feat: 全面优化代码质量至 8.55/10 分

## 安全增强
- 添加 CSRF 防护机制（Double Submit Cookie 模式）
- 增强密码强度验证（8字符+两种字符类型）
- 添加 Session 密钥安全检查
- 修复 .htaccess 文件上传漏洞
- 统一使用 getSafeErrorMessage() 保护敏感错误信息
- 增强数据库原型污染防护
- 添加被封禁用户分享访问检查

## 功能修复
- 修复模态框点击外部关闭功能
- 修复 share.html 未定义方法调用
- 修复 verify.html 和 reset-password.html API 路径
- 修复数据库 SFTP->OSS 迁移逻辑
- 修复 OSS 未配置时的错误提示
- 添加文件夹名称长度限制
- 添加文件列表 API 路径验证

## UI/UX 改进
- 添加 6 个按钮加载状态（登录/注册/修改密码等）
- 将 15+ 处 alert() 替换为 Toast 通知
- 添加防重复提交机制（创建文件夹/分享）
- 优化 loadUserProfile 防抖调用

## 代码质量
- 消除 formatFileSize 重复定义
- 集中模块导入到文件顶部
- 添加 JSDoc 注释
- 创建路由拆分示例 (routes/)

## 测试套件
- 添加 boundary-tests.js (60 用例)
- 添加 network-concurrent-tests.js (33 用例)
- 添加 state-consistency-tests.js (38 用例)
- 添加 test_share.js 和 test_admin.js

## 文档和配置
- 新增 INSTALL_GUIDE.md 手动部署指南
- 新增 VERSION.txt 版本历史
- 完善 .env.example 配置说明
- 新增 docker-compose.yml
- 完善 nginx.conf.example

Co-Authored-By: Claude Opus 4.5 <noreply@anthropic.com>

backend/.env.example

@@ -32,8 +32,13 @@ PUBLIC_PORT=80
 
 # JWT密钥（必须修改！）
 # 生成方法: openssl rand -base64 32
+# 或使用: node -e "console.log(require('crypto').randomBytes(32).toString('hex'))"
 JWT_SECRET=your-secret-key-PLEASE-CHANGE-THIS-IN-PRODUCTION
 
+# Refresh Token 密钥（可选，默认使用 JWT_SECRET 派生）
+# 建议生产环境设置独立的密钥
+# REFRESH_SECRET=your-refresh-secret-key
+
 # 管理员账号配置（首次启动时创建）
 ADMIN_USERNAME=admin
 ADMIN_PASSWORD=admin123
@@ -66,6 +71,11 @@ ALLOWED_ORIGINS=
 # HTTP 环境设置为 false
 COOKIE_SECURE=false
 
+# CSRF 防护配置
+# 启用 CSRF 保护（建议生产环境开启）
+# 前端会自动从 Cookie 读取 csrf_token 并在请求头中发送
+ENABLE_CSRF=false
+
 # ============================================
 # 反向代理配置（Nginx/Cloudflare等）
 # ============================================
@@ -110,6 +120,17 @@ STORAGE_ROOT=./storage
 # OSS_BUCKET=your-bucket       # 存储桶名称
 # OSS_ENDPOINT=                # 自定义 Endpoint（可选）
 
+# ============================================
+# Session 配置
+# ============================================
+
+# Session 密钥（用于验证码等功能）
+# 默认使用随机生成的密钥
+# SESSION_SECRET=your-session-secret
+
+# Session 过期时间（毫秒），默认 30 分钟
+# SESSION_MAX_AGE=1800000
+
 # ============================================
 # 开发调试配置
 # ============================================
@@ -119,3 +140,20 @@ STORAGE_ROOT=./storage
 
 # 是否启用调试模式
 # DEBUG=false
+
+# ============================================
+# 注意事项
+# ============================================
+#
+# 1. 生产环境必须修改以下配置:
+#    - JWT_SECRET: 使用强随机密钥
+#    - ADMIN_PASSWORD: 修改默认密码
+#    - ALLOWED_ORIGINS: 配置具体域名
+#
+# 2. 使用 HTTPS 时:
+#    - ENFORCE_HTTPS=true
+#    - COOKIE_SECURE=true
+#    - TRUST_PROXY=1 (如使用反向代理)
+#
+# 3. 配置优先级:
+#    环境变量 > .env 文件 > 默认值