fix: 全维度审查修复（安全/正确性/性能/稳定性/客户端/前端）

安全
- /api/ziniao/** 五个匿名接口加管理员鉴权（此前可匿名换取任意员工店铺登录令牌）
- 删除 Flask 遗留后门：默认密码建超管 + 每次启动写生产 users 表（服务端与客户端各一份）
- 进度/详情接口归属过滤：新增 TaskProgressOwnershipSupport，11 模块 progress/light 与
  /tasks/batch 接入，DTO 补 userId，前端 13 个查询封装补传（未传时后端不过滤，兼容旧端）
- 代理提取链接（含账密）不再明文入日志（新增 common/util/SecretMasking）
- 全局异常兜底不再回传原始异常信息；内部令牌比较改常量时间
- 登录加失败计数与锁定（10 次锁 15 分钟）；品牌源文件下载加 SSRF 防护
- AdminApiGuardFilter 覆盖前缀从 2 扩到 15（开关默认 false，行为不变，为收紧做准备）
- 生产关闭 springdoc/knife4j（/doc.html 匿名可读全部接口定义）

正确性
- 40901/40902 拆分：锁竞争不再被伪装成 success=true（此前客户端停止重试、分片静默丢失）
- 假成功收敛：集采明细批量写失败改为抛出、去重 worker 异常标失败、4 个 worker 改判
  success 字段、publish 空 ASIN 行参与批次 flush、巡店删除全失败带 error 上报
- 客户端心跳 discard 移入 finally（7 模块，失败路径不再留僵尸 RUNNING 任务）
- 状态机条件更新：跟价停止循环、集采 activate/fail、imagevideo 归档回填、店铺匹配提交

性能
- 前端入口包 JS 1.05MB→204KB、CSS 355KB→10.7KB（Element Plus 改按需 + el-config-provider）
- 载荷引用计数按指针里的 taskId 收敛（原 JSON 列 IN 全表扫且逐行调用）
- 店铺明细多值批量 INSERT；快照 upsert 预载缓存；结果文件列改单条 UPDATE
- 新增迁移 V120（补 3 个缺失索引）/V121（删 4 个被覆盖的冗余索引）/V122（URL 前缀索引）

稳定性
- 新增 common/util/ThreadPools 有界线程池替换 5 处无界队列（防堆积 OOM）
- Redis 锁释放改 Lua 原子校验（原裸 delete 会误删他人已过期的锁）
- imagevideo 加死节点接管；锁续期失败重试；调度池 4→16；openStream 全部加超时
- 事务内远程对象删除移到提交后；启动恢复锁按实例命名

客户端
- 不再 taskkill /f /im chrome.exe（改为按调试端口精准回收，不杀用户自己的浏览器）
- 密码检测不再无条件杀紫鸟进程；品牌检测加全局互斥（代理池不再互相覆盖）
- base_dir 统一到 exe 目录（原被 os.getcwd() 覆盖，日志/缓存会分裂两个目录）
- 缓存加定时清理；图片下载加超时；mkstemp 句柄托管

测试
- 同步更新受影响的契约测试（构造器签名/条件更新/方法改名/新增接口方法等）
- 修复 FaultInjectionTest 等 3 处 mock 未 stub 流式 read 导致的读循环 OOM
- mvn test 2795 个测试全绿

frontend-vue/src/pages/brand/components/BrandVariantTab.vue

@@ -139,7 +139,7 @@
         <div class="kv-row"><span class="kv-key">进度信息</span><span class="kv-val">{{ latestMessage(detailItem) || '-' }}</span></div>
         <template v-if="resultFiles(detailItem).length">
           <div class="kv-section">结果文件</div>
-          <div v-for="(url, index) in resultFiles(detailItem)" :key="index" class="kv-row">
+          <div v-for="(url, index) in resultFiles(detailItem)" :key="url" class="kv-row">
             <span class="kv-key">文件 {{ index + 1 }}</span>
             <a class="kv-val link" :href="url" target="_blank" rel="noopener">{{ url }}</a>
           </div>
@@ -226,6 +226,10 @@ function statusClass(status?: number | string) {
 
 let autoTimer: number | null = null
 let refreshTimer: number | null = null
+// 导出轮询用独立计时器：此前与自动刷新共用 autoTimer，两条链互相覆盖，必有一条无法被 cleanup 清掉
+let exportTimer: number | null = null
+// 组件已卸载标记：轮询链的异步回调在卸载后仍会续链（切页后继续打接口）
+let disposed = false
 
 function uid() {
   const raw = typeof window === 'undefined' ? '' : window.localStorage.getItem('uid') || ''
@@ -567,6 +571,10 @@ function pollExport(bridge: NonNullable<ReturnType<typeof getPywebviewApi>>, fil
     let count = 0
     const maxAttempts = 60
     const tick = async () => {
+      if (disposed) {
+        resolve(null)
+        return
+      }
       count += 1
       try {
         const res = await bridge.vc_query_export!(fileId)
@@ -584,7 +592,7 @@ function pollExport(bridge: NonNullable<ReturnType<typeof getPywebviewApi>>, fil
         resolve(null)
         return
       }
-      autoTimer = window.setTimeout(tick, 2000)
+      exportTimer = window.setTimeout(tick, 2000)
     }
     void tick()
   })
@@ -601,8 +609,12 @@ function scheduleAutoRefresh() {
     autoTimer = null
   }
   autoTimer = window.setTimeout(async () => {
+    if (disposed) {
+      return
+    }
     await loadTasks(currentPage.value || 1)
-    if (currentTasks.value.some((item) => isBusy(item.status))) {
+    // 卸载后不得再续链：异步回调返回时组件可能已销毁，续链会持续打接口
+    if (!disposed && currentTasks.value.some((item) => isBusy(item.status))) {
       scheduleAutoRefresh()
     }
   }, 3000)
@@ -616,10 +628,15 @@ function startPolling() {
 }
 
 function cleanup() {
+  disposed = true
   if (autoTimer) {
     window.clearTimeout(autoTimer)
     autoTimer = null
   }
+  if (exportTimer) {
+    window.clearTimeout(exportTimer)
+    exportTimer = null
+  }
   if (refreshTimer) {
     window.clearInterval(refreshTimer)
     refreshTimer = null