feat: 全面系统检查与修复 — 51项问题修复

## 重大修复

### 安全性修复
- 修复 notification read-all SQL 运算符优先级 bug
- 修复 link_url XSS 漏洞（验证 URL 协议）
- 修复 LIKE 通配符注入（转义 % 和 _）
- 修复 uploadImageIfNeeded 运算符优先级 bug
- 401 时清理所有本地存储（token/nickname/avatar/role/group）

### 数据完整性修复
- 修复公告已读状态共享问题（新建 notification_reads 表）
- 修复群组账单数据缺失（退出群组时保留 group_id）
- 修复群组解散后邀请码仍可加入
- 修复分类迁移未校验目标类型
- 修复群组公告缺少 group_id 必填校验

### 功能修复
- 修复 category PUT /sort 路由冲突
- 修复 GROUP BY 不完整问题
- 修复 budget API 类型不匹配
- 修复 categoryStore.migrateCategory 不刷新本地数据
- 修复 groupStore 并发请求问题
- 修复账单页覆盖 store 数据
- 修复群组预算查询返回 0 而非 null
- 修复通知页面 onShow 不刷新列表
- 修复统计页面不必要的重复请求

### 用户体验优化
- 添加通知详情查看功能（弹窗）
- 添加通知图片服务器上传
- 添加 Markdown 富文本工具栏
- 添加管理页面客户端认证检查
- 添加管理员公告页面下拉刷新
- 添加数据导出进度反馈
- 添加账单删除后筛选金额更新
- Numpad 添加安全区域 padding

### 代码质量提升
- 提取 requireAdmin 为共享中间件
- filter-panel 使用设计 token
- 修复 getCurrentMonth 时区不一致
- 备份功能使用分页查询避免内存问题
- 管理后台仪表盘添加缓存
- 邀请码碰撞重试后报错

## 新增文件
- server/src/middleware/requireAdmin.ts — 共享管理员权限中间件
- client/src/pages/admin/notifications/index.vue — 公告管理页面

## 数据库变更
- 新增 notification_reads 表（公告已读记录）
- 群组解散时保留 groups 记录和 transactions.group_id

client/src/pages/bills/index.vue

@@ -88,10 +88,10 @@
 <script setup lang="ts">
 import { ref, computed, onMounted } from 'vue'
 import { onShow, onReachBottom, onPullDownRefresh } from '@dcloudio/uni-app'
-import { useTransactionStore } from '@/stores/transaction'
 import { useUserStore } from '@/stores/user'
 import { useGroupStore } from '@/stores/group'
 import { waitForReady } from '@/utils/app-ready'
+import { getTransactions } from '@/api/transaction'
 import TransactionItem from '@/components/TransactionItem/TransactionItem.vue'
 import Icon from '@/components/Icon/Icon.vue'
 import Skeleton from '@/components/Skeleton/Skeleton.vue'
@@ -100,7 +100,6 @@ import { statusBarHeight } from '@/utils/system'
 import { formatAmount, formatDate } from '@/utils/format'
 import type { FilterParams } from '@/api/filter'
 
-const txStore = useTransactionStore()
 const userStore = useUserStore()
 const groupStore = useGroupStore()
 const filterType = ref('all')
@@ -162,7 +161,7 @@ async function loadTx(reset = false, silent = false) {
     if (!silent) txList.value = []
   }
   const seq = ++loadSeq
-  const params: any = { page: page.value, pageSize }
+  const params: any = { page: page.value, pageSize, group_id: groupStore.currentGroupId }
   if (filterType.value !== 'all') params.type = filterType.value
   // 合并高级筛选参数
   const af = advancedFilters.value
@@ -174,19 +173,17 @@ async function loadTx(reset = false, silent = false) {
   if (af.keyword) params.keyword = af.keyword
   try {
     loadError.value = false
-    const data = await txStore.fetchTransactions(params)
+    const data = await getTransactions(params)
     // 丢弃过期请求的结果
     if (seq !== loadSeq) return
     if (reset) {
-      txList.value = txStore.transactions
+      txList.value = data.list
     } else {
-      txList.value = [...txList.value, ...txStore.transactions]
-    }
-    total.value = txStore.total
-    if (data) {
-      filteredExpense.value = data.filteredExpense || 0
-      filteredIncome.value = data.filteredIncome || 0
+      txList.value = [...txList.value, ...data.list]
     }
+    total.value = data.total
+    filteredExpense.value = data.filteredExpense || 0
+    filteredIncome.value = data.filteredIncome || 0
   } catch (e) {
     if (seq !== loadSeq) return
     console.error('Load bills error:', e)
@@ -222,6 +219,12 @@ async function onDelete(item: any) {
           await txStore.deleteTransaction(item.id)
           txList.value = txList.value.filter(t => t.id !== item.id)
           total.value--
+          // 更新筛选金额
+          if (item.type === 'expense') {
+            filteredExpense.value = Math.max(0, filteredExpense.value - item.amount)
+          } else {
+            filteredIncome.value = Math.max(0, filteredIncome.value - item.amount)
+          }
           uni.showToast({ title: '已删除', icon: 'success' })
         } catch {
           uni.showToast({ title: '删除失败', icon: 'none' })