fix(security): 修复上传名单文件可被 URL 直连访问（nginx 下可 getshell）

严重漏洞：roster_import 使用 $_FILES 的原始扩展名拼 roster_YYYYMMDD_HHMMSS.<ext>
落在 Web 根目录内的 data/uploads/，既无扩展名白名单（可上传 .php），文件名又
可按秒枚举；而 bootstrap 只写了 data/.htaccess，nginx 不读 .htaccess，
生产环境（nginx + PHP-FPM）下可直接远程代码执行。

修复（api.php roster_import 四层防护）：
- 扩展名白名单：仅 xlsx / xlsm / csv / txt
- 随机文件名：bin2hex(random_bytes(16))，杜绝枚举
- 解析完成后 @unlink 立即删除，Web 目录下不留存任何上传文件
- 20MB 大小限制 + UPLOAD_ERR 检查

加固（bootstrap.php）：data 及 cache/uploads/snapshots 每个目录都写
.htaccess（Deny from all）+ index.html 占位；README 与文档补充 nginx
location ^~ /data/ { deny all; return 404; } 规则。

测试：新增 e2e tools/test-upload-guard.js（11 断言，覆盖 .php/.phtml 被拒、
无残留、合法 csv 导入成功且即删、无可枚举文件名），并入 tests/run-all.sh。
全套 90 项通过。

docs: 新增 VitePress 文档站（18 页）
- 使用指南 12 页：简介/部署/快速上手/系统设置/名单管理/统计口径/试卷设置/
  快照趋势异常/导出打印/数据看板/随机抽取/常见问题
- 安全 2 页：安全总览（含本次漏洞复盘）与部署加固清单（P0-P2）
- 开发 4 页：架构与目录/接口一览/SQLite 存储/测试
- 配图迁移至 docs/public/images/；.gitignore 忽略文档构建产物

docs/guide/draw.md

@@ -0,0 +1,70 @@
+# 随机抽取
+
+随机抽取（`draw.php`）用于从名单中抽人——抽查、抽考、抽签、抽取上台展示等。
+
+从主页面顶部导航 **🎲 随机抽取** 打开（新标签页）。
+
+## 抽取来源
+
+| 来源 | 说明 |
+| --- | --- |
+| 学号名单（全部） | 从完整名单中抽 |
+| 某试卷已提交人员 | 只从交过卷的人里抽（需要先选试卷） |
+
+可再用 **班级 / 组别** 下拉缩小候选池。
+
+## 抽取人数
+
+输入框直接填，或用快捷按钮 `1` / `5` / `10` / `全部`。
+
+## 分组比例
+
+决定有分组时名额如何分配：
+
+| 模式 | 说明 |
+| --- | --- |
+| 按人数加权（默认） | 人多的组分到更多名额，采用**最大余额法**，保证总数守恒 |
+| 各组均分（5:5） | 名额均分到组（不是按人数加权），余数给排在前面的小组 |
+| 自定义比例 | 为每个组手动指定比例 |
+| 不分组 | 忽略组别，整池随机 |
+
+::: tip 5:5 的含义
+「各组均分」是**名额均分到组**，不等于每组抽到的人数与其人数成正比。
+如果你想"人多的班多抽几个"，请用默认的**按人数加权**。
+:::
+
+## 去重与排除
+
+| 功能 | 说明 |
+| --- | --- |
+| 排除已抽中 | 本次会话内已抽中的人不再被抽到；**重置结果**后清零 |
+| 排除管理 | 手动勾选不参与抽取的人（如请假、已抽过）；支持清空排除 |
+
+## 结果区
+
+顶部卡片：`候选人数 / 本次抽取 / 累计已抽取 / 已排除 / 抽取来源`。
+
+结果表格：`序号 / 学号 / 姓名 / 班级 / 组别 / 操作`。
+
+| 按钮 | 说明 |
+| --- | --- |
+| 📜 历史 | 查看历次抽取批次。**重置结果不会清空历史** |
+| 📋 复制名单 | 复制姓名 / 登陆账号，可直接粘贴到微信或 Excel |
+| ⬇ 白名单导入模板 | 导出为卷王白名单导入模板 `.xlsx` |
+| ⬇ 白名单列表 | 导出为白名单列表 `.xlsx` |
+| 重置结果 | 清空本次结果与累计已抽取（历史保留） |
+| 清空历史 | 清空全部历史记录 |
+
+## 登陆账号说明
+
+名单中的**登陆账号**列只在这里用于导出白名单，主系统界面任何位置都不展示。
+若名单里没有这一列，导出的白名单该字段为空。
+
+::: warning 模板文件名
+卷王模板中该列表头为「登陆账号」（不是"登录账号"），导出时已按此命名。
+:::
+
+## 相关
+
+- [名单管理](./roster.md)
+- [系统设置](./settings.md)