26.9（安全审计修复版）

Go 1.27.1 (Gin+GORM) + Vue 3 文件快传服务：

- 安全审计全部修复（docs/security-audit-2026-09-05.md）：
  bcrypt 密码哈希与自动升级、presign 直传服务端大小/内容校验、
  全局请求体上限、依赖升级（govulncheck 0 命中）、janitor 后台清理、
  管理端审计动作落库、/admin CORS 收紧、通知内容白名单净化、
  会话默认 7 天、限流缓存故障降级、robots.txt 端点等
- 前端：取件链接复制修复（不再重复拼接提取码）、markdown 净化器加固
- Redis 支持库号（FCB_REDIS_DB / redis://…/db URL）
- 文档：docs/api/* 与 openapi.yaml 同步最新行为（robots.txt、
  提码 5 位起、chunk 32MiB 上限、admin 审计动作等）

验证：gofmt/go vet/go test 全绿；二进制端到端冒烟通过

server/internal/storage/factory.go

@@ -0,0 +1,26 @@
+package storage
+
+import (
+	"context"
+	"fmt"
+)
+
+// Factory 按配置构造存储引擎。由 go-storage 提供 New* 实现后接入。
+// 这里提供注册表模式：各引擎实现注册自己的构造函数，main.go 按名称选择。
+type Factory func(ctx context.Context) (Storage, error)
+
+var registry = map[string]Factory{}
+
+// RegisterEngine 注册引擎构造函数（init 时调用，名称：local|s3|webdav）。
+func RegisterEngine(name string, f Factory) {
+	registry[name] = f
+}
+
+// NewEngine 按名称构造引擎。
+func NewEngine(ctx context.Context, name string) (Storage, error) {
+	f, ok := registry[name]
+	if !ok {
+		return nil, fmt.Errorf("storage: 未知存储引擎 %q（仅支持 local|s3|webdav）", name)
+	}
+	return f(ctx)
+}