26.9（安全审计修复版）

Go 1.27.1 (Gin+GORM) + Vue 3 文件快传服务：

- 安全审计全部修复（docs/security-audit-2026-09-05.md）：
  bcrypt 密码哈希与自动升级、presign 直传服务端大小/内容校验、
  全局请求体上限、依赖升级（govulncheck 0 命中）、janitor 后台清理、
  管理端审计动作落库、/admin CORS 收紧、通知内容白名单净化、
  会话默认 7 天、限流缓存故障降级、robots.txt 端点等
- 前端：取件链接复制修复（不再重复拼接提取码）、markdown 净化器加固
- Redis 支持库号（FCB_REDIS_DB / redis://…/db URL）
- 文档：docs/api/* 与 openapi.yaml 同步最新行为（robots.txt、
  提码 5 位起、chunk 32MiB 上限、admin 审计动作等）

验证：gofmt/go vet/go test 全绿；二进制端到端冒烟通过

server/internal/settings/password_test.go

@@ -0,0 +1,38 @@
+package settings
+
+import "testing"
+
+func TestHashPasswordRoundTrip(t *testing.T) {
+	h := HashPassword("s3cret-密码")
+	if !IsPasswordHashed(h) {
+		t.Fatalf("哈希格式不对: %s", h)
+	}
+	if !VerifyPassword("s3cret-密码", h) {
+		t.Fatal("正确密码校验失败")
+	}
+	if VerifyPassword("wrong", h) {
+		t.Fatal("错误密码竟通过校验")
+	}
+	if h == HashPassword("s3cret-密码") {
+		t.Fatal("盐值未随机化")
+	}
+}
+
+func TestVerifyLegacyPlaintext(t *testing.T) {
+	if !VerifyPassword("FileCodeBox2023", "FileCodeBox2023") {
+		t.Fatal("旧版明文兼容校验失败")
+	}
+	if VerifyPassword("nope", "FileCodeBox2023") {
+		t.Fatal("明文比较不应放行其他密码")
+	}
+}
+
+func TestGenerateJWTSecretLength(t *testing.T) {
+	s := GenerateJWTSecret()
+	if len(s) < 32 {
+		t.Fatalf("密钥太短: %d", len(s))
+	}
+	if s == GenerateJWTSecret() {
+		t.Fatal("密钥未随机化")
+	}
+}