v24 第 2 轮：19 条清单收尾（附件预览/CalDAV/任务分类看板/全局选人/家谱/纪念日/财务）

用户 2026-10-02 提的 19 条需求，本轮完成剩下的 8 条 + CalDAV 服务端：

- ③ 附件：图片/视频给缩略图，PDF/Word/Excel 给**同尺寸**图标；可预览的在本页
     弹层里看（不再新开标签页），渲染不了的点了直接下载；预览层右上角恒有下载按钮。
- ⑦b CalDAV：把「我的日历本」按 RFC 4791 只读子集分享出去（OPTIONS/PROPFIND/
     REPORT/GET，写方法一律 403）。用**专用口令**（库里只存 sha256），不是登录口令。
- ⑨⑩ 任务：分类与看板都由用户自建；已完成的任务从看板消失，改在「已完成」页
     按分类查看/搜索；设置入口在「新建任务」旁的 ☰。
- ⑪ 全局人员选择器：一个片段铺到观影/旅程/资源/日历共享/任务共享/财务共享；
     修掉了老组件「名字和拼音都搜不动」的 bug —— .att-item 自己声明了 display:flex，
     压过了浏览器 [hidden]{display:none}，过滤根本没生效。
- ⑫ 家谱：头像改方形不再裁切；姻亲不在图上的卡片给「⇄ 姻亲」入口，
     以 TA 为中心重画 + 「返回我的家谱」。
- ⑬ 纪念日：阴历/阳历都能设且按对应历法重复；名册里每个人的生日默认可见
     （实时派生，不复制一份）；全部作为全天日程进日历。
- ⑮ 财务：账本可共享，双方都能记账、都能看全部账目，资产−负债=净资产；
     金额一律以「分」存，不用浮点。

验证：端到端 724 项通过 / 0 失败；几何 368、交互 97、移动端 516、家谱 24、
升级 123 全绿；SQL 列名静态校验 0 处可疑；部署 11 条线上探针全过。

app/Ics.php

@@ -0,0 +1,402 @@
+<?php
+/**
+ * iCalendar（RFC 5545）的读与写 —— 日程的 ics 导入 / 导出（用户 2026-10-02 第 7 条）。
+ *
+ * 为什么自己写而不引一个库：
+ *   这个应用是「零依赖」的（连 Composer 都没有），为两个函数拖进一个依赖不划算；
+ *   而且我们只需要 VEVENT 的一个常用子集，自己写反而能把"哪些字段往返不丢"说清楚。
+ *
+ * 三条必须遵守的 RFC 规则（踩过就懂）：
+ *   ① **行要折**：一行超过 75 个**字节**（不是字符！中文一个字 3 字节）就必须折，
+ *      折行用 CRLF + 一个空格开头。不折的话 iOS 日历会整条拒收。
+ *   ② **文本要转义**：\ ; , 和换行各有转义写法，不转义会把一行正文切成好几条属性。
+ *   ③ **全天日程的 DTSTART 是 DATE 值**（20261015），不是 DATETIME ——
+ *      写成 DATETIME 的话，客户端会当成"这一天的 00:00"，看着一样但跨时区会错。
+ *
+ * 时区：系统里存的一律是**本地时间**（不带时区），导出也不带 Z、不写 VTIMEZONE。
+ *       家庭应用里"几点开会"就是墙上那个钟，硬套 UTC 反而会整体偏移。
+ */
+
+declare(strict_types=1);
+
+namespace App;
+
+final class Ics
+{
+    /** 导出的产品标识（RFC 5545 PRODID，客户端会拿它判断"是谁生成的"） */
+    private const PRODID = '-//FamilyBook//FamilyBook Calendar//CN';
+
+    /**
+     * 把一个日历本导出成 .ics 文本。
+     *
+     * @param array $events calendar_events 的行
+     * @param string $calName 日历本名字（X-WR-CALNAME，客户端用它给订阅起标题）
+     */
+    public static function export(array $events, string $calName = '日程'): string
+    {
+        $out = [
+            'BEGIN:VCALENDAR',
+            'VERSION:2.0',
+            'PRODID:' . self::PRODID,
+            'CALSCALE:GREGORIAN',
+            'METHOD:PUBLISH',
+            'X-WR-CALNAME:' . self::escapeText($calName),
+        ];
+        foreach ($events as $e) {
+            $out = array_merge($out, self::vevent($e));
+        }
+        $out[] = 'END:VCALENDAR';
+        // 折行 + 统一 CRLF（RFC 5545 要求行尾是 CRLF，虽然多数客户端也收 LF）
+        $lines = [];
+        foreach ($out as $line) {
+            foreach (self::fold($line) as $l) {
+                $lines[] = $l;
+            }
+        }
+        return implode("\r\n", $lines) . "\r\n";
+    }
+
+    /** 一条日程 → VEVENT 的若干行 */
+    private static function vevent(array $e): array
+    {
+        $allDay  = !empty($e['all_day']);
+        $starts  = (string)($e['starts_at'] ?? '');
+        $ends    = (string)($e['ends_at'] ?? '');
+        $uid     = (string)($e['uid'] ?? '');
+        if ($uid === '') {
+            $uid = Calendar::newUid();
+        }
+        $stamp   = self::stampOf($e['updated_at'] ?? $e['created_at'] ?? null);
+
+        $out = ['BEGIN:VEVENT', 'UID:' . $uid, 'DTSTAMP:' . $stamp];
+
+        if ($allDay) {
+            // 全天：VALUE=DATE，且 DTEND 是**第二天**（RFC：DTEND 是排他边界）
+            $out[] = 'DTSTART;VALUE=DATE:' . self::dateValue($starts);
+            $d     = self::dateValue($ends !== '' ? $ends : $starts);
+            $out[] = 'DTEND;VALUE=DATE:' . ($ends !== '' ? self::nextDay($d) : self::nextDay($d));
+        } else {
+            $out[] = 'DTSTART:' . self::dateTimeValue($starts);
+            // 没有结束时刻就按开始时刻算（RFC 允许只给 DTSTART + DURATION，
+            // 但很多客户端对 DURATION 支持得更差，给一个等于开始的 DTEND 最稳）
+            $out[] = 'DTEND:' . self::dateTimeValue($ends !== '' ? $ends : $starts);
+        }
+
+        $out[] = 'SUMMARY:' . self::escapeText((string)($e['title'] ?? ''));
+        if (($e['location'] ?? '') !== '') {
+            $out[] = 'LOCATION:' . self::escapeText((string)$e['location']);
+        }
+        if (($e['note'] ?? '') !== '') {
+            $out[] = 'DESCRIPTION:' . self::escapeText((string)$e['note']);
+        }
+        if (($e['rrule'] ?? '') !== '') {
+            $out[] = (string)$e['rrule'];           // 原样带过（导入时存的就是原文）
+        }
+        $out[] = 'STATUS:' . strtoupper((string)($e['status'] ?: 'confirmed'));
+        $out[] = 'TRANSP:' . (empty($e['transp']) ? 'OPAQUE' : 'TRANSPARENT');
+        $out[] = 'SEQUENCE:' . (int)($e['sequence'] ?? 0);
+        if (!empty($e['created_at'])) {
+            $out[] = 'CREATED:' . self::stampOf($e['created_at']);
+        }
+        if (!empty($e['updated_at'])) {
+            $out[] = 'LAST-MODIFIED:' . self::stampOf($e['updated_at']);
+        }
+        // 提醒 = VALARM（TRIGGER 用**负**持续时间表示"提前多久"）
+        if (($e['reminder_minutes'] ?? null) !== null && (int)$e['reminder_minutes'] > 0) {
+            $out = array_merge($out, [
+                'BEGIN:VALARM',
+                'ACTION:DISPLAY',
+                'DESCRIPTION:' . self::escapeText((string)($e['title'] ?? '提醒')),
+                'TRIGGER:-' . self::duration((int)$e['reminder_minutes']),
+                'END:VALARM',
+            ]);
+        }
+        $out[] = 'END:VEVENT';
+        return $out;
+    }
+
+    /**
+     * 解析一个 .ics 文本，返回里面的 VEVENT。
+     *
+     * @return array<int, array{uid:string,title:string,starts_at:string,ends_at:string,
+     *                         all_day:bool,location:?string,note:?string,
+     *                         reminder_minutes:?int,status:string,rrule:?string}>
+     */
+    public static function parse(string $text): array
+    {
+        $text = str_replace(["\r\n", "\r"], "\n", $text);
+        // ① 反折行：以空格或制表符开头的行是上一行的续行
+        $text = preg_replace("/\n[ \t]/", '', $text) ?? $text;
+        $lines = explode("\n", $text);
+
+        $out    = [];
+        $cur    = null;
+        $inAlarm = false;
+        foreach ($lines as $raw) {
+            $line = trim($raw);
+            if ($line === '') {
+                continue;
+            }
+            if ($line === 'BEGIN:VEVENT') {
+                $cur = [];
+                $inAlarm = false;
+                continue;
+            }
+            if ($line === 'END:VEVENT') {
+                if ($cur !== null) {
+                    $out[] = self::normalizeVevent($cur);
+                }
+                $cur = null;
+                $inAlarm = false;
+                continue;
+            }
+            if ($cur === null) {
+                continue;   // VCALENDAR / VTIMEZONE 里的东西一律跳过
+            }
+            if ($line === 'BEGIN:VALARM') { $inAlarm = true; continue; }
+            if ($line === 'END:VALARM')   { $inAlarm = false; continue; }
+
+            [$name, $params, $value] = self::splitProp($line);
+            if ($name === '') {
+                continue;
+            }
+            // VALARM 里只认 TRIGGER（提前多久）；DESCRIPTION 那些是给闹钟弹窗用的，
+            // 混进来会覆盖日程本身的备注（实测：iOS 导出的 VALARM 里也带 DESCRIPTION）。
+            if ($inAlarm) {
+                if ($name === 'TRIGGER') {
+                    $cur['_trigger'] = $value;
+                }
+                continue;
+            }
+            // 同名属性出现多次时保留第一个（RFC 里多数属性都是单值的）
+            if (!array_key_exists($name, $cur)) {
+                $cur[$name] = $value;
+            }
+            if (!array_key_exists($name . '_PARAMS', $cur)) {
+                $cur[$name . '_PARAMS'] = $params;
+            }
+        }
+        return $out;
+    }
+
+    /** 把解析出来的属性归一成我们要落库的形状 */
+    private static function normalizeVevent(array $p): array
+    {
+        $startRaw = (string)($p['DTSTART'] ?? '');
+        $endRaw   = (string)($p['DTEND'] ?? '');
+        $params   = (string)($p['DTSTART_PARAMS'] ?? '');
+        // 全天：VALUE=DATE，或者值本身就是 8 位的 YYYYMMDD
+        $allDay = stripos($params, 'VALUE=DATE') !== false
+               || preg_match('/^\d{8}$/', $startRaw) === 1;
+
+        $starts = $allDay ? self::fromDateValue($startRaw) : self::fromDateTimeValue($startRaw);
+        $ends   = $endRaw !== ''
+            ? ($allDay ? self::fromDateValue($endRaw) : self::fromDateTimeValue($endRaw))
+            : null;
+        // 全天日程的 DTEND 是**排他**的第二天，减回一天才对得上"到哪天为止"
+        if ($allDay && $ends !== null && $starts !== null) {
+            $d = strtotime($ends . ' -1 day');
+            $ends = $d ? date('Y-m-d', $d) . ' 00:00:00' : null;
+        }
+
+        return [
+            'uid'              => (string)($p['UID'] ?? ''),
+            'title'            => self::unescapeText((string)($p['SUMMARY'] ?? '')),
+            'starts_at'        => $starts,
+            'ends_at'          => $ends,
+            'all_day'          => $allDay,
+            'location'         => self::nullOr(self::unescapeText((string)($p['LOCATION'] ?? ''))),
+            'note'             => self::nullOr(self::unescapeText((string)($p['DESCRIPTION'] ?? ''))),
+            'rrule'            => self::nullOr((string)($p['RRULE'] ?? '')),
+            'status'           => strtolower((string)($p['STATUS'] ?? '')) ?: 'confirmed',
+            'reminder_minutes' => self::triggerMinutes((string)($p['_trigger'] ?? '')),
+        ];
+    }
+
+    /** TRIGGER:-PT15M / TRIGGER:-P1D / TRIGGER;VALUE=DATE-TIME:... → 分钟数 */
+    private static function triggerMinutes(string $v): ?int
+    {
+        $v = trim($v);
+        if ($v === '') {
+            return null;
+        }
+        // 绝大多数客户端导出的是"提前多久"的持续时间（负号开头）
+        if (preg_match('/^-?P(?:(\d+)D)?(?:T(?:(\d+)H)?(?:(\d+)M)?(?:(\d+)S)?)?$/', $v, $m)) {
+            $mins  = (int)($m[1] ?? 0) * 1440;
+            $mins += (int)($m[2] ?? 0) * 60;
+            $mins += (int)($m[3] ?? 0);
+            $mins += (int)($m[4] ?? 0) > 0 ? 1 : 0;   // 有秒就进位到 1 分钟，别归零
+            return $mins > 0 ? $mins : null;
+        }
+        return null;
+    }
+
+    /** 分钟 → RFC 5545 的持续时间，如 90 → PT1H30M */
+    private static function duration(int $mins): string
+    {
+        $d = intdiv($mins, 1440);
+        $h = intdiv($mins % 1440, 60);
+        $m = $mins % 60;
+        $s = 'P';
+        if ($d > 0) {
+            $s .= $d . 'D';
+        }
+        if ($h > 0 || $m > 0) {
+            $s .= 'T';
+            if ($h > 0) {
+                $s .= $h . 'H';
+            }
+            if ($m > 0) {
+                $s .= $m . 'M';
+            }
+        }
+        return $s === 'P' ? 'PT0S' : $s;
+    }
+
+    /** '2026-10-16 14:30:00' → '20261016T143000' */
+    private static function dateTimeValue(string $dt): string
+    {
+        $t = strtotime($dt);
+        if ($t === false) {
+            return '19700101T000000';
+        }
+        return date('Ymd\THis', $t);
+    }
+
+    /** '2026-10-16 14:30:00' → '20261016' */
+    private static function dateValue(string $dt): string
+    {
+        $t = strtotime($dt);
+        if ($t === false) {
+            return '19700101';
+        }
+        return date('Ymd', $t);
+    }
+
+    /** '20261016T143000' / '2026-10-16 14:30:00' → '2026-10-16 14:30:00' */
+    private static function fromDateTimeValue(string $v): ?string
+    {
+        $v = trim($v);
+        if (preg_match('/^(\d{4})(\d{2})(\d{2})T(\d{2})(\d{2})(\d{2})Z?$/', $v, $m)) {
+            return sprintf('%s-%s-%s %s:%s:%s', $m[1], $m[2], $m[3], $m[4], $m[5], $m[6]);
+        }
+        $t = strtotime($v);
+        return $t === false ? null : date('Y-m-d H:i:s', $t);
+    }
+
+    /** '20261016' → '2026-10-16 00:00:00' */
+    private static function fromDateValue(string $v): ?string
+    {
+        if (preg_match('/^(\d{4})(\d{2})(\d{2})$/', trim($v), $m)) {
+            return sprintf('%s-%s-%s 00:00:00', $m[1], $m[2], $m[3]);
+        }
+        $t = strtotime($v);
+        return $t === false ? null : date('Y-m-d 00:00:00', $t);
+    }
+
+    /** '20261016' → '20261017' */
+    private static function nextDay(string $ymd): string
+    {
+        $t = strtotime(substr($ymd, 0, 4) . '-' . substr($ymd, 4, 2) . '-' . substr($ymd, 6, 2) . ' +1 day');
+        return $t === false ? $ymd : date('Ymd', $t);
+    }
+
+    /** 属性行 → [名, 参数串, 值]（只在**第一个**未加引号的冒号处切） */
+    private static function splitProp(string $line): array
+    {
+        $pos = strpos($line, ':');
+        if ($pos === false) {
+            return ['', '', ''];
+        }
+        $left  = substr($line, 0, $pos);
+        $value = substr($line, $pos + 1);
+        if (strpos($left, ';') === false) {
+            return [strtoupper($left), '', $value];
+        }
+        [$name, $params] = explode(';', $left, 2);
+        return [strtoupper($name), $params, $value];
+    }
+
+    /** DTSTAMP / CREATED 一律写成 UTC（RFC 要求带 Z） */
+    private static function stampOf($dt): string
+    {
+        $t = strtotime((string)$dt);
+        if ($t === false) {
+            $t = time();
+        }
+        return gmdate('Ymd\THis\Z', $t);
+    }
+
+    /** 文本转义（RFC 5545 3.3.11） */
+    private static function escapeText(string $v): string
+    {
+        $v = str_replace('\\', '\\\\', $v);
+        $v = str_replace(';', '\;', $v);
+        $v = str_replace(',', '\,', $v);
+        $v = str_replace(["\r\n", "\r", "\n"], '\n', $v);
+        return $v;
+    }
+
+    private static function unescapeText(string $v): string
+    {
+        $v = str_replace('\n', "\n", $v);
+        $v = str_replace('\N', "\n", $v);
+        $v = str_replace('\,', ',', $v);
+        $v = str_replace('\;', ';', $v);
+        return str_replace('\\\\', '\\', $v);
+    }
+
+    private static function nullOr(string $v): ?string
+    {
+        $v = trim($v);
+        return $v === '' ? null : $v;
+    }
+
+    /**
+     * 折行：一行最多 75 **字节**，且不能在多字节字符中间切断。
+     *
+     * ⚠️ 按字节而不是按字符数：中文一个字 3 字节，按字符数切会切出半个 UTF-8 字，
+     *    客户端解出来就是乱码。续行以**一个空格**开头。
+     */
+    private static function fold(string $line): array
+    {
+        if (strlen($line) <= 75) {
+            return [$line];
+        }
+        $out  = [];
+        $cur  = '';
+        $len  = 0;
+        $limit = 75;
+        $bytes = strlen($line);
+        $i = 0;
+        while ($i < $bytes) {
+            // 一次取一个完整 UTF-8 字符
+            $ch = $line[$i];
+            $n  = 1;
+            $o  = ord($ch);
+            if ($o >= 0xF0) { $n = 4; }
+            elseif ($o >= 0xE0) { $n = 3; }
+            elseif ($o >= 0xC0) { $n = 2; }
+            $tok = substr($line, $i, $n);
+            $i  += $n;
+            // 续行要以空格开头，所以后续每行实际只能放 74 字节
+            $room = $out === [] ? $limit : $limit - 1;
+            if ($len + $n > $room) {
+                $out[] = $cur;
+                $cur   = '';
+                $len   = 0;
+            }
+            $cur .= $tok;
+            $len += $n;
+        }
+        if ($cur !== '') {
+            $out[] = $cur;
+        }
+        // 续行补前导空格
+        $res = [];
+        foreach ($out as $k => $v) {
+            $res[] = $k === 0 ? $v : ' ' . $v;
+        }
+        return $res;
+    }
+}