chore(格式): Prettier 统一到全仓，后端和契约一次性格式化

原来只有 `apps/web` 在 Prettier 下（配置在 `apps/web/.prettierrc.toml`、脚本在
web 的 package.json），后端和契约从来没格式化过 —— 手写在 100 列上下，`db/schema.ts`
还是 drizzle-kit pull 留下的 tab 缩进。两套口径分叉久了，跨端改一处就得记着「这边
什么风格」。

- 配置搬到根目录 `.prettierrc.toml`，内容不变（`semi=false`，其余全默认，
  printWidth 80 —— 和前端已有的格式一致，不另立一套宽度）；
- 脚本统一成根目录 `bun run fmt`，覆盖 `apps/*/src`、`apps/web/tests` 和两个构建
  配置；web 自己那份 `fmt` 和重复的 prettier 依赖删掉；
- `.prettierignore` 挡掉两类不该碰的：drizzle-kit 生成的 `src/db/meta/` 结构快照
  （它是 db:generate 的比对输入，只该由 drizzle-kit 写）、unplugin 每次 dev 都会
  重写的 `auto-imports.d.ts` / `components.d.ts`；
- 全量跑了一遍。纯格式，无行为改动：api typecheck / check:routes / check:ast、
  前端 type-check 全过，起 api 打了接口确认正常。前端这 39 个文件的小改动是
  prettier 版本漂移（类型断言的换行口径变了），不是新配置带来的。

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

apps/api/src/auth/middleware.ts

@@ -51,20 +51,27 @@ function requireRole(
   return async (c, next) => {
     const session = await resolveSession(c)
     if (!session.user) return denied(c, session.reason)
-    if (!allowed(session.user)) return failure(c, 403, "permission-denied", "权限不足")
+    if (!allowed(session.user))
+      return failure(c, 403, "permission-denied", "权限不足")
     c.set("user", session.user)
     await next()
   }
 }
 
 /** 旧 `@admin_role_required` */
-export const requireAdmin = requireRole((user) => ADMIN_ROLES.includes(user.adminType))
+export const requireAdmin = requireRole((user) =>
+  ADMIN_ROLES.includes(user.adminType),
+)
 
 /** 旧 `@teacher_admin_required` */
-export const requireTeacher = requireRole((user) => TEACHER_ROLES.includes(user.adminType))
+export const requireTeacher = requireRole((user) =>
+  TEACHER_ROLES.includes(user.adminType),
+)
 
 /** 旧 `@super_admin_required` */
-export const requireSuperAdmin = requireRole((user) => user.adminType === "Super Admin")
+export const requireSuperAdmin = requireRole(
+  (user) => user.adminType === "Super Admin",
+)
 
 /**
  * 旧 `@problem_permission_required`：先要是管理员，再要 problem_permission 不为 None。
@@ -72,5 +79,6 @@ export const requireSuperAdmin = requireRole((user) => user.adminType === "Super
  * created_by 过滤 —— 旧后端也是这么分工的，别把两件事混在一起。
  */
 export const requireProblemPermission = requireRole(
-  (user) => ADMIN_ROLES.includes(user.adminType) && user.problemPermission !== "None",
+  (user) =>
+    ADMIN_ROLES.includes(user.adminType) && user.problemPermission !== "None",
 )

apps/api/src/auth/password.ts

@@ -16,7 +16,11 @@ async function verifyDjangoPbkdf2(password: string, encoded: string) {
 
   const iterations = Number(iterationsText)
   const expected = Buffer.from(digestText, "base64")
-  if (!Number.isSafeInteger(iterations) || iterations <= 0 || expected.length === 0) {
+  if (
+    !Number.isSafeInteger(iterations) ||
+    iterations <= 0 ||
+    expected.length === 0
+  ) {
     return false
   }
 

apps/api/src/auth/session.ts

@@ -77,7 +77,12 @@ export async function createSession(
   // 全压在登录这一下上
   const pipeline = redis
     .pipeline()
-    .set(sessionKey(token), JSON.stringify(value), "EX", config.sessionTtlSeconds)
+    .set(
+      sessionKey(token),
+      JSON.stringify(value),
+      "EX",
+      config.sessionTtlSeconds,
+    )
     .sadd(userSessionsKey(userId), token)
     .expire(userSessionsKey(userId), config.sessionTtlSeconds)
   markOnline(pipeline, userId)
@@ -156,7 +161,9 @@ export type SessionResult =
   | { user: AuthUser; reason?: undefined }
   | { user: null; reason: "anonymous" | "disabled" }
 
-async function getUserByToken(token: string | undefined): Promise<SessionResult> {
+async function getUserByToken(
+  token: string | undefined,
+): Promise<SessionResult> {
   if (!token) return { user: null, reason: "anonymous" }
 
   const raw = await redis.get(sessionKey(token))
@@ -285,7 +292,11 @@ async function getStoredSession(c: Context) {
   }
 }
 
-export async function setContestPassword(c: Context, contestId: number, password: string) {
+export async function setContestPassword(
+  c: Context,
+  contestId: number,
+  password: string,
+) {
   const session = await getStoredSession(c)
   if (!session) return false
   session.value.contestPasswords[String(contestId)] = password