附件限制全部支持填 0 = 不限制 (#4)

用户要求：附件存储里所有限制项（几张图、几个视频、大小、总量、保留天数、
每小时次数）都能填 0，0 表示没有任何限制。

## 最危险的地方：填 0 原本是「全禁」不是「不限」

两处逻辑把 0 判成了禁止，语义正好相反：

1. `fb_rate_check()` —— `count < limit`，limit=0 时 `0 < 0` 为假
   ⇒ 每小时上传次数填 0 = 一次都不许传
2. 每帖数量校验 —— `count > max`，max=0 时传一个就超限
   ⇒ 每帖图片填 0 = 一张都不许传

都改成「limit <= 0 直接放行」。

## 校验区间与 input 下限全部放开到 0

| 字段 | 原下限 | 现下限 |
|---|---|---|
| image_max_per_post | 0（但界面上限 20） | 0，上限 1000 |
| video_max_per_post | 0（上限 10） | 0，上限 1000 |
| image_max_bytes | 0.2 MB | 0，上限 1024 MB |
| video_max_bytes | 1 MB | 0，上限 10240 MB |
| total_cap_bytes | 10 MB | 0，上限 1048576 MB |
| retention_days | 1 天 | 0，上限 36500 |
| upload_per_hour | 1 次 | 0，上限 100000 |
| image_max_side | 480 | **保持 480** —— 这是压缩目标边长，不是限制项 |

服务端 `max($range[0], ...)` 不再把 0 拉回下限；input 的 min 一并改 0，
否则浏览器直接拦住连提交都到不了后端。

## 语义冲突：0=不限与「0=关闭该类上传」冲突

原先 `fb_upload_kind_on()` 靠「数量上限是否为 0」判断开关，
0 现在表示不限个数，两者冲突。

按用户选择：**新增独立总开关** `upload.image_on` / `upload.video_on`（默认开），
`fb_upload_kind_on()` 改看开关，不再看数量。
两个新键已加入 `fb_setting_keys()` 白名单（这个坑踩过多次）。

## 前端同步

- `maxCount > 0` 才拦，0 不拦
- 提示文案：数量 0 显示「数量不限」、大小 0 显示「大小不限」，
  不再出现「最多 0 张」这种荒唐文案

## 风险提示（按用户选择用文字告知，不阻止保存）

单张图片/单个视频/全站总量填 0 时，字段下方提示「填 0 时注意：磁盘可能被写满」。

## 验证
0 专项 31/31，关键几条：
- 七项输入框 min 均为 0，image_max_side 保持 480
- 填 0 后数据库里就是 0，没被拉回下限
- **填 0 后行为是放行**：每小时放行、数量不限、总量放行、不清理
- 数量填 0 时上传仍是开的（靠独立开关）
- 取消勾选开关后确实关闭，且与数量填 0 互不干扰
- 非 0 值全部正确（4 张 / 2 个 / 5MB / 50MB / 1024MB / 30 天 / 60 次）

回归全绿：全新安装 33/33、附件 22/22、老基线 25/25、安装向导 60/60、约束检查 20/20。

lib/util.php

@@ -279,12 +279,22 @@ function fb_csrf_ok($t) {
 }
 
 /** 频率限制 */
+/**
+ * 频率检查。
+ * @param int $limit 每小时的允许次数；**0 或负数表示不限制**
+ *
+ * ⚠️ 曾经写成 `count < limit` —— limit=0 时 `0 < 0` 为假，
+ *    用户把「每小时上传次数」设成 0（本意是不限制）会变成「一次都不许传」。
+ *    语义正好相反，属于"填 0 反而全禁掉"的陷阱。
+ */
 function fb_rate_check($action, $limit) {
+    $limit = (int)$limit;
+    if ($limit <= 0) { return true; }   // 0 = 不限制，直接放行
     $pdo   = fb_db();
     $since = time() - 3600;
     $st    = $pdo->prepare('SELECT COUNT(*) FROM rate_limit WHERE ip_hash=? AND action=? AND created_at>=?');
     $st->execute([fb_ip_hash(), $action, $since]);
-    return ((int)$st->fetchColumn()) < (int)$limit;
+    return ((int)$st->fetchColumn()) < $limit;
 }
 function fb_rate_hit($action) {
     $pdo = fb_db();
@@ -382,6 +392,7 @@ function fb_setting_keys() {
         'footer.show_credit', 'footer.credit_url',
         'installed_at',
         'attachment.storage',
+        'upload.image_on', 'upload.video_on',
         'upload.image_max_per_post', 'upload.image_max_bytes',
         'upload.video_max_per_post', 'upload.video_max_bytes',
         'upload.total_cap_bytes',    'upload.retention_days',