26.9（安全审计修复版）

Go 1.27.1 (Gin+GORM) + Vue 3 文件快传服务：

- 安全审计全部修复（docs/security-audit-2026-09-05.md）：
  bcrypt 密码哈希与自动升级、presign 直传服务端大小/内容校验、
  全局请求体上限、依赖升级（govulncheck 0 命中）、janitor 后台清理、
  管理端审计动作落库、/admin CORS 收紧、通知内容白名单净化、
  会话默认 7 天、限流缓存故障降级、robots.txt 端点等
- 前端：取件链接复制修复（不再重复拼接提取码）、markdown 净化器加固
- Redis 支持库号（FCB_REDIS_DB / redis://…/db URL）
- 文档：docs/api/* 与 openapi.yaml 同步最新行为（robots.txt、
  提码 5 位起、chunk 32MiB 上限、admin 审计动作等）

验证：gofmt/go vet/go test 全绿；二进制端到端冒烟通过

server/internal/cache/cache.go

@@ -0,0 +1,42 @@
+// Package cache 提供统一缓存接口：FCB_REDIS_ADDR 未配置时自动降级为进程内存实现，
+// 用于 IP 限流计数与热点配置缓存（需求 ② 的可选 Redis 增强）。
+package cache
+
+import (
+	"context"
+	"errors"
+	"time"
+)
+
+// ErrNotFound 表示键不存在。
+var ErrNotFound = errors.New("cache: key 不存在")
+
+// Cache 缓存统一接口。
+type Cache interface {
+	// Get 读取字符串值；键不存在返回 ErrNotFound。
+	Get(ctx context.Context, key string) (string, error)
+	// Set 写入字符串值，ttl<=0 表示不过期。
+	Set(ctx context.Context, key, value string, ttl time.Duration) error
+	// Delete 删除键。
+	Delete(ctx context.Context, keys ...string) error
+	// Exists 判断键是否存在。
+	Exists(ctx context.Context, key string) (bool, error)
+	// Incr 原子自增；键不存在时从 0 开始并设置 ttl 窗口（限流固定窗口用）。
+	Incr(ctx context.Context, key string, ttl time.Duration) (int64, error)
+	// Close 释放底层资源（Redis 连接；内存实现为空操作）。
+	Close() error
+}
+
+// RedisOptions Redis 连接参数（addr 为空 → 内存实现；db 为 FCB_REDIS_DB 库号）。
+type RedisOptions struct {
+	Addr string
+	DB   int // 逻辑库号 0-15（cluster 模式忽略）
+}
+
+// New 按配置构造缓存实现：redisAddr 为空 → 内存实现。
+func New(ctx context.Context, opt RedisOptions) (Cache, error) {
+	if opt.Addr == "" {
+		return NewMemory(), nil
+	}
+	return NewRedis(ctx, opt.Addr, opt.DB)
+}