交通字段简化 + 照片多图/裁剪/双存储后端 + 界面重构

交通字段
- 飞机只记航班号、火车只记车次，不再收座位号 / 线路 / 承运人 / 登机口
  （多人同乘一趟时座位号本来就无意义）
- trip_nodes 的历史列保留但不再写入也不再渲染，编辑一次即被显式清成 NULL
- 节点表单按出行方式切换号码标签（航班号 / 车次 / 班次 / 线路 / 航次）

照片
- 一个节点可传多张照片，前端支持逐张裁剪（Cropper.js，只把裁过的走 base64）
- MIME 由自建的 src/Mime.php 按内容识别：getimagesize → 魔数嗅探 → 扩展名映射，
  刻意不依赖 fileinfo —— 线上同时装着 PHP 7.4（没装该扩展）与 8.1
- 单张体积上限、可传张数在设置页可调

双存储后端
- 本站 uploads/ 或阿里云 OSS，在「存储设置」页配 endpoint / 桶名 / 前缀 / 内网开关；
  OSS 配置不完整时静默回退本地，避免管理员填错就把上传整个弄挂
- OSS 鉴权支持 ECS 实例 RAM 角色换 STS 临时凭证（临时凭证缓存在 /tmp，不落 Web 目录），
  也支持直接填 AccessKey
- OSS V1 签名手写实现，不引 SDK（本项目无 composer / 无 autoload）

媒体代理
- 照片与活动封面一律经 media/show、media/cover 代理输出，先校验家庭归属再吐字节
- 页面里不出现 OSS 域名，也不出现本地真实路径；桶保持私有
- 响应带 nosniff，并关闭 display_errors，免得 PHP 报错混进图片正文把图弄坏

数据库
- 新增迁移机制（src/Migrate.php + tools/migrate.php，仅 CLI 可跑）
- 建 app_settings 表；attachments 增加 storage / object_key / mime_type / size_bytes /
  width / height / is_image 与 idx_storage
- MySQL 8 不支持「加列时带 IF NOT EXISTS」，迁移一律先查 information_schema

界面
- 顶栏只留品牌与「新建活动」，其余入口收进右上角下拉菜单（details/summary，零 JS 可开合）
- 新增「存储设置」页：当前生效存储、数据库结构版本、是否 ECS 运行环境三张状态卡，
  外加测试连接与角色探测
- 样式表整体重写

验证
- 模板渲染检查 234 项、SQL 列名静态检查、模板到 CSS 的类覆盖检查、内联 JS 语法检查全通过
- 已部署到 trip.yangyq.net 并完成线上验证：双 PHP（8.1 / 7.4）14 条路由渲染字节数完全一致、
  26 项内容断言全部通过、照片代理取件与磁盘原件逐字节一致（69/69 字节）

src/helpers.php

@@ -65,19 +65,82 @@ function csrf_token(): string
     return $_SESSION['_csrf'];
 }
 
+/**
+ * 校验 CSRF。两个通道都收：
+ *   表单  → 隐藏字段 _csrf
+ *   XHR   → 请求头 X-CSRF-Token（自定义头跨站加不上，同样安全，且不必把 token 塞进 body）
+ */
 function csrf_check(): void
 {
     $token = $_POST['_csrf'] ?? '';
-    if (!hash_equals($_SESSION['_csrf'] ?? '', $token)) {
+    if ($token === '') {
+        $token = $_SERVER['HTTP_X_CSRF_TOKEN'] ?? '';
+    }
+    if (!hash_equals($_SESSION['_csrf'] ?? '', (string)$token)) {
         http_response_code(419);
         exit('CSRF token 校验失败');
     }
 }
 
+/** 把 php.ini 里的 "8M" / "512K" 这类值换算成字节 */
+function ini_bytes(string $value): int
+{
+    $value = trim($value);
+    if ($value === '' || $value === '-1') {
+        return 0;   // 不限
+    }
+    $unit = strtolower(substr($value, -1));
+    $num  = (int)$value;
+    switch ($unit) {
+        case 'g': return $num * 1024 * 1024 * 1024;
+        case 'm': return $num * 1024 * 1024;
+        case 'k': return $num * 1024;
+        default:  return $num;
+    }
+}
+
 function json_decode_field($json, $default = [])
 {
     if (empty($json)) return $default;
     if (is_array($json)) return $json;
     $decoded = json_decode($json, true);
     return $decoded ?? $default;
+}
+
+/**
+ * 附件的查看地址 —— 走 media/show 代理，页面里**永远不出现存储后端的真实地址**
+ * （OSS 桶是私有的，直链既取不到、也不该暴露给浏览器）。
+ */
+function media_att(int $attachmentId, bool $download = false): string
+{
+    return url('media/show', $download ? ['id' => $attachmentId, 'dl' => 1] : ['id' => $attachmentId]);
+}
+
+/** 活动封面地址（同样走代理） */
+function media_cover(int $activityId): string
+{
+    return url('media/cover', ['id' => $activityId]);
+}
+
+/**
+ * 头像地址。头像是本站本地文件，但仍做一次前缀校验，
+ * 避免历史数据里塞了外部地址把图片挂到第三方去。
+ */
+function media_avatar(?string $url): string
+{
+    $url = trim((string)$url);
+    if ($url === '' || strpos($url, '/uploads/avatars/') !== 0 || strpos($url, '..') !== false) {
+        return '';
+    }
+    return $url;
+}
+
+/** 人类可读的文件大小 */
+function human_size(?int $bytes): string
+{
+    $bytes = (int)$bytes;
+    if ($bytes <= 0) return '';
+    if ($bytes < 1024) return $bytes . ' B';
+    if ($bytes < 1024 * 1024) return round($bytes / 1024, 1) . ' KB';
+    return round($bytes / 1024 / 1024, 2) . ' MB';
 }