fix(后台): 会话吊销、导入查重、练习题校验，以及一批后台页面的小毛病

后台代码审查后的一批修复。

后端：
- 改密码 / 重置密码 / 禁用账号现在真的把该用户所有设备的会话删掉。原来只
  publishSessionRevoked 广播断 WebSocket，HTTP 拿着旧 cookie 照样能用到会话
  自然过期 —— 给被盗用的账号改密码等于没改。为此在 Redis 里补了反向索引
  user-sessions:<id>（createSession 写入、登出和失效路径清理、跟着会话续期）。
- 导入用户补齐校验：邮箱走 z.email()、批内查重、库内查重，用户名和邮箱各报各的；
  用户名和邮箱都归一成小写，和登录的 lower(username) 比较口径对齐。以前导入这条
  路什么都不查，而前端占位邮箱按「班级+批内序号」拼，同一个班导第二批必然重号，
  那两个账号从此在后台保存一次就撞 409、再也改不动。前端生成的占位邮箱同步加了
  每批随机后缀。
- PUT /users/:id 的邮箱查重改比 lower(email)，存量大小写混着的数据也能拦住。
- 删用户的裸 catch 收窄成只认外键冲突 23503（顺 cause 链找，drizzle 0.45 把驱动
  错误包了一层），别的错照常抛 500，不再把连接故障说成「该用户还有历史数据」。
- 练习题 data 补语义校验（services/exercise.ts）：没有 {{空位}} 的填空题、空选项的
  选择题、越界的下标等一律拒收。以前后端零校验，坏数据只有学生端会撞到。
- PUT /judge-servers/:id 改用 queryInteger，非数字 id 回 404 而不是 500。
- 比赛克隆不加归属校验是**有意的**（快速再开一场以前的比赛；保密边界在师生之间不在
  教师之间），把这条政策和它的副作用写进注释，免得反复被当成漏洞。

前端：
- 编辑用户弹窗的「班级」输入框改成只读 —— 它一直是个改了没用的控件，班级由后端从
  用户名推导。
- 新建用户预填唯一占位邮箱、角色默认改成实际会建出来的 Regular User、密码留空直接拦。
- 比赛题目列表的列过滤写的是 top_reaction，实际 key 是 topReaction，空列一直没被滤掉。
- AI 生成流程图加 try/finally，接口失败不再把按钮卡在 loading。
- 单个判题机删除后刷新表格；后台首页显示在线判题机数量（后端一直在下发）。
- 下载测试点失败时读 Blob 里的错误信封弹提示，不再毫无反应。
- 练习题编辑器补上和后端一致的前置校验。

验证：tsc / vue-tsc / vite build / check:routes 全过；后端每条改动都在本机起服务
实跑确认（会话吊销、导入各种重复、练习题七种题型、外键 409、非数字 id）。

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01RC5uL72UY9aZFuTvUKe2jv

apps/web/src/admin/user/list.vue

@@ -178,8 +178,12 @@ function createNewUser() {
     id: 0,
     username: "",
     realName: "",
-    email: "",
-    adminType: "Student Admin",
+    // 预填一个唯一的占位邮箱：这条路走的是导入接口，后端要求邮箱合法且不重复，
+    // 留空会直接被打回。想填真邮箱就改掉它
+    email: `user.${Math.random().toString(36).slice(2, 10)}@example.com`,
+    // 导入接口写死建成普通用户（后端 POST /admin/users），这里不摆一个建不出来的
+    // 角色。要给管理员权限，建完再用「编辑」改
+    adminType: "Regular User",
     problemPermission: "None",
     createTime: null,
     lastLogin: null,
@@ -204,6 +208,11 @@ function onCloseEditModal() {
 
 async function handleEditUser() {
   if (!userEditing.value) return
+  // 新建走的是导入接口，密码是必填的（后端 min(1)），留空只会换来一句 400
+  if (create.value && !password.value) {
+    message.error("新建用户必须填写密码")
+    return
+  }
   if (password.value && password.value.length < 6) {
     message.error("密码长度不得小于 6")
     return
@@ -317,8 +326,14 @@ watch(() => [query.page, query.limit, query.type, query.orderBy], listUsers)
         <n-form-item-gi :span="1" label="真名">
           <n-input v-model:value="userEditing.realName" />
         </n-form-item-gi>
+        <!-- 班级是后端从用户名的 ks 数字前缀推出来的（classNameOf），
+             editUser 也不发这个字段，所以这里只读 —— 以前是个能改、改了没用的输入框 -->
         <n-form-item-gi v-if="!create" :span="1" label="班级">
-          <n-input v-model:value="userEditing.className" />
+          <n-input
+            :value="userEditing.className"
+            disabled
+            placeholder="由用户名自动推导"
+          />
         </n-form-item-gi>
         <n-form-item-gi :span="1" label="邮箱">
           <n-input v-model:value="userEditing.email" />