feat: 删除SFTP上传工具，修复OSS配置bug

主要变更：
- 删除管理员工具栏及上传工具相关功能（后端API + 前端UI）
- 删除upload-tool目录及相关文件
- 修复OSS配置测试连接bug（testUser缺少has_oss_config标志）
- 新增backend/utils加密和缓存工具模块
- 更新.gitignore排除测试报告文件

技术改进：
- 统一使用OSS存储，废弃SFTP上传方式
- 修复OSS配置保存和测试连接时的错误处理
- 完善代码库文件管理，排除临时报告文件

backend/auth.js

@@ -1,6 +1,7 @@
 const jwt = require('jsonwebtoken');
 const crypto = require('crypto');
 const { UserDB } = require('./database');
+const { decryptSecret } = require('./utils/encryption');
 
 // JWT密钥（必须在环境变量中设置）
 const JWT_SECRET = process.env.JWT_SECRET || 'your-secret-key-change-in-production';
@@ -17,6 +18,7 @@ const DEFAULT_SECRETS = [
   'your-secret-key-change-in-production-PLEASE-CHANGE-THIS'
 ];
 
+// 安全修复：增强 JWT_SECRET 验证逻辑
 if (DEFAULT_SECRETS.includes(JWT_SECRET)) {
   const errorMsg = `
 ╔═══════════════════════════════════════════════════════════════╗
@@ -33,15 +35,31 @@ if (DEFAULT_SECRETS.includes(JWT_SECRET)) {
 ╚═══════════════════════════════════════════════════════════════╝
   `;
 
-  if (process.env.NODE_ENV === 'production') {
-    console.error(errorMsg);
-    throw new Error('生产环境必须设置 JWT_SECRET！');
-  } else {
-    console.warn(errorMsg);
-  }
+  // 安全修复：无论环境如何，使用默认 JWT_SECRET 都拒绝启动
+  console.error(errorMsg);
+  throw new Error('使用默认 JWT_SECRET 存在严重安全风险，服务无法启动！');
 }
 
-console.log('[安全] JWT密钥已配置');
+// 验证 JWT_SECRET 长度（至少 32 字节/64个十六进制字符）
+if (JWT_SECRET.length < 32) {
+  const errorMsg = `
+╔═══════════════════════════════════════════════════════════════╗
+║                    ⚠️  配置错误  ⚠️                            ║
+╠═══════════════════════════════════════════════════════════════╣
+║  JWT_SECRET 长度不足！                                        ║
+║                                                               ║
+║  要求: 至少 32 字节                                           ║
+║  当前长度: ${JWT_SECRET.length} 字节                           ║
+║                                                               ║
+║  生成安全的随机密钥:                                          ║
+║  node -e "console.log(require('crypto').randomBytes(32).toString('hex'))"
+╚═══════════════════════════════════════════════════════════════╝
+  `;
+  console.error(errorMsg);
+  throw new Error('JWT_SECRET 长度不足，服务无法启动！');
+}
+
+console.log('[安全] ✓ JWT密钥验证通过');
 
 // 生成Access Token（短期）
 function generateToken(user) {
@@ -162,7 +180,8 @@ function authMiddleware(req, res, next) {
       oss_provider: user.oss_provider,
       oss_region: user.oss_region,
       oss_access_key_id: user.oss_access_key_id,
-      oss_access_key_secret: user.oss_access_key_secret,
+      // 安全修复：解密 OSS Access Key Secret（如果存在）
+      oss_access_key_secret: user.oss_access_key_secret ? decryptSecret(user.oss_access_key_secret) : null,
       oss_bucket: user.oss_bucket,
       oss_endpoint: user.oss_endpoint,
       // 存储相关字段
@@ -201,6 +220,81 @@ function adminMiddleware(req, res, next) {
   next();
 }
 
+/**
+ * 管理员敏感操作二次验证中间件
+ *
+ * 要求管理员重新输入密码才能执行敏感操作
+ * 防止会话劫持后的非法操作
+ *
+ * @example
+ * app.delete('/api/admin/users/:id',
+ *   authMiddleware,
+ *   adminMiddleware,
+ *   requirePasswordConfirmation,
+ *   async (req, res) => { ... }
+ * );
+ */
+function requirePasswordConfirmation(req, res, next) {
+  const { password } = req.body;
+
+  // 检查是否提供了密码
+  if (!password) {
+    return res.status(400).json({
+      success: false,
+      message: '执行此操作需要验证密码',
+      require_password: true
+    });
+  }
+
+  // 验证密码长度（防止空密码）
+  if (password.length < 6) {
+    return res.status(400).json({
+      success: false,
+      message: '密码格式错误'
+    });
+  }
+
+  // 从数据库重新获取用户信息（不依赖 req.user 中的数据）
+  const user = UserDB.findById(req.user.id);
+
+  if (!user) {
+    return res.status(404).json({
+      success: false,
+      message: '用户不存在'
+    });
+  }
+
+  // 验证密码
+  const isPasswordValid = UserDB.verifyPassword(password, user.password);
+
+  if (!isPasswordValid) {
+    // 记录安全日志：密码验证失败
+    SystemLogDB = require('./database').SystemLogDB;
+    SystemLogDB.log({
+      level: SystemLogDB.LEVELS.WARN,
+      category: SystemLogDB.CATEGORIES.SECURITY,
+      action: 'admin_password_verification_failed',
+      message: '管理员敏感操作密码验证失败',
+      userId: req.user.id,
+      username: req.user.username,
+      ipAddress: req.ip,
+      userAgent: req.get('user-agent'),
+      details: {
+        endpoint: req.path,
+        method: req.method
+      }
+    });
+
+    return res.status(403).json({
+      success: false,
+      message: '密码验证失败，操作已拒绝'
+    });
+  }
+
+  // 密码验证成功，继续执行
+  next();
+}
+
 // 检查JWT密钥是否安全
 function isJwtSecretSecure() {
   return !DEFAULT_SECRETS.includes(JWT_SECRET) && JWT_SECRET.length >= 32;
@@ -213,6 +307,7 @@ module.exports = {
   refreshAccessToken,
   authMiddleware,
   adminMiddleware,
+  requirePasswordConfirmation, // 导出二次验证中间件
   isJwtSecretSecure,
   ACCESS_TOKEN_EXPIRES,
   REFRESH_TOKEN_EXPIRES