26.9（安全审计修复版）

Go 1.27.1 (Gin+GORM) + Vue 3 文件快传服务：

- 安全审计全部修复（docs/security-audit-2026-09-05.md）：
  bcrypt 密码哈希与自动升级、presign 直传服务端大小/内容校验、
  全局请求体上限、依赖升级（govulncheck 0 命中）、janitor 后台清理、
  管理端审计动作落库、/admin CORS 收紧、通知内容白名单净化、
  会话默认 7 天、限流缓存故障降级、robots.txt 端点等
- 前端：取件链接复制修复（不再重复拼接提取码）、markdown 净化器加固
- Redis 支持库号（FCB_REDIS_DB / redis://…/db URL）
- 文档：docs/api/* 与 openapi.yaml 同步最新行为（robots.txt、
  提码 5 位起、chunk 32MiB 上限、admin 审计动作等）

验证：gofmt/go vet/go test 全绿；二进制端到端冒烟通过

web/src/vite-env.d.ts

@@ -0,0 +1,19 @@
+/// <reference types="vite/client" />
+
+interface ImportMetaEnv {
+  /** 后端 API 根地址，如 http://127.0.0.1:8466；默认为空 = 同源（embed 部署） */
+  readonly VITE_API_BASE?: string
+  /** 置 1 时 dev server 启用内置 mock（无需启动后端） */
+  readonly VITE_MOCK?: string
+  /** 路由模式，默认 history（后端 NoRoute 已做 SPA 回退）；后端无回退时设 'hash' */
+  readonly VITE_ROUTER_MODE?: 'history' | 'hash'
+}
+
+interface ImportMeta {
+  readonly env: ImportMetaEnv
+}
+
+declare module 'swagger-ui-dist/swagger-ui-es-bundle.js' {
+  const SwaggerUI: (options: Record<string, unknown>) => unknown
+  export default SwaggerUI
+}