26.9：直链下载 + 过期回收 + SHA512 去重 + 防盗链 + 媒体预览 + 文件夹上传提示

- 对象存储直链：S3 引擎 302 到限时预签名 URL（有效期钳位分享剩余时效），失败自动回落代理
- 过期回收：janitor 定时扫描 + 取件惰性回收 + 管理端手动触发（POST /admin/recycle/run），
  retention_days 最长存储时长；删除走引用计数（去重对象安全）
- SHA512 内容去重：三条上传链路落库后计算哈希，命中即复用旧对象并删除本次副本
- 下载防盗链：Referer 白名单（同源/空 Referer/通配域名放行），挂 /share/download
- 取件页图片/音频内联预览（下载地址直连，加载失败回退下载按钮）
- 文件夹上传：拖拽目录明确提示"建议压缩后上传"（webkitGetAsEntry 探测）
- 管理端设置卡「回收与下载安全」8 个新配置键（KVSchema + configKeys + UI + i18n）
- 前端产物重建并同步 server/web/dist 与 web-embed
- 文档：10-config 配置表、03-file-share 直链/防盗链/文件夹章节、07-admin 回收端点、openapi

server/internal/config/config.go

@@ -67,6 +67,15 @@ func defaults() map[string]any {
 		"site_domain":    "",
 		"upload_rate":    "0",
 		"download_rate":  "0",
+		// 26.9 回收与下载安全
+		"recycle_enabled":    1,
+		"recycle_interval":   1800,
+		"retention_days":     0,
+		"dedup_enabled":      1,
+		"hotlink_enabled":    0,
+		"hotlink_whitelist":  "",
+		"direct_download":    1,
+		"direct_link_expire": 900,
 		// 站点信息
 		"name":           "文件快传",
 		"site_name":      "文件快传", // 新增：管理端可自定义
@@ -298,6 +307,70 @@ func (c *Config) DownloadRate() int {
 	return v
 }
 
+// —— 26.9 回收与下载安全 ——
+
+// RecycleEnabled 过期自动回收开关。
+func (c *Config) RecycleEnabled() bool { return c.GetInt(KeyRecycleEnabled) == 1 }
+
+// RecycleInterval 回收扫描间隔（秒，钳位 60~86400）。
+func (c *Config) RecycleInterval() int64 {
+	v := c.GetInt64(KeyRecycleInterval)
+	if v < RecycleIntervalMin {
+		return RecycleIntervalMin
+	}
+	if v > RecycleIntervalMax {
+		return RecycleIntervalMax
+	}
+	return v
+}
+
+// RetentionDays 全局最长存储时长（天，0=不限制）。
+func (c *Config) RetentionDays() int64 {
+	v := c.GetInt64(KeyRetentionDays)
+	if v < 0 {
+		return 0
+	}
+	return v
+}
+
+// DedupEnabled SHA512 内容去重开关。
+func (c *Config) DedupEnabled() bool { return c.GetInt(KeyDedupEnabled) == 1 }
+
+// HotlinkEnabled 下载防盗链开关。
+func (c *Config) HotlinkEnabled() bool { return c.GetInt(KeyHotlinkEnabled) == 1 }
+
+// HotlinkWhitelist 防盗链 Referer 白名单（逗号分隔域名，返回小写去空白切片）。
+func (c *Config) HotlinkWhitelist() []string {
+	raw := c.GetString(KeyHotlinkWhitelist)
+	if strings.TrimSpace(raw) == "" {
+		return nil
+	}
+	parts := strings.Split(raw, ",")
+	out := make([]string, 0, len(parts))
+	for _, p := range parts {
+		p = strings.ToLower(strings.TrimSpace(p))
+		if p != "" {
+			out = append(out, p)
+		}
+	}
+	return out
+}
+
+// DirectDownload 对象存储直链下载开关。
+func (c *Config) DirectDownload() bool { return c.GetInt(KeyDirectDownload) == 1 }
+
+// DirectLinkExpire 直链有效期（秒，钳位 60~3600）。
+func (c *Config) DirectLinkExpire() int64 {
+	v := c.GetInt64(KeyDirectLinkExpire)
+	if v < DirectLinkExpireMin {
+		return DirectLinkExpireMin
+	}
+	if v > DirectLinkExpireMax {
+		return DirectLinkExpireMax
+	}
+	return v
+}
+
 // SiteDomain 站点对外域名（26.9）：空=分享链接用当前访问地址。
 func (c *Config) SiteDomain() string {
 	return strings.TrimRight(strings.TrimSpace(c.GetString("site_domain")), "/")

server/internal/config/schema.go

@@ -35,6 +35,15 @@ const (
 	KeySiteDomain    = "site_domain"    // 站点对外域名（空=分享链接用当前地址）
 	KeyUploadRate    = "upload_rate"    // 上传带宽字节/秒（0=不限速）
 	KeyDownloadRate  = "download_rate"  // 下载带宽字节/秒（0=不限速）
+	// —— 26.9 回收与下载安全 ——
+	KeyRecycleEnabled   = "recycle_enabled"    // 过期分享自动回收开关（1 开 / 0 关）
+	KeyRecycleInterval  = "recycle_interval"   // 回收扫描间隔（秒，60~86400）
+	KeyRetentionDays    = "retention_days"     // 全局最长存储时长（天，0=不限制）
+	KeyDedupEnabled     = "dedup_enabled"      // SHA512 内容去重开关
+	KeyHotlinkEnabled   = "hotlink_enabled"    // 下载防盗链开关
+	KeyHotlinkWhitelist = "hotlink_whitelist"  // 防盗链 Referer 白名单（逗号分隔域名）
+	KeyDirectDownload   = "direct_download"    // 对象存储直链下载开关（仅 S3 引擎生效）
+	KeyDirectLinkExpire = "direct_link_expire" // 直链有效期（秒，60~3600）
 )
 
 // —— 取值边界（管理端保存与 API 校验用）——
@@ -54,6 +63,16 @@ const (
 	// 通知标题/内容最大长度。
 	NotifyTitleMaxLen   = 128
 	NotifyContentMaxLen = 2000
+	// 回收扫描间隔边界（秒）：最快 1 分钟一轮，最慢 1 天一轮。
+	RecycleIntervalMin = 60
+	RecycleIntervalMax = 86400
+	// 全局存储时长上限（天）：0=不限制，最长 10 年。
+	RetentionDaysMax = 3650
+	// 防盗链白名单最大长度。
+	HotlinkWhitelistMaxLen = 2048
+	// 直链有效期边界（秒）。
+	DirectLinkExpireMin = 60
+	DirectLinkExpireMax = 3600
 )
 
 // KVSchemaEntry 配置键元数据：类型 / 默认值 / 说明，供管理端 UI 与文档生成。
@@ -97,5 +116,14 @@ func KVSchema() []KVSchemaEntry {
 		{KeySiteDomain, "string", "", 0, 256, "站点对外域名（http(s)://host[:port]，不带路径；空=分享链接用当前访问地址）"},
 		{KeyUploadRate, "int64", "0", 0, 1073741824, "上传带宽字节/秒（0=不限速；范围 0~1 GiB/s）"},
 		{KeyDownloadRate, "int64", "0", 0, 1073741824, "下载带宽字节/秒（0=不限速；范围 0~1 GiB/s）"},
+		// —— 26.9 回收与下载安全 ——
+		{KeyRecycleEnabled, "int", 1, 0, 1, "过期分享自动回收开关：1 定时清理过期记录与存储对象 / 0 关闭"},
+		{KeyRecycleInterval, "int64", int64(1800), RecycleIntervalMin, RecycleIntervalMax, "回收扫描间隔（秒；范围 60~86400，默认 30 分钟）"},
+		{KeyRetentionDays, "int64", int64(0), 0, RetentionDaysMax, "全局最长存储时长（天）：上传超过该天数的分享将被回收，0=不限制"},
+		{KeyDedupEnabled, "int", 1, 0, 1, "SHA512 内容去重：相同文件仅存储一份（多分享引用同一对象）"},
+		{KeyHotlinkEnabled, "int", 0, 0, 1, "下载防盗链：校验 Referer 白名单（空 Referer 放行）"},
+		{KeyHotlinkWhitelist, "string", "", 0, HotlinkWhitelistMaxLen, "防盗链白名单：逗号分隔域名（如 a.com,b.org；空=仅本站域名）"},
+		{KeyDirectDownload, "int", 1, 0, 1, "对象存储直链下载：S3 引擎时 302 跳转到限时预签名 URL（不走服务器代理）"},
+		{KeyDirectLinkExpire, "int64", int64(900), DirectLinkExpireMin, DirectLinkExpireMax, "直链有效期（秒；范围 60~3600，默认 15 分钟；不超过分享剩余时效）"},
 	}
 }