fix(security): 修复上传名单文件可被 URL 直连访问（nginx 下可 getshell）

严重漏洞：roster_import 使用 $_FILES 的原始扩展名拼 roster_YYYYMMDD_HHMMSS.<ext>
落在 Web 根目录内的 data/uploads/，既无扩展名白名单（可上传 .php），文件名又
可按秒枚举；而 bootstrap 只写了 data/.htaccess，nginx 不读 .htaccess，
生产环境（nginx + PHP-FPM）下可直接远程代码执行。

修复（api.php roster_import 四层防护）：
- 扩展名白名单：仅 xlsx / xlsm / csv / txt
- 随机文件名：bin2hex(random_bytes(16))，杜绝枚举
- 解析完成后 @unlink 立即删除，Web 目录下不留存任何上传文件
- 20MB 大小限制 + UPLOAD_ERR 检查

加固（bootstrap.php）：data 及 cache/uploads/snapshots 每个目录都写
.htaccess（Deny from all）+ index.html 占位；README 与文档补充 nginx
location ^~ /data/ { deny all; return 404; } 规则。

测试：新增 e2e tools/test-upload-guard.js（11 断言，覆盖 .php/.phtml 被拒、
无残留、合法 csv 导入成功且即删、无可枚举文件名），并入 tests/run-all.sh。
全套 90 项通过。

docs: 新增 VitePress 文档站（18 页）
- 使用指南 12 页：简介/部署/快速上手/系统设置/名单管理/统计口径/试卷设置/
  快照趋势异常/导出打印/数据看板/随机抽取/常见问题
- 安全 2 页：安全总览（含本次漏洞复盘）与部署加固清单（P0-P2）
- 开发 4 页：架构与目录/接口一览/SQLite 存储/测试
- 配图迁移至 docs/public/images/；.gitignore 忽略文档构建产物

docs/index.md

@@ -0,0 +1,63 @@
+---
+layout: home
+
+hero:
+  name: NY 问卷考试系统数据平台
+  text: 考试成绩实时统计与名单管理
+  tagline: 基于 PHP 8 + 卷王（SurveyKing）社区版开放 API · 零 Composer 依赖 · 开箱即用
+  image:
+    src: /images/home.png
+    alt: NY 问卷考试系统数据平台
+  actions:
+    - theme: brand
+      text: 快速上手
+      link: /guide/quickstart
+    - theme: alt
+      text: 环境要求与部署
+      link: /guide/install
+    - theme: alt
+      text: 安全加固清单
+      link: /security/hardening
+
+features:
+  - icon: 🔗
+    title: 直连卷王
+    details: 自动完成 RSA 加密登录、JWT / sk-token 令牌缓存，选择试卷即拉取全部答卷。
+  - icon: 🧩
+    title: 姓名自动关联学号
+    details: 用答卷中的「姓名」题匹配名单，未匹配答卷单独成面板，支持一键补入名单。
+  - icon: 📊
+    title: 多维度统计
+    details: 总人数 / 已提交 / 缺考 / 提交率 / 平均分 / 合格率 / 最高最低分 / 平均用时，按班级即时联动。
+  - icon: ⚙️
+    title: 每卷独立配置
+    details: 满分、合格率、免考名单按试卷隔离设置，互不干扰；未设置时回落到全局默认值。
+  - icon: 📈
+    title: 快照与趋势
+    details: 随时保存成绩快照，横向对比每名学生在多个时间点的成绩变化，并给出异常线索。
+  - icon: 🎲
+    title: 随机抽取
+    details: 按班级 / 组别均衡或加权抽取，累计去重、排除管理、历史批次与白名单导出。
+  - icon: 📤
+    title: 导出与打印
+    details: 零依赖生成 .xlsx，支持多工作表、最新成绩视图、成绩明细与缺考名单打印。
+  - icon: 🔒
+    title: 安全内建
+    details: 会话登录、CSRF 令牌、登录失败限流，上传文件白名单 + 随机名 + 解析后即删。
+---
+
+## 三分钟了解它
+
+平台由三个页面组成，顶部导航栏可自由切换：
+
+| 页面 | 入口 | 用途 |
+| --- | --- | --- |
+| 主系统 | `index.php` | 成绩明细、统计卡片、名单管理、快照 / 趋势 / 异常、导出与打印 |
+| 数据看板 | `dashboard.php` | 大屏展示，适合投屏实时监控提交进度 |
+| 随机抽取 | `draw.php` | 从名单或某试卷已提交人员中随机抽取，支持白名单导出 |
+
+![主系统界面](/images/scores.png)
+
+::: tip 还没部署？
+先看 [环境要求与部署](/guide/install)，再按 [快速上手](/guide/quickstart) 完成连接配置与名单导入，全程不需要写一行代码。
+:::