26.9（安全审计修复版）

Go 1.27.1 (Gin+GORM) + Vue 3 文件快传服务：

- 安全审计全部修复（docs/security-audit-2026-09-05.md）：
  bcrypt 密码哈希与自动升级、presign 直传服务端大小/内容校验、
  全局请求体上限、依赖升级（govulncheck 0 命中）、janitor 后台清理、
  管理端审计动作落库、/admin CORS 收紧、通知内容白名单净化、
  会话默认 7 天、限流缓存故障降级、robots.txt 端点等
- 前端：取件链接复制修复（不再重复拼接提取码）、markdown 净化器加固
- Redis 支持库号（FCB_REDIS_DB / redis://…/db URL）
- 文档：docs/api/* 与 openapi.yaml 同步最新行为（robots.txt、
  提码 5 位起、chunk 32MiB 上限、admin 审计动作等）

验证：gofmt/go vet/go test 全绿；二进制端到端冒烟通过

server/internal/response/response.go

@@ -0,0 +1,25 @@
+// Package response 提供统一响应封装：{"code":200,"msg":"...","data":...}。
+package response
+
+import (
+	"net/http"
+
+	"github.com/gin-gonic/gin"
+)
+
+// Body 统一响应体。
+type Body struct {
+	Code int    `json:"code"`
+	Msg  string `json:"msg"`
+	Data any    `json:"data,omitempty"`
+}
+
+// OK 成功响应（code=200）。
+func OK(c *gin.Context, data any) {
+	c.JSON(http.StatusOK, Body{Code: 200, Msg: "ok", Data: data})
+}
+
+// Fail 失败响应，httpStatus 与 code 语义一致（404 过期/不存在、403 拒绝、429 限流、500 服务端错误）。
+func Fail(c *gin.Context, httpStatus int, msg string) {
+	c.AbortWithStatusJSON(httpStatus, Body{Code: httpStatus, Msg: msg})
+}