[insistence]

修复权限校验、公告富文本、异常响应及多端会话处理中的缺陷，并补充相关回归测试。

修复内容

• 权限与数据范围

  • 无有效角色时默认拒绝数据访问。
  • 限制用户编辑接口可写字段，防止绕过密码重置权限。
  • 部门新增、迁移时校验目标父部门的数据权限。
  • 部门和菜单编辑拒绝循环关系及无效父级，部门迁移同步维护子部门祖级列表。

• 富文本与异常响应

  • 后端通过 SecurityUtil 清洗公告正文和历史数据，三套 Web 展示端统一使用 DOMPurify。
  • 保留合法富文本格式，限制危险属性、链接协议及视频嵌入权限。
  • 未知异常返回安全摘要和错误关联标识。
  • 操作日志装饰器保留认证、权限及协议异常的响应语义。

• 文档与 CLI

  • 修正文档开关与公开、代理 OpenAPI Schema 的注册逻辑。
  • CLI 生产保护依据实际加载的应用环境判断。
  • 保留任务执行编号及调度同步结果。

• 前端请求与会话

  • Vue 移动端优先校验 HTTP 状态，上传解析或平台回调失败时可靠结束 Promise。
  • 修正上传会话失效后的登录地址，合并并发请求与上传的失效处理。
  • 各端远端退出失败后仍完成本地会话清理。
  • 统一移动端 WebView 的 HTTP(S) 协议校验，避免重复解码。

依赖

• 后端新增 nh3==0.3.7，MySQL/PostgreSQL 两份依赖清单同步更新。
• Vue Web 新增 DOMPurify 直接依赖并更新锁文件。