fix: 修复中危问题：注册接口、模型名、LLM 超时、WebSocket 断线、未公开任务泄露等

服务端
- 删掉没人用的 /account/register，外网不能再批量注册小号
- 模型名只放行豆包和配置的 LLM_MODEL，浏览器里存的旧模型名换成默认模型；
  聊天默认模型改读 LLM_MODEL
- 流式生成改成 120 秒无数据才超时（另有 15 分钟总上限），思考模型不会被中途掐断；
  SSE 最后一行没有换行时不再丢内容
- WebSocket：token 无效 401、任务不存在 404，建对话失败时关闭连接；
  引导出错时把没有回复的提问移出上下文
- 未公开的教程只有超管能看，未公开的挑战和素材管理员也能看，其他人 404
- Caddy：/media 加 CSP sandbox 和 nosniff，上传的 html/svg 直接打开不能跑脚本；
  加 CORS，预览 iframe 里的代码可以读取字体和 fetch 素材

前端
- 新增 ReconnectingSocket：意外断开后退避重连，握手失败先刷新 token；
  断线时清掉“生成中”状态，旧连接的事件不再改写新连接
- marked 扩展抽到 utils/markdown.ts：教程用独立实例，不再改全局 marked；
  学生内容的渲染保留高亮，不带会渲染原始 HTML 的 preview 扩展
- 挑战页、创作页加载完成前离开时不再建立连接，离开时关闭引导弹窗
- 教程、提交列表、用户管理跟随浏览器前进后退；快速翻页只用最后一次结果，
  改筛选条件不再请求两次
- 随机评分弹窗在 AI 回复完之后不再弹出

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

server/tests/unit.test.ts

@@ -1,6 +1,7 @@
 import { describe, expect, test } from "bun:test"
 import { pyRound, pySum } from "../src/services/pyround"
-import { extractCode, parseGuidanceResponse } from "../src/services/llm"
+import { chatModel, extractCode, parseGuidanceResponse, streamChat } from "../src/services/llm"
+import { config } from "../src/config"
 import { checkPassword, makePassword } from "../src/auth"
 import { formatMicros, iso, uuidHex, uuidOut } from "../src/db"
 import { toCsv } from "../src/services/gradebook"
@@ -67,3 +68,49 @@ test("时间与 UUID 格式", () => {
 test("CSV 转义", () => {
   expect(toCsv([["a", 'b"c', "d,e"], [1, 2.5, ""]])).toBe('a,"b""c","d,e"\r\n1,2.5,\r\n')
 })
+
+describe("streamChat", () => {
+  test("不认识的模型换成默认模型，最后一行没有换行也能读到", async () => {
+    let model = ""
+    const server = Bun.serve({
+      port: 0,
+      async fetch(req) {
+        model = ((await req.json()) as any).model
+        const line = (s: string) => `data: ${JSON.stringify({ choices: [{ delta: { content: s } }] })}`
+        // 一行拆在两个分块之间，最后一行不带换行
+        const body = `${line("你好")}\n\n${line("世")}\n${line("界")}`
+        const enc = new TextEncoder()
+        const cut = body.indexOf("世") + 2
+        return new Response(
+          new ReadableStream({
+            async start(ctrl) {
+              ctrl.enqueue(enc.encode(body.slice(0, cut)))
+              await Bun.sleep(5)
+              ctrl.enqueue(enc.encode(body.slice(cut)))
+              ctrl.close()
+            },
+          }),
+          { headers: { "content-type": "text/event-stream" } },
+        )
+      },
+    })
+    const saved = { ...config }
+    Object.assign(config, { llmApiKey: "k", llmBaseUrl: `http://localhost:${server.port}` })
+    try {
+      let out = ""
+      for await (const s of streamChat([{ role: "user", content: "hi" }], "deepseek-v4-flash-thinking")) out += s
+      expect(out).toBe("你好世界")
+      expect(model).toBe(config.llmModel)
+    } finally {
+      Object.assign(config, saved)
+      server.stop(true)
+    }
+  })
+
+  test("chatModel 只放行配置里的模型", () => {
+    expect(chatModel("doubao-seed-2-1-lite-260915")).toBe("doubao-seed-2-1-lite-260915")
+    expect(chatModel(config.llmModel)).toBe(config.llmModel)
+    expect(chatModel("gpt-5")).toBe(config.llmModel)
+    expect(chatModel("")).toBe(config.llmModel)
+  })
+})