Add fumadocs developer documentation with unified theme system (#10)

Integrate fumadocs (fumadocs-core, fumadocs-mdx, fumadocs-ui) into the admin
TanStack Start app for developer-facing module docs. Write comprehensive
documentation for all modules: authentication, check-in, exchange, item, and
TypeScript SDK.

Unify theme management around next-themes (via fumadocs RootProvider):
- Replace custom DOM-based ThemeToggle with next-themes useTheme() hook
- Align CSS dark mode selectors to .dark class (was [data-theme="dark"])
- Add blocking head script for FOUC prevention
- Fix prose dark mode contrast with fumadocs fd-* variable overrides
- Fix shiki code block color collision in dark mode

Co-authored-by: Claude Opus 4.6 <noreply@anthropic.com>

Author: dengzhaofun

.gitignore

@@ -40,3 +40,6 @@ yarn-error.log*
 # Cloudflare
 .dev.vars
 .wrangler
+
+# Fumadocs MDX (auto-generated)
+.source

apps/admin/content/docs/authentication.mdx

@@ -0,0 +1,191 @@
+---
+title: 认证与凭证
+description: 管理端认证、API 密钥、客户端凭证与 HMAC 身份验证
+---
+
+ApolloKit 有两套认证体系：**管理端认证**（面向 SaaS 运营方）和**客户端凭证**（面向终端用户请求）。
+
+## 管理端认证
+
+### Session 认证
+
+管理端 Web 控制台使用 Better Auth 的 Session Cookie 认证。登录后请求自动携带 `Cookie: auth-token=...`。
+
+Session 中包含 `activeOrganizationId`，所有业务操作自动限定在当前组织范围内。
+
+### Admin API Key
+
+组织可以生成 Admin API Key（前缀 `ak_`）用于程序化访问管理端 API。
+
+```http
+GET /api/check-in/configs
+Authorization: Bearer ak_your_api_key_here
+```
+
+Admin API Key 拥有与 Session 认证等同的权限，适用于 CI/CD、脚本、后端服务对接等场景。
+
+---
+
+## 客户端凭证 (Client Credentials)
+
+客户端凭证用于终端用户请求（如签到、兑换、查询背包等）。每对凭证包含：
+
+- **Publishable Key** (`cpk_*`): 可公开的标识符，放在请求头 `x-api-key` 中
+- **Secret** (`csk_*`): 仅在创建/轮换时返回一次，用于计算 HMAC
+
+### 认证流程
+
+所有客户端 API（`/api/client/*`）需要：
+
+```http
+POST /api/client/check-in/check-ins
+x-api-key: cpk_your_publishable_key
+Content-Type: application/json
+
+{
+  "configKey": "daily_login",
+  "endUserId": "user-42",
+  "userHash": "hmac_sha256_hex_string"
+}
+```
+
+### HMAC 身份验证
+
+为防止终端用户伪造身份，客户端请求需携带 HMAC 签名：
+
+```
+userHash = HMAC-SHA256(endUserId, secret)
+```
+
+- **POST 请求**: `userHash` 放在请求体中
+- **GET 请求**: `x-user-hash` 放在请求头中
+
+```http
+GET /api/client/item/users/user-42/inventory
+x-api-key: cpk_your_publishable_key
+x-user-hash: a1b2c3d4e5f6...
+```
+
+### 开发模式 (Dev Mode)
+
+凭证开启 `devMode` 后跳过 HMAC 验证，方便本地开发调试。**生产环境务必关闭。**
+
+---
+
+## 凭证管理 API
+
+### 创建凭证
+
+```http
+POST /api/client-credentials/
+Authorization: Bearer ak_...
+Content-Type: application/json
+
+{
+  "name": "Production Keys",
+  "expiresAt": "2027-01-01T00:00:00.000Z",
+  "metadata": {}
+}
+```
+
+**响应** (201):
+
+```json
+{
+  "id": "uuid",
+  "name": "Production Keys",
+  "publishableKey": "cpk_abc123...",
+  "secret": "csk_xyz789...",
+  "devMode": false,
+  "enabled": true,
+  "expiresAt": "2027-01-01T00:00:00.000Z",
+  "createdAt": "2026-01-01T00:00:00.000Z"
+}
+```
+
+> **Secret 仅在创建时返回一次**，请妥善保存。
+
+### 列出凭证
+
+```http
+GET /api/client-credentials/
+```
+
+响应中不包含 Secret。
+
+### 轮换密钥
+
+```http
+POST /api/client-credentials/{id}/rotate
+```
+
+生成新的 `publishableKey` 和 `secret`，旧密钥立即失效。
+
+### 吊销凭证
+
+```http
+POST /api/client-credentials/{id}/revoke
+```
+
+软吊销，将 `enabled` 设为 `false`。使用该密钥的请求将返回 401。
+
+### 切换开发模式
+
+```http
+PATCH /api/client-credentials/{id}/dev-mode
+Content-Type: application/json
+
+{
+  "devMode": true
+}
+```
+
+### 删除凭证
+
+```http
+DELETE /api/client-credentials/{id}
+```
+
+永久删除，不可恢复。
+
+---
+
+## HMAC 计算示例
+
+### Node.js
+
+```typescript
+import { createHmac } from 'crypto';
+
+const secret = 'csk_your_secret';
+const endUserId = 'user-42';
+const userHash = createHmac('sha256', secret)
+  .update(endUserId)
+  .digest('hex');
+```
+
+### Python
+
+```python
+import hmac, hashlib
+
+secret = b'csk_your_secret'
+end_user_id = b'user-42'
+user_hash = hmac.new(secret, end_user_id, hashlib.sha256).hexdigest()
+```
+
+### Go
+
+```go
+import (
+    "crypto/hmac"
+    "crypto/sha256"
+    "encoding/hex"
+)
+
+func computeHash(secret, endUserId string) string {
+    mac := hmac.New(sha256.New, []byte(secret))
+    mac.Write([]byte(endUserId))
+    return hex.EncodeToString(mac.Sum(nil))
+}
+```