fix: 全维度审查修复（安全/正确性/性能/稳定性/客户端/前端）

安全
- /api/ziniao/** 五个匿名接口加管理员鉴权（此前可匿名换取任意员工店铺登录令牌）
- 删除 Flask 遗留后门：默认密码建超管 + 每次启动写生产 users 表（服务端与客户端各一份）
- 进度/详情接口归属过滤：新增 TaskProgressOwnershipSupport，11 模块 progress/light 与
  /tasks/batch 接入，DTO 补 userId，前端 13 个查询封装补传（未传时后端不过滤，兼容旧端）
- 代理提取链接（含账密）不再明文入日志（新增 common/util/SecretMasking）
- 全局异常兜底不再回传原始异常信息；内部令牌比较改常量时间
- 登录加失败计数与锁定（10 次锁 15 分钟）；品牌源文件下载加 SSRF 防护
- AdminApiGuardFilter 覆盖前缀从 2 扩到 15（开关默认 false，行为不变，为收紧做准备）
- 生产关闭 springdoc/knife4j（/doc.html 匿名可读全部接口定义）

正确性
- 40901/40902 拆分：锁竞争不再被伪装成 success=true（此前客户端停止重试、分片静默丢失）
- 假成功收敛：集采明细批量写失败改为抛出、去重 worker 异常标失败、4 个 worker 改判
  success 字段、publish 空 ASIN 行参与批次 flush、巡店删除全失败带 error 上报
- 客户端心跳 discard 移入 finally（7 模块，失败路径不再留僵尸 RUNNING 任务）
- 状态机条件更新：跟价停止循环、集采 activate/fail、imagevideo 归档回填、店铺匹配提交

性能
- 前端入口包 JS 1.05MB→204KB、CSS 355KB→10.7KB（Element Plus 改按需 + el-config-provider）
- 载荷引用计数按指针里的 taskId 收敛（原 JSON 列 IN 全表扫且逐行调用）
- 店铺明细多值批量 INSERT；快照 upsert 预载缓存；结果文件列改单条 UPDATE
- 新增迁移 V120（补 3 个缺失索引）/V121（删 4 个被覆盖的冗余索引）/V122（URL 前缀索引）

稳定性
- 新增 common/util/ThreadPools 有界线程池替换 5 处无界队列（防堆积 OOM）
- Redis 锁释放改 Lua 原子校验（原裸 delete 会误删他人已过期的锁）
- imagevideo 加死节点接管；锁续期失败重试；调度池 4→16；openStream 全部加超时
- 事务内远程对象删除移到提交后；启动恢复锁按实例命名

客户端
- 不再 taskkill /f /im chrome.exe（改为按调试端口精准回收，不杀用户自己的浏览器）
- 密码检测不再无条件杀紫鸟进程；品牌检测加全局互斥（代理池不再互相覆盖）
- base_dir 统一到 exe 目录（原被 os.getcwd() 覆盖，日志/缓存会分裂两个目录）
- 缓存加定时清理；图片下载加超时；mkstemp 句柄托管

测试
- 同步更新受影响的契约测试（构造器签名/条件更新/方法改名/新增接口方法等）
- 修复 FaultInjectionTest 等 3 处 mock 未 stub 流式 read 导致的读循环 OOM
- mvn test 2795 个测试全绿

frontend-vue/src/pages/login/DesktopLoginPage.vue

@@ -2,6 +2,40 @@
   <div class="legacy-login-root">
     <header class="header">
       <span class="header-title">数富AI</span>
+      <!-- 版本更新入口固定右上角：桌面端自动下载安装；网页形态降级为下载最新安装包 -->
+      <div class="login-header-right">
+        <div class="login-update">
+          <button type="button" class="link-update" @click="toggleUpdate">
+            <svg viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round" aria-hidden="true">
+              <path d="M21 12a9 9 0 1 1-2.64-6.36"></path>
+              <path d="M21 3v6h-6"></path>
+            </svg>
+            更新版本
+          </button>
+          <div v-if="updateOpen" class="update-panel">
+            <div class="update-panel-title">软件更新</div>
+            <div class="update-row"><span>当前版本</span><b>{{ currentVersion || '—' }}</b></div>
+            <div class="update-row"><span>最新版本</span><b>{{ latestVersion || '—' }}</b></div>
+            <div class="update-actions">
+              <button type="button" class="btn-mini" :disabled="checking" @click="runCheck">
+                {{ checking ? '检测中...' : '检测' }}
+              </button>
+              <button
+                v-if="hasUpdate || canDownload"
+                type="button"
+                class="btn-mini btn-mini-green"
+                :disabled="updating"
+                @click="doUpdate"
+              >
+                {{ updating ? '更新中...' : '立即更新' }}
+              </button>
+            </div>
+            <div class="update-hint">{{ hint }}</div>
+            <UpdateLogList :entries="changelog" />
+            <UpdateProgressBar :progress="progress" />
+          </div>
+        </div>
+      </div>
     </header>
 
     <div class="login-box">
@@ -59,38 +93,6 @@
           {{ loggingIn ? '登录中...' : '登录' }}
         </button>
       </form>
-
-      <!-- 版本更新：桌面端自动下载安装；网页形态降级为下载最新安装包 -->
-      <div class="login-update">
-        <button type="button" class="link-update" @click="toggleUpdate">
-          <svg viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round" aria-hidden="true">
-            <path d="M21 12a9 9 0 1 1-2.64-6.36"></path>
-            <path d="M21 3v6h-6"></path>
-          </svg>
-          更新版本
-        </button>
-        <div v-if="updateOpen" class="update-panel">
-          <div class="update-panel-title">软件更新</div>
-          <div class="update-row"><span>当前版本</span><b>{{ currentVersion || '—' }}</b></div>
-          <div class="update-row"><span>最新版本</span><b>{{ latestVersion || '—' }}</b></div>
-          <div class="update-actions">
-            <button type="button" class="btn-mini" :disabled="checking" @click="runCheck">
-              {{ checking ? '检测中...' : '检测' }}
-            </button>
-            <button
-              v-if="hasUpdate || canDownload"
-              type="button"
-              class="btn-mini btn-mini-green"
-              :disabled="updating"
-              @click="doUpdate"
-            >
-              {{ updating ? '更新中...' : '立即更新' }}
-            </button>
-          </div>
-          <div class="update-hint">{{ hint }}</div>
-          <UpdateProgressBar :progress="progress" />
-        </div>
-      </div>
     </div>
   </div>
 </template>
@@ -103,6 +105,7 @@ import { KICK_NOTICE_KEY } from '@/shared/auth/kick-handler'
 import { useVersionUpdate } from '@/shared/composables/useVersionUpdate'
 import { clearApiSecretCache } from '@/shared/utils/api-secret-store'
 import UpdateProgressBar from '@/shared/components/UpdateProgressBar.vue'
+import UpdateLogList from '@/shared/components/UpdateLogList.vue'
 
 const router = useRouter()
 
@@ -134,6 +137,7 @@ const {
   hint,
   checked,
   progress,
+  changelog,
   runCheck,
   doUpdate,
 } = useVersionUpdate()
@@ -682,10 +686,15 @@ body {
   cursor: not-allowed;
 }
 
-/* 版本更新入口与面板 */
+/* 版本更新入口与面板：入口固定顶栏右上角，面板在该入口下方浮层展开
+   （类名加 login- 前缀，避免与首页同名全局样式互相覆盖） */
+.login-header-right {
+  display: flex;
+  align-items: center;
+}
+
 .login-update {
-  margin-top: 14px;
-  text-align: center;
+  position: relative;
 }
 
 .link-update {
@@ -713,11 +722,16 @@ body {
 }
 
 .update-panel {
-  margin-top: 10px;
+  position: absolute;
+  top: 34px;
+  right: 0;
+  z-index: 20;
+  width: 300px;
   padding: 12px 14px;
-  background: #f6fafd;
+  background: #ffffff;
   border: 1px solid #d5e6f2;
   border-radius: 8px;
+  box-shadow: 0 8px 24px rgba(20, 50, 80, 0.16);
   text-align: left;
 }