26.9（安全审计修复版）

Go 1.27.1 (Gin+GORM) + Vue 3 文件快传服务：

- 安全审计全部修复（docs/security-audit-2026-09-05.md）：
  bcrypt 密码哈希与自动升级、presign 直传服务端大小/内容校验、
  全局请求体上限、依赖升级（govulncheck 0 命中）、janitor 后台清理、
  管理端审计动作落库、/admin CORS 收紧、通知内容白名单净化、
  会话默认 7 天、限流缓存故障降级、robots.txt 端点等
- 前端：取件链接复制修复（不再重复拼接提取码）、markdown 净化器加固
- Redis 支持库号（FCB_REDIS_DB / redis://…/db URL）
- 文档：docs/api/* 与 openapi.yaml 同步最新行为（robots.txt、
  提码 5 位起、chunk 32MiB 上限、admin 审计动作等）

验证：gofmt/go vet/go test 全绿；二进制端到端冒烟通过

web/vite.config.ts

@@ -0,0 +1,56 @@
+import { fileURLToPath, URL } from 'node:url'
+import { defineConfig } from 'vite'
+import vue from '@vitejs/plugin-vue'
+
+// https://vite.dev/config/
+export default defineConfig({
+  // go:embed + NoRoute SPA 回退（go-api 已实现）：history 路由用绝对资源路径
+  base: '/',
+  plugins: [vue()],
+  resolve: {
+    alias: {
+      '@': fileURLToPath(new URL('./src', import.meta.url)),
+    },
+  },
+  // 站内文档（docs/api/*.md、docs/openapi.yaml）位于 web/ 之外，dev server 允许访问
+  server: {
+    fs: {
+      allow: ['.', '..'],
+    },
+    // 业务 API 在根路径（/share /chunk /presign /admin，最终版契约），公共接口在 /api/v1。
+    // /admin 与前端 SPA 路由前缀重叠：GET 且 Accept 含 text/html（浏览器导航/刷新）时 bypass
+    // 回 SPA，其余（fetch/XHR API 调用）代理到后端；embed 后由后端 NoRoute 回退兜底。
+    proxy: import.meta.env?.VITE_API_BASE
+      ? undefined
+      : {
+          '/api': { target: 'http://127.0.0.1:8466', changeOrigin: true },
+          '/share': { target: 'http://127.0.0.1:8466', changeOrigin: true },
+          '/chunk': { target: 'http://127.0.0.1:8466', changeOrigin: true },
+          '/presign': { target: 'http://127.0.0.1:8466', changeOrigin: true },
+          '/admin': {
+            target: 'http://127.0.0.1:8466',
+            changeOrigin: true,
+            bypass(req) {
+              if (req.method === 'GET' && (req.headers.accept ?? '').includes('text/html')) {
+                return '/index.html'
+              }
+              return undefined
+            },
+          },
+        },
+  },
+  build: {
+    outDir: 'dist',
+    assetsDir: 'assets',
+    sourcemap: false,
+    chunkSizeWarningLimit: 1600,
+    rollupOptions: {
+      output: {
+        manualChunks: {
+          swagger: ['swagger-ui-dist'],
+          markdown: ['marked'],
+        },
+      },
+    },
+  },
+})