fix: 修复学生代码窃取 token、提示词链 XSS 和打分没有上限的问题

- 运行提交代码的 iframe（编辑器预览、随机评分弹窗、/submission/:id、全屏预览）
  加上 sandbox，不给 allow-same-origin，代码读不到 localStorage 里的 token
- 提示词和 AI 回复的 markdown 渲染时转义原始 HTML，链接只放行 http(s)/mailto；
  ChainModal 也改用这个渲染函数
- 打分限定 1-5 分（超出返回 422），不能给自己的提交打分

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

client/src/components/ai/RandomRatingModal.vue

@@ -14,7 +14,11 @@
       {{ current.task_title }} · 提交者 {{ current.username }}
     </n-text>
     <div class="preview-wrapper">
-      <iframe class="preview-iframe" :srcdoc="previewContent"></iframe>
+      <iframe
+        class="preview-iframe"
+        :sandbox="PREVIEW_SANDBOX"
+        :srcdoc="previewContent"
+      ></iframe>
     </div>
     <div class="rate-row">
       <n-rate
@@ -38,7 +42,10 @@ import { ref, watch, onUnmounted } from "vue"
 import { useMessage } from "naive-ui"
 import { Submission } from "../../api"
 import { streaming } from "../../store/prompt"
-import { buildPreviewDocument } from "../../utils/previewDocument"
+import {
+  buildPreviewDocument,
+  PREVIEW_SANDBOX,
+} from "../../utils/previewDocument"
 import type { RandomRatingItem } from "../../utils/type"
 
 const message = useMessage()