交通字段简化 + 照片多图/裁剪/双存储后端 + 界面重构

交通字段
- 飞机只记航班号、火车只记车次，不再收座位号 / 线路 / 承运人 / 登机口
  （多人同乘一趟时座位号本来就无意义）
- trip_nodes 的历史列保留但不再写入也不再渲染，编辑一次即被显式清成 NULL
- 节点表单按出行方式切换号码标签（航班号 / 车次 / 班次 / 线路 / 航次）

照片
- 一个节点可传多张照片，前端支持逐张裁剪（Cropper.js，只把裁过的走 base64）
- MIME 由自建的 src/Mime.php 按内容识别：getimagesize → 魔数嗅探 → 扩展名映射，
  刻意不依赖 fileinfo —— 线上同时装着 PHP 7.4（没装该扩展）与 8.1
- 单张体积上限、可传张数在设置页可调

双存储后端
- 本站 uploads/ 或阿里云 OSS，在「存储设置」页配 endpoint / 桶名 / 前缀 / 内网开关；
  OSS 配置不完整时静默回退本地，避免管理员填错就把上传整个弄挂
- OSS 鉴权支持 ECS 实例 RAM 角色换 STS 临时凭证（临时凭证缓存在 /tmp，不落 Web 目录），
  也支持直接填 AccessKey
- OSS V1 签名手写实现，不引 SDK（本项目无 composer / 无 autoload）

媒体代理
- 照片与活动封面一律经 media/show、media/cover 代理输出，先校验家庭归属再吐字节
- 页面里不出现 OSS 域名，也不出现本地真实路径；桶保持私有
- 响应带 nosniff，并关闭 display_errors，免得 PHP 报错混进图片正文把图弄坏

数据库
- 新增迁移机制（src/Migrate.php + tools/migrate.php，仅 CLI 可跑）
- 建 app_settings 表；attachments 增加 storage / object_key / mime_type / size_bytes /
  width / height / is_image 与 idx_storage
- MySQL 8 不支持「加列时带 IF NOT EXISTS」，迁移一律先查 information_schema

界面
- 顶栏只留品牌与「新建活动」，其余入口收进右上角下拉菜单（details/summary，零 JS 可开合）
- 新增「存储设置」页：当前生效存储、数据库结构版本、是否 ECS 运行环境三张状态卡，
  外加测试连接与角色探测
- 样式表整体重写

验证
- 模板渲染检查 234 项、SQL 列名静态检查、模板到 CSS 的类覆盖检查、内联 JS 语法检查全通过
- 已部署到 trip.yangyq.net 并完成线上验证：双 PHP（8.1 / 7.4）14 条路由渲染字节数完全一致、
  26 项内容断言全部通过、照片代理取件与磁盘原件逐字节一致（69/69 字节）

src/Controllers/UserController.php

@@ -5,6 +5,7 @@ namespace App\Controllers;
 
 use App\Auth;
 use App\Database;
+use App\Mime;
 
 class UserController
 {
@@ -353,7 +354,6 @@ class UserController
         $ext = strtolower($m[1]);
         if ($ext === 'jpeg') $ext = 'jpg';
         $raw = base64_decode($m[2], true);
-
         if ($raw === false) {
             http_response_code(400);
             echo json_encode(['error' => '图片解码失败'], JSON_UNESCAPED_UNICODE);
@@ -366,9 +366,9 @@ class UserController
             exit;
         }
 
-        $finfo = finfo_open(FILEINFO_MIME_TYPE);
-        $mime = finfo_buffer($finfo, $raw);
-        finfo_close($finfo);
+        // 不用 finfo：线上 PHP 7.4 没有 fileinfo 扩展（改用 Mime 的多层兜底）
+        $info = Mime::detectBuffer($raw);
+        $mime = $info['mime'] ?? '';
         if (!in_array($mime, ['image/jpeg', 'image/png', 'image/webp'], true)) {
             http_response_code(400);
             echo json_encode(['error' => '文件不是有效图片'], JSON_UNESCAPED_UNICODE);
@@ -378,7 +378,8 @@ class UserController
         $dir = dirname(__DIR__, 2) . '/uploads/avatars';
         if (!is_dir($dir)) mkdir($dir, 0755, true);
 
-        $filename = date('Ymd') . '_' . bin2hex(random_bytes(8)) . '.' . $ext;
+        // 扩展名以「实际识别出的类型」为准，别信前端给的
+        $filename = date('Ymd') . '_' . bin2hex(random_bytes(8)) . '.' . (Mime::extFor($mime) ?? $ext);
         $savePath = $dir . '/' . $filename;
 
         if (file_put_contents($savePath, $raw) === false) {