fix(security): 修复上传名单文件可被 URL 直连访问（nginx 下可 getshell）

严重漏洞：roster_import 使用 $_FILES 的原始扩展名拼 roster_YYYYMMDD_HHMMSS.<ext>
落在 Web 根目录内的 data/uploads/，既无扩展名白名单（可上传 .php），文件名又
可按秒枚举；而 bootstrap 只写了 data/.htaccess，nginx 不读 .htaccess，
生产环境（nginx + PHP-FPM）下可直接远程代码执行。

修复（api.php roster_import 四层防护）：
- 扩展名白名单：仅 xlsx / xlsm / csv / txt
- 随机文件名：bin2hex(random_bytes(16))，杜绝枚举
- 解析完成后 @unlink 立即删除，Web 目录下不留存任何上传文件
- 20MB 大小限制 + UPLOAD_ERR 检查

加固（bootstrap.php）：data 及 cache/uploads/snapshots 每个目录都写
.htaccess（Deny from all）+ index.html 占位；README 与文档补充 nginx
location ^~ /data/ { deny all; return 404; } 规则。

测试：新增 e2e tools/test-upload-guard.js（11 断言，覆盖 .php/.phtml 被拒、
无残留、合法 csv 导入成功且即删、无可枚举文件名），并入 tests/run-all.sh。
全套 90 项通过。

docs: 新增 VitePress 文档站（18 页）
- 使用指南 12 页：简介/部署/快速上手/系统设置/名单管理/统计口径/试卷设置/
  快照趋势异常/导出打印/数据看板/随机抽取/常见问题
- 安全 2 页：安全总览（含本次漏洞复盘）与部署加固清单（P0-P2）
- 开发 4 页：架构与目录/接口一览/SQLite 存储/测试
- 配图迁移至 docs/public/images/；.gitignore 忽略文档构建产物

api.php

@@ -472,9 +472,25 @@ try {
             if (empty($_FILES['file']) || !is_uploaded_file($_FILES['file']['tmp_name'])) {
                 ny_fail('请选择要导入的文件');
             }
-            $f    = $_FILES['file'];
-            $ext  = strtolower(pathinfo((string)$f['name'], PATHINFO_EXTENSION));
-            $dest = NY_DATA . '/uploads/roster_' . date('Ymd_His') . '.' . ($ext !== '' ? $ext : 'dat');
+            $f   = $_FILES['file'];
+            $err = (int)($f['error'] ?? UPLOAD_ERR_OK);
+            if ($err !== UPLOAD_ERR_OK) {
+                ny_fail('上传失败（错误码 ' . $err . '）');
+            }
+            if ((int)($f['size'] ?? 0) > 20 * 1024 * 1024) {
+                ny_fail('文件过大（上限 20MB）');
+            }
+            // 扩展名白名单：杜绝上传 .php/.phtml 等可执行后缀到 Web 目录
+            $ext = strtolower(pathinfo((string)$f['name'], PATHINFO_EXTENSION));
+            if (!in_array($ext, ['xlsx', 'xlsm', 'csv', 'txt'], true)) {
+                ny_fail('仅支持 .xlsx / .xlsm / .csv / .txt 文件');
+            }
+            // 随机文件名：杜绝按时间枚举（原 roster_YYYYMMDD_HHMMSS.ext 可被遍历）
+            $dir = NY_DATA . '/uploads';
+            if (!is_dir($dir)) {
+                @mkdir($dir, 0777, true);
+            }
+            $dest = $dir . '/' . bin2hex(random_bytes(16)) . '.' . $ext;
             if (!@move_uploaded_file($f['tmp_name'], $dest)) {
                 ny_fail('文件保存失败，请检查 data/uploads 目录权限');
             }
@@ -484,6 +500,8 @@ try {
                 @unlink($dest);
                 ny_fail($e->getMessage());
             }
+            // 解析完立即删除：Web 目录下不再留存任何上传文件
+            @unlink($dest);
             $mode = (string)($_POST['mode'] ?? 'replace');
             if ($mode === 'append') {
                 $merged = array_merge(Roster::all(), $res['students']);