v24 第 2 轮：19 条清单收尾（附件预览/CalDAV/任务分类看板/全局选人/家谱/纪念日/财务）

用户 2026-10-02 提的 19 条需求，本轮完成剩下的 8 条 + CalDAV 服务端：

- ③ 附件：图片/视频给缩略图，PDF/Word/Excel 给**同尺寸**图标；可预览的在本页
     弹层里看（不再新开标签页），渲染不了的点了直接下载；预览层右上角恒有下载按钮。
- ⑦b CalDAV：把「我的日历本」按 RFC 4791 只读子集分享出去（OPTIONS/PROPFIND/
     REPORT/GET，写方法一律 403）。用**专用口令**（库里只存 sha256），不是登录口令。
- ⑨⑩ 任务：分类与看板都由用户自建；已完成的任务从看板消失，改在「已完成」页
     按分类查看/搜索；设置入口在「新建任务」旁的 ☰。
- ⑪ 全局人员选择器：一个片段铺到观影/旅程/资源/日历共享/任务共享/财务共享；
     修掉了老组件「名字和拼音都搜不动」的 bug —— .att-item 自己声明了 display:flex，
     压过了浏览器 [hidden]{display:none}，过滤根本没生效。
- ⑫ 家谱：头像改方形不再裁切；姻亲不在图上的卡片给「⇄ 姻亲」入口，
     以 TA 为中心重画 + 「返回我的家谱」。
- ⑬ 纪念日：阴历/阳历都能设且按对应历法重复；名册里每个人的生日默认可见
     （实时派生，不复制一份）；全部作为全天日程进日历。
- ⑮ 财务：账本可共享，双方都能记账、都能看全部账目，资产−负债=净资产；
     金额一律以「分」存，不用浮点。

验证：端到端 724 项通过 / 0 失败；几何 368、交互 97、移动端 516、家谱 24、
升级 123 全绿；SQL 列名静态校验 0 处可疑；部署 11 条线上探针全过。

router.php

@@ -0,0 +1,31 @@
+<?php
+/**
+ * 前端控制器（路由表）—— 只给 **PHP 内置服务器** 用（php -S ... router.php）。
+ *
+ * 为什么要它：
+ *   · 线上是 Apache，`/dav/3.ics/` 这种没有对应文件的 URL 靠 .htaccess 重写到 dav.php；
+ *   · 本地 `php -S` **不读 .htaccess**，所以同一个地址会被当成"文件不存在"直接 404，
+ *     于是「CalDAV 在本地测不了、只能上线验证」——这正是最容易上线才发现问题的写法。
+ *   这个文件把那几条重写规则用 PHP 重述一遍，本地与线上一模一样的路径行为。
+ *
+ * ⚠️ 里面**不写任何业务**：只决定"交给哪个脚本"，所有业务仍在 index.php / dav.php / media.php。
+ *    线上部署不该带它（Apache 走 .htaccess），但带着也无害 —— 它不会被执行。
+ */
+
+$path = (string)parse_url((string)($_SERVER['REQUEST_URI'] ?? '/'), PHP_URL_PATH);
+
+// CalDAV：/dav/ 及其子路径（/dav/、/dav/3.ics/、/dav/3.ics/12.ics）
+if (preg_match('#^/dav(/.*)?$#', $path)) {
+    require __DIR__ . '/dav.php';
+    return true;
+}
+
+// 真实存在的文件（静态资源、media.php 等）→ 交给内置服务器自己处理
+$file = __DIR__ . $path;
+if ($path !== '/' && is_file($file)) {
+    return false;
+}
+
+// 其余交给主路由
+require __DIR__ . '/index.php';
+return true;