补齐未接入代码的功能域：参与人 / 评论 / 花销与分摊

数据库里早就建好了 comments、node_members + role_tags、expenses +
expense_splits 三组表，但一直没有代码接入。本次把这三块连上业务，
并新增「节点详情页」作为聚合入口。

新增
- src/Access.php          统一归属校验。此前每个控制器各写各的 family_id
                          条件，容易漏；现在 activity()/node()/target() 一处收敛，
                          requireAdmin() 统一管理员判断。
- src/Comments.php        两级平铺：parent_id 只允许指向顶层，写「回复的回复」
                          时规范化回顶层；删顶层会连同回复一起删。
- src/Members.php         参与人 + 角色标签 + 情绪 + 签到。情绪目录 17 项，
                          全部选用 Emoji 11.0（2018）及以前的码位，避免旧系统
                          字体缺字形显示成空白方块。
- src/Expenses.php        花销与分摊。分摊按「分」为单位 intdiv 平均，
                          余数归最后一人，保证 SUM(share_amount) = total_amount。
- templates/nodes/show.php 节点详情页：基本信息 + 参与人 + 花销 + 讨论 + 附件入口。
- 角色标签管理、评论区、参与人区、花销区各自的模板与控制器。

修复
- 越权：往别人活动的节点上插节点、把别家用户加成参与人，都只校验了
  「节点存在」，没校验「用户与节点同家庭」。现统一走 Access。
- 删活动时节点附件文件删不掉：附件在 /uploads/attachments/ 下，却调了
  只认 /uploads/covers/ 的删除函数，判定不通过 → 文件永久残留。改为
  统一的 deleteUploadFile()，两个目录都认。
- 删有引用记录的用户会 500（activities.created_by / attachments.uploader_id /
  comments.author_id / expenses.payer_user_id 这几处没有级联，也没做前置检查）。

其他
- 活动/节点列表补上附件、评论、参与人、花销四个计数（一次 GROUP BY 查完）。
- 首页布局新增一条迁移易踩的规避：新列上的索引必须排在 ALTER TABLE 之后。
- 新增 .gitignore：config.php（含数据库口令）与 uploads/ 下用户上传的
  头像封面不入库，只保留 uploads/.htaccess 那条禁止执行脚本的规则。
- 新增 config.example.php 作为新环境的配置模板。

本批不改数据库结构，不需要任何数据迁移。

本地与线上验证
- php -l 全绿（PHP 8.4 本地 / 线上 7.4.30 与 8.1.7 双版本）。
- 模板渲染检查 180 项全通过。
- 线上端到端 153 项全通过：登录、活动增删改查、节点流转、
  参与人/角色标签/情绪/签到、评论、花销与分摊、权限、级联清理、
  全站页面无 PHP 报错泄漏、跑完基线逐表核对且既有 id 集合逐字未变。
- 顺带写了 trip_sql_column_check.py：拿真实库表结构静态校验全项目 SQL 的
  列名引用。本次就是靠它之外的 e2e 抓到 travel_modes 并没有 line_name
  （该列属于 trip_nodes），一个列名写错导致节点详情页整页 Fatal。

templates/nodes/attachments.php

@@ -0,0 +1,139 @@
+<div class="page-header">
+    <div>
+        <h1>节点附件</h1>
+        <p class="muted">
+            <a href="<?= url('activities/show', ['id' => $node['activity_id']]) ?>">
+                <?= e($node['activity_title']) ?>
+            </a>
+            ·
+            <?= e($node['title'] ?: '无标题节点') ?>
+            ·
+            <?= $node['node_category'] === 'plan' ? '计划' : '执行' ?>
+        </p>
+    </div>
+    <a href="<?= url('activities/show', ['id' => $node['activity_id']]) ?>" class="btn">返回活动</a>
+</div>
+
+<form method="post" action="<?= url('attachments/upload') ?>" enctype="multipart/form-data" class="form" style="margin-bottom:24px;">
+    <input type="hidden" name="_csrf" value="<?= e(csrf_token()) ?>">
+    <input type="hidden" name="node_id" value="<?= (int)$node['id'] ?>">
+
+    <div class="form-row">
+        <label>上传附件</label>
+        <div class="drop-zone" id="drop-zone">
+            <input type="file" name="files[]" id="file-input" multiple style="display:none;">
+            <div class="drop-zone-inner">
+                <div style="font-size:32px;">📎</div>
+                <p style="margin:6px 0 0;">点击或拖拽文件到这里</p>
+                <p class="muted" style="font-size:12px; margin:4px 0 0;">
+                    支持 JPG / PNG / GIF / WebP / PDF / DOC / XLS / MP4 等，单个不超过 20MB
+                </p>
+            </div>
+        </div>
+        <div id="file-list" class="file-list"></div>
+    </div>
+
+    <div class="form-actions">
+        <button type="submit" class="btn-primary" id="btn-submit-upload" style="display:none;">开始上传</button>
+    </div>
+</form>
+
+<h2 style="font-size:16px; margin: 32px 0 12px;">已上传（<?= count($attachments) ?>）</h2>
+
+<?php if (empty($attachments)): ?>
+    <div class="empty">
+        <p>暂无附件，上传第一张机票/门票/照片吧</p>
+    </div>
+<?php else: ?>
+    <div class="attachment-grid">
+        <?php foreach ($attachments as $att):
+            $url = $att['file_url'];
+            $name = $att['file_name'] ?: basename($url);
+            $ext = strtolower(pathinfo($name, PATHINFO_EXTENSION));
+            $isImage = in_array($ext, ['jpg','jpeg','png','gif','webp','heic'], true);
+            $filePath = dirname(__DIR__, 2) . $url;
+            $size = is_file($filePath) ? filesize($filePath) : 0;
+            $sizeText = $size > 0 ? ($size < 1024 * 1024
+                ? round($size / 1024, 1) . ' KB'
+                : round($size / 1024 / 1024, 2) . ' MB') : '';
+        ?>
+            <div class="attachment-card">
+                <a href="<?= e($url) ?>" target="_blank" class="attachment-link">
+                    <?php if ($isImage): ?>
+                        <img src="<?= e($url) ?>" alt="" class="attachment-thumb">
+                    <?php else: ?>
+                        <div class="attachment-icon">
+                            <?php
+                            $icons = ['pdf'=>'📄','doc'=>'📝','docx'=>'📝','xls'=>'📊','xlsx'=>'📊','mp4'=>'🎬','mov'=>'🎬','zip'=>'🗜️'];
+                            echo $icons[$ext] ?? '📎';
+                            ?>
+                        </div>
+                    <?php endif; ?>
+                </a>
+                <div class="attachment-meta">
+                    <div class="attachment-name" title="<?= e($name) ?>"><?= e($name) ?></div>
+                    <div class="attachment-sub">
+                        <?= e($att['uploader_name'] ?: '未知') ?>
+                        <?php if ($sizeText): ?> · <?= e($sizeText) ?><?php endif; ?>
+                    </div>
+                    <form method="post" action="<?= url('attachments/destroy') ?>" style="display:inline;"
+                          onsubmit="return confirm('确定删除此附件？');">
+                        <input type="hidden" name="_csrf" value="<?= e(csrf_token()) ?>">
+                        <input type="hidden" name="id" value="<?= (int)$att['id'] ?>">
+                        <button type="submit" class="attachment-delete" title="删除">×</button>
+                    </form>
+                </div>
+            </div>
+        <?php endforeach; ?>
+    </div>
+<?php endif; ?>
+
+<script>
+(function () {
+    var dropZone = document.getElementById('drop-zone');
+    var fileInput = document.getElementById('file-input');
+    var fileList = document.getElementById('file-list');
+    var btnSubmit = document.getElementById('btn-submit-upload');
+    if (!dropZone || !fileInput) return;
+
+    dropZone.addEventListener('click', function () { fileInput.click(); });
+
+    dropZone.addEventListener('dragover', function (e) {
+        e.preventDefault();
+        dropZone.classList.add('dragging');
+    });
+    dropZone.addEventListener('dragleave', function () {
+        dropZone.classList.remove('dragging');
+    });
+    dropZone.addEventListener('drop', function (e) {
+        e.preventDefault();
+        dropZone.classList.remove('dragging');
+        if (e.dataTransfer.files.length) {
+            fileInput.files = e.dataTransfer.files;
+            refreshList();
+        }
+    });
+
+    fileInput.addEventListener('change', refreshList);
+
+    function refreshList() {
+        fileList.innerHTML = '';
+        var files = fileInput.files;
+        if (!files.length) {
+            btnSubmit.style.display = 'none';
+            return;
+        }
+        for (var i = 0; i < files.length; i++) {
+            var f = files[i];
+            var size = f.size < 1024 * 1024
+                ? (f.size / 1024).toFixed(1) + ' KB'
+                : (f.size / 1024 / 1024).toFixed(2) + ' MB';
+            var row = document.createElement('div');
+            row.className = 'file-row';
+            row.textContent = '📎 ' + f.name + '  (' + size + ')';
+            fileList.appendChild(row);
+        }
+        btnSubmit.style.display = 'inline-block';
+    }
+})();
+</script>