26.9（安全审计修复版）

Go 1.27.1 (Gin+GORM) + Vue 3 文件快传服务：

- 安全审计全部修复（docs/security-audit-2026-09-05.md）：
  bcrypt 密码哈希与自动升级、presign 直传服务端大小/内容校验、
  全局请求体上限、依赖升级（govulncheck 0 命中）、janitor 后台清理、
  管理端审计动作落库、/admin CORS 收紧、通知内容白名单净化、
  会话默认 7 天、限流缓存故障降级、robots.txt 端点等
- 前端：取件链接复制修复（不再重复拼接提取码）、markdown 净化器加固
- Redis 支持库号（FCB_REDIS_DB / redis://…/db URL）
- 文档：docs/api/* 与 openapi.yaml 同步最新行为（robots.txt、
  提码 5 位起、chunk 32MiB 上限、admin 审计动作等）

验证：gofmt/go vet/go test 全绿；二进制端到端冒烟通过

web/src/components/ToastHost.vue

@@ -0,0 +1,21 @@
+<script setup lang="ts">
+import { useToastStore } from '@/stores/toast'
+
+const toast = useToastStore()
+</script>
+
+<template>
+  <div class="toast-host" aria-live="polite">
+    <div
+      v-for="t in toast.items"
+      :key="t.id"
+      class="toast"
+      :class="`toast-${t.type}`"
+      role="status"
+      @click="toast.dismiss(t.id)"
+    >
+      <span class="toast-icon" aria-hidden="true">{{ t.type === 'success' ? '✅' : t.type === 'error' ? '⚠️' : 'ℹ️' }}</span>
+      <span>{{ t.text }}</span>
+    </div>
+  </div>
+</template>