
+长任务返回 job ID；前端轮询。首期单后端进程运行异步任务，任务及分页检查点持久化。
+每页原子落库、按 Alpha ID 更新、失败重试及重启恢复；429 遵守 Retry-After，其余暂时性错误有界退避。
+原始业务响应与结构化摘要分别保存，不存认证敏感字段。上游数据移动可能影响 offset 分页，通过 ID 去重及再次全量同步校正，不因一次未查到就删除本地记录。
+
+## 路线图
+
+| 阶段 | 能力 | 依据 |
+| --- | --- | --- |
+| 一 | 账户、列表、研究记录、同步、部署 | 本文件首期范围 |
+| 二 | 数据集/字段/算子、模板、批次队列、AST 校验、实验去重、暂停恢复 | 旧系统采样→密度→深度回测，以及 [回测台账](https://mail.google.com/mail/#all/19ea68a7dde5ceaa) |
+| 三 | PnL 稳定性、比较、相关性、稳健性、跨区变体、Super Alpha 组合 | 旧系统有效分析能力 |
+| 四 | 假设与实验记录、CLI/MCP、论坛检索、模型接入、预算及停止条件 | [决策摘要](https://mail.google.com/mail/#all/19fc16ce3f17311c)、[可复盘流程](https://mail.google.com/mail/#all/1a00ee69df671d4c) |
+| 后续 | 平台回写、检查、提交、顾问表现 | 另行确认业务范围 |
+
+AI 复用系统接口，不直接写数据库，模型可替换。论坛效果与阈值必须验证后才可成为规则。首期不提前建设后续空模块。
+
+## 验收
+
+1. 登录成功/失败、退出、越权防护；凭据不泄露，公网 HTTPS。
+2. 平台连接、过期、人工验证、拒绝及网络错误。
+3. 多页、重复、更新、429、部分失败、取消与重启恢复；同步保留本地研究记录。
+4. 各 Alpha/语言类型、缺失指标和不同 PnL schema。
+5. 筛选、分页、排序、批量编辑和超 500 条 CSV 导出一致。
+6. Docker 空环境启动、重建持久化、备份恢复。
+7. 模拟上游自动化测试后，使用真实账户只读联调；未验证部分如实记录。
+
+完成标准：空部署后连接个人账户、同步 Alpha、查询和查看详情、维护本地研究记录，重启与再次同步后数据仍然可靠。

docs/verification.md

@@ -0,0 +1,56 @@
+# 首期验收记录
+
+日期：2026-09-07。验证范围为本地实现、模拟 WorldQuant 上游、实际 PostgreSQL/Docker。未访问真实 WorldQuant 账户，没有调用平台回测、检查、属性修改或提交接口。
+
+## 自动化与运行实测
+
+| 检查 | 结果与证据 |
+| --- | --- |
+| 后端静态检查 | `uv run ruff check app tests` 通过 |
+| 后端自动化测试 | `uv run pytest -q`：31 项通过 |
+| 前端类型与生产构建 | `pnpm build` 通过；React 19.2.8、Semi UI 19 2.103.0，含 React 19 adapter |
+| 浏览器验收 | `pnpm test`：2 项端到端测试通过，使用 620 条合成记录 |
+| 空库部署与迁移 | Docker `web + backend + db` 从新卷启动成功，`alembic upgrade head` 成功 |
+| 迁移与模型一致性 | PostgreSQL 上 `alembic check` 返回 `No new upgrade operations detected` |
+| 持久化 | 强制替换三个容器后，服务端登录会话、Alpha、备注、标签与研究状态保留 |
+| 备份恢复 | `pg_dump -Fc` 备份恢复到独立数据库，研究记录内容一致 |
+| 数据库中断 | 后端不重启，单独停止/启动 PostgreSQL 后仍能消费新任务 |
+| 公网配置 | 独立 Compose 正确配置 HTTPS Origin、Secure Cookie；db/backend 无宿主机端口；Caddy 配置校验通过 |
+| 本机隔离 | Web 仅绑定 `127.0.0.1:8080`，数据库与后端只有容器网络端口 |
+
+Docker 运行检查脚本为 `backend/tests/docker_acceptance.py`，仅允许操作独立 `wq-alpha-acceptance*` 项目。测试容器与测试卷已清理；合成数据不进入正式本机实例。
+
+正式本机项目 `wq-alpha` 已启动于 `http://localhost:8080`，空库登录/退出、迁移一致性和健康检查通过；Alpha 与任务表初始均为 0，WorldQuant 尚未配置。初始凭据保存在权限为 `0600` 的项目 `.env` 中。
+
+## 已覆盖行为
+
+- 系统正确/错误登录、速率限制、未授权访问、退出失效、Cookie 到期、HttpOnly/SameSite/Secure、请求来源校验。
+- WorldQuant 密码密文保存、不返回认证信息；嵌套 raw 业务数据过滤常见 token/cookie/secret 字段。
+- 平台认证、Cookie 失效后共享重新认证、人工验证保留同一挑战会话、拒绝访问、网络错误、429/5xx、Retry-After 与数据准备等待。
+- 多页同步、重叠 ID 去重、已有指标更新、每页检查点、部分失败/重试、取消、断开暂停、进程恢复及数据库恢复。
+- 平台快照更新后，本地备注、标签、收藏、研究状态不变。固定状态与平台状态分别展示。
+- REGULAR/SUPER、FASTEXPR/PYTHON、Selection/Combo、完整 settings、IS/OS、已有检查结果、缺失指标为 null。
+- 不同 PnL 列顺序、对象型 schema、对象记录、毫秒时间戳、空值保留、未知 schema 报错；浏览器实际获取并绘制缓存曲线。
+- 筛选、排序、分页与导出共用查询逻辑；后端筛选导出 599 条、浏览器下载 620 条，均不受列表页大小限制；CSV 文本公式转义。
+- 批量标签、列显隐、固定列、分页、个人偏好保存与页面刷新保留；同步后台更新不会覆盖详情里尚未保存的备注。
+- OpenAPI 记录 Cookie 鉴权和响应类型，包括错误、CSV、任务与 PnL。
+
+## 页面核验
+
+通过浏览器实际检查登录页、Alpha 列表、详情/PnL、个人信息页。截图在忽略目录 `output/playwright/`，截图中的 `TEST` Alpha、测试邮箱和统计数均为合成数据。生产 Web 使用 Caddy 提供构建后的静态文件。
+
+构建仍有 Semi 间接依赖 `lottie-web` 的 `eval` 提示，构建成功；当前页面不使用该表达式动画能力，未放宽生产 CSP 的 `script-src`。端到端测试未发现 JavaScript 运行异常。
+
+## 待真实环境验证
+
+这些项目需要用户自己的账户或域名，尚未取得实测证据：
+
+1. 当前 WorldQuant 账户的实际认证、人工验证页面及权限限制。
+2. 真实账户的完整 Alpha 分页、实际 REGULAR/SUPER/PYTHON 字段和 PnL schema。
+3. 真实域名的 DNS、ACME 证书签发/续期和公网 HTTPS 访问。
+
+只读联调步骤：在正式本机页面登录并配置 WorldQuant，连接成功后先刷新个人资料、导入一个已知 Alpha ID、获取其 PnL，再执行全量同步。对一条记录保存本地备注后再次刷新，并重启后检查记录和任务。未完成上述步骤前，不把模拟测试结论视为真实平台兼容性保证。
+
+## 已知架构边界
+
+首期只有一个任务执行进程。长 Retry-After 会让后续任务排队，任务面板显示下次尝试时间并支持取消；不会为了缩短等待而提前请求平台。offset 分页遇到平台记录移动时可能遗漏，后续全量同步校正，单次未见记录不自动删除。数据库保存原始业务快照，后续研究、回测和 MCP 能力尚未实现。