26.9（安全审计修复版）

Go 1.27.1 (Gin+GORM) + Vue 3 文件快传服务：

- 安全审计全部修复（docs/security-audit-2026-09-05.md）：
  bcrypt 密码哈希与自动升级、presign 直传服务端大小/内容校验、
  全局请求体上限、依赖升级（govulncheck 0 命中）、janitor 后台清理、
  管理端审计动作落库、/admin CORS 收紧、通知内容白名单净化、
  会话默认 7 天、限流缓存故障降级、robots.txt 端点等
- 前端：取件链接复制修复（不再重复拼接提取码）、markdown 净化器加固
- Redis 支持库号（FCB_REDIS_DB / redis://…/db URL）
- 文档：docs/api/* 与 openapi.yaml 同步最新行为（robots.txt、
  提码 5 位起、chunk 32MiB 上限、admin 审计动作等）

验证：gofmt/go vet/go test 全绿；二进制端到端冒烟通过

server/internal/api/web.go

@@ -0,0 +1,75 @@
+package api
+
+import (
+	"io/fs"
+	"net/http"
+	"path"
+	"strings"
+
+	"github.com/gin-gonic/gin"
+
+	"filecodebox/internal/response"
+	web "filecodebox/web"
+)
+
+// registerWeb 注册前端静态资源与 SPA 回退（必须最后注册）：
+//   - 静态资源命中 web/dist 内文件则直接服务（带 Immutable 缓存，html 不缓存）；
+//   - 未命中且为 GET/HEAD 且非 /api 前缀：回退 index.html（前端 history 路由
+//     /s/:code、/admin/*、/docs、/openapi 由 SPA 接管）；
+//   - /api/* 未命中路由：JSON 404（避免调试时拿到 HTML 掩盖真实错误）。
+func registerWeb(r *gin.Engine, d *Deps) {
+	dist, err := web.Dist()
+	if err != nil {
+		return // 嵌入异常时跳过（API 仍可用）
+	}
+	fileServer := http.StripPrefix("/", http.FileServer(http.FS(dist)))
+	indexHTML := readIndexHTML(dist)
+
+	r.NoRoute(func(c *gin.Context) {
+		p := c.Request.URL.Path
+		// 1. API 未命中：JSON 404
+		if strings.HasPrefix(p, "/api/") || p == "/api" {
+			response.Fail(c, http.StatusNotFound, "接口不存在")
+			return
+		}
+		// 2. 静态资源命中：直接服务
+		if p != "/" {
+			clean := strings.TrimPrefix(path.Clean(p), "/")
+			if clean != "" {
+				if f, err := dist.Open(clean); err == nil {
+					_ = f.Close()
+					fileServer.ServeHTTP(c.Writer, c.Request)
+					return
+				}
+			}
+		}
+		// 3. SPA 回退：仅 GET/HEAD 且接受 HTML
+		if c.Request.Method == http.MethodGet || c.Request.Method == http.MethodHead {
+			accept := c.GetHeader("Accept")
+			if accept == "" || strings.Contains(accept, "text/html") || strings.Contains(accept, "*/*") {
+				if indexHTML != nil {
+					c.Data(http.StatusOK, "text/html; charset=utf-8", indexHTML)
+					return
+				}
+			}
+			// 非 HTML 请求未命中：普通 404
+			c.Status(http.StatusNotFound)
+			return
+		}
+		c.Status(http.StatusNotFound)
+	})
+}
+
+// readIndexHTML 读取嵌入的 index.html（SPA 回退用）。
+func readIndexHTML(dist fs.FS) []byte {
+	f, err := dist.Open("index.html")
+	if err != nil {
+		return nil
+	}
+	defer func() { _ = f.Close() }()
+	data, err := fs.ReadFile(dist, "index.html")
+	if err != nil {
+		return nil
+	}
+	return data
+}