chore: refresh Lite repository knowledge

[lezi-fun]

感谢你为 Forumlify 提交贡献！/ Thank you for contributing to Forumlify!

目标分支 / Target branch

• Lite（原生单文件版 / Original single-file version）
• next（Next.js 16 版 / Next.js 16 version）

版本信息 / Version info

不适用 / Not applicable

变更内容 / What does this PR do?

• 创建一个 0 文件变更的空 PR，供 ghbot 串行刷新 Lite 分支的共享仓库认知。

动机 / Motivation

• 验证并补齐 Lite 认知，同时保留已有 next 认知，避免旧 workflow 覆盖较新的 R2 内容。

测试 / Testing

• 本地构建通过 / Local build passes (npm run build，仅 next 分支 / next branch only)
• 相关功能已手动测试 / Related features manually tested
• 测试用例已更新 / Tests updated

空提交没有业务代码可测试；由 ghbot 在临时快照中执行 Lite 的可信检查。

截图 / Screenshots

不适用 / Not applicable.

检查清单 / Checklist

• 我已阅读并遵循了贡献指南 / I have read and followed the contributing guidelines
• 我的代码遵循现有代码风格 / My code follows the existing code style
• 我已同步最新的上游分支 / I have synced with the latest upstream branch
• 本 PR 只包含必要的改动 / This PR contains only the necessary changes

[forumlify]

Possible duplicate (likely confidence): #30

Both #31 and #30 are zero-file-change chore PRs created solely to drive ghbot's repository-knowledge generation for the Lite branch; #31 merely refreshes what #30 bootstrapped, so they describe substantially the same requested outcome.

Related item: #30

This is an automated similarity suggestion. The item has not been closed automatically.

[forumlify]

Automated review has started. I am checking this pull request now.

[forumlify]

Automated review

Mode: normal

Comment

This PR contains no file changes — it is an empty commit intended only to trigger a repository-knowledge refresh. There is no code, build, test, or runtime impact to review, and nothing blocking merge.

Result for maintainers

No files changed; no findings. Empty chore PR for knowledge refresh, safe to merge.

Model decision: safe to merge
Applied review policy: allow
Final status: safe to merge

Required changes: 0
Review notes: 0

[lezi-fun]

@bot 请串行完成当前仓库共享认知的 Lite 分支增补。先读取 .ghbot/repository-knowledge.md 中从 R2 恢复的现有内容，完整保留已经验证的 next 分支认知；然后检查当前 PR 所基于的 Lite 分支代码和配置，使用可用的完整仓库工具执行必要的只读命令与可信测试，补充 Lite 的 Express/原生 JavaScript 架构、目录职责、支持环境、配置方式、开发与测试命令、前端样式约定、部署方式、数据库/鉴权/上传/兼容性坑点。把合并后的长期有效内容写回同一个 .ghbot/repository-knowledge.md，由 workflow 保存到仓库级 R2 缓存。仓库以后发生相关变化时也应同步更新记录。不要删除或改写仍然有效的 next 认知，不要修改业务代码，不要关闭或合并 PR，不要询问是否继续。完成后用中文说明实际检查和测试结果，确认 next 与 Lite 两部分均已保留，并明确回答这个 0 文件变更的空 PR是否可以合并。

[forumlify]

已完成 Lite 分支的仓库认知增补，并将合并后的内容写回 .ghbot/repository-knowledge.md。以下是实际检查与测试结果。

实际执行的检查与测试

代码检查（基于当前 PR 所基于的 Lite 分支快照）

• 通读 server.js（约 1600 行单文件 Express 后端）、index.html、style.css、js/*.js（12 个前端模块）、config.js、schema.sql、dockerfile、docker-compose.yml、package.json、.github/workflows/docker-lite.yml 与 ghbot.yml。
• 全部 16 个 JS 文件（server.js、config.js、scripts/、test/、js/*.js）通过 node --check 语法校验。
• npm install 成功，0 漏洞；npm test 实测 8/8 全部通过（supertest 直连导出的 app，含安全头、源码不泄露 404、未知 API JSON 404、413 结构化错误、字段校验先于 DB、未认证 401、bcryptjs 无原生编译、依赖补丁版本检查）。
• 额外冒烟：GET / 200（text/html）、GET /js/app.js 200；GET /api/settings 在本沙箱返回 500，已确认是未启动 PostgreSQL所致（数据库相关端点需真实 DB，测试套件本身不依赖 DB）。
• 发现并记录了两处坑：npm run check（scripts/check-syntax.js）依赖 git ls-files，在非 git 检出环境会直接报错；dockerfile 用 node:18-alpine 而 package.json engines 要求 >=20（已核对当前依赖 engines 均兼容 18，属轻微不一致）。

认知文件处理

• 保留了原有全部 next 分支认知（项目概览/架构/目录职责/环境配置/常用命令/开发约定/前端样式要求/容易踩坑各节原样未动，仅在概览加了一行说明本文件现同时维护两个分支）。
• 新增「## Lite 分支（main / Lite，原生 Express 单文件版）」专节，覆盖：Express 单文件架构与全部 API 分组、JWT + 引导令牌初始化管理员、恢复码体系、纯前端验证码、multer 上传（仅信 mimetype、无 magic bytes）、限流/helmet/CORS/body 限制、前端无框架 SPA 路由与安全渲染、i18n/主题、目录职责、环境变量与配置优先级、开发/测试命令、测试要点、样式约定，以及验证码不防服务端、分页无上限封顶、check-syntax 依赖 git、CDN marked 离线退化等坑点。

结论：next 与 Lite 均保留，空 PR 可以合并

• next 认知：完整保留（关键条目如 Next.js 16 / App Router / React 19 / R2 三级存储 / OpenNext 等均原样存在）。
• Lite 认知：已按验证结果增补并写回同一文件，供 workflow 保存到仓库级 R2 缓存。
• 空 PR 是否可以合并：可以合并。该 PR 为 0 文件变更的空 PR，无冲突、不影响构建与业务代码，作为触发知识刷新的运维机制合并是安全的。需要说明：本次认知更新由 ghbot 在临时快照完成并经 workflow 持久化到 R2，并不会通过该 PR 的 diff 进入仓库；合并仅用于记录/完成该触发流程。本回复未修改任何业务代码，也未关闭或合并 PR。