管理员安全跳转

粘贴一次 admin token，后端校验后写入 HttpOnly cookie；跳转后的 URL 不再暴露 token。