fix(后台): 会话吊销、导入查重、练习题校验，以及一批后台页面的小毛病

后台代码审查后的一批修复。

后端：
- 改密码 / 重置密码 / 禁用账号现在真的把该用户所有设备的会话删掉。原来只
  publishSessionRevoked 广播断 WebSocket，HTTP 拿着旧 cookie 照样能用到会话
  自然过期 —— 给被盗用的账号改密码等于没改。为此在 Redis 里补了反向索引
  user-sessions:<id>（createSession 写入、登出和失效路径清理、跟着会话续期）。
- 导入用户补齐校验：邮箱走 z.email()、批内查重、库内查重，用户名和邮箱各报各的；
  用户名和邮箱都归一成小写，和登录的 lower(username) 比较口径对齐。以前导入这条
  路什么都不查，而前端占位邮箱按「班级+批内序号」拼，同一个班导第二批必然重号，
  那两个账号从此在后台保存一次就撞 409、再也改不动。前端生成的占位邮箱同步加了
  每批随机后缀。
- PUT /users/:id 的邮箱查重改比 lower(email)，存量大小写混着的数据也能拦住。
- 删用户的裸 catch 收窄成只认外键冲突 23503（顺 cause 链找，drizzle 0.45 把驱动
  错误包了一层），别的错照常抛 500，不再把连接故障说成「该用户还有历史数据」。
- 练习题 data 补语义校验（services/exercise.ts）：没有 {{空位}} 的填空题、空选项的
  选择题、越界的下标等一律拒收。以前后端零校验，坏数据只有学生端会撞到。
- PUT /judge-servers/:id 改用 queryInteger，非数字 id 回 404 而不是 500。
- 比赛克隆不加归属校验是**有意的**（快速再开一场以前的比赛；保密边界在师生之间不在
  教师之间），把这条政策和它的副作用写进注释，免得反复被当成漏洞。

前端：
- 编辑用户弹窗的「班级」输入框改成只读 —— 它一直是个改了没用的控件，班级由后端从
  用户名推导。
- 新建用户预填唯一占位邮箱、角色默认改成实际会建出来的 Regular User、密码留空直接拦。
- 比赛题目列表的列过滤写的是 top_reaction，实际 key 是 topReaction，空列一直没被滤掉。
- AI 生成流程图加 try/finally，接口失败不再把按钮卡在 loading。
- 单个判题机删除后刷新表格；后台首页显示在线判题机数量（后端一直在下发）。
- 下载测试点失败时读 Blob 里的错误信封弹提示，不再毫无反应。
- 练习题编辑器补上和后端一致的前置校验。

验证：tsc / vue-tsc / vite build / check:routes 全过；后端每条改动都在本机起服务
实跑确认（会话吊销、导入各种重复、练习题七种题型、外键 409、非数字 id）。

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01RC5uL72UY9aZFuTvUKe2jv

apps/api/src/routes/admin/tutorial.ts

@@ -14,6 +14,7 @@ import { Hono } from "hono"
 import { requireSuperAdmin, type AppEnv } from "../../auth/middleware"
 import { db, schema } from "../../db"
 import { failure, success } from "../../http"
+import { exerciseDataError } from "../../services/exercise"
 import { objectValue, queryInteger, sampleUser } from "../helpers"
 
 export const adminTutorialRoutes = new Hono<AppEnv>()
@@ -150,6 +151,8 @@ adminTutorialRoutes.post("/exercises", requireSuperAdmin, async (c) => {
   const [tutorial] = await db.select({ id: schema.tutorial.id }).from(schema.tutorial)
     .where(eq(schema.tutorial.id, parsed.data.tutorialId)).limit(1)
   if (!tutorial) return failure(c, 404, "tutorial-not-found", "Tutorial does not exist")
+  const dataError = exerciseDataError(parsed.data.type, parsed.data.data)
+  if (dataError) return failure(c, 400, "invalid-exercise", dataError)
   const [created] = await db.insert(schema.exercise).values({
     tutorialId: parsed.data.tutorialId,
     type: parsed.data.type,
@@ -165,6 +168,8 @@ adminTutorialRoutes.put("/exercises/:id", requireSuperAdmin, async (c) => {
   if (!parsed.success) {
     return failure(c, 400, "invalid-request", parsed.error.issues[0]?.message ?? "Invalid payload")
   }
+  const dataError = exerciseDataError(parsed.data.type, parsed.data.data)
+  if (dataError) return failure(c, 400, "invalid-exercise", dataError)
   const [updated] = await db.update(schema.exercise)
     .set({ type: parsed.data.type, data: parsed.data.data, order: parsed.data.order })
     .where(eq(schema.exercise.id, queryInteger(c.req.param("id"), 0, { min: 1 })))