P0-C: 安全修复

- 会话文件移出 web 根(data/ 目录),auth_secret 启动自动生成并持久化(0600)
- cookie 签名改 HMAC-SHA256 + compare_digest;会话表加锁 + 原子写
- serve_path 增加敏感文件黑名单(纵深防御)
- PyPI: 移除 ?url= 任意 URL 回退(SSRF),限制 scheme,缓存键防路径穿越
- v2 文件元数据/版本/缩略图端点全部加 is_safe_path;缩略图尺寸与像素上限
- api-docs/generate 限写 docs 目录;user/password 强制旧密码;GET /api/v2/config 脱敏
- 目录列表/错误页 HTML 转义(防存储型 XSS);Content-Disposition 文件名清洗
- 信号处理改优雅退出(移除 os._exit);启动时默认凭据安全警告

api/admin.py

@@ -90,18 +90,8 @@ class AdminAPI:
     def _handle_sessions(self, handler, method, parts):
         """处理会话管理"""
         if method == 'GET':
-            # 列出活跃会话
-            sessions = []
-            for session_id, session in self.auth_manager.sessions.items():
-                if time.time() < session.expires_at:
-                    sessions.append({
-                        "session_id": session.session_id,
-                        "user_id": session.user_id,
-                        "level": session.level,
-                        "created_at": session.created_at,
-                        "expires_at": session.expires_at,
-                        "last_activity": session.last_activity
-                    })
+            # 列出活跃会话（auth_manager 内部加锁遍历）
+            sessions = self.auth_manager.list_sessions()
 
             handler.send_json_response({
                 "sessions": sessions,