security: P3+ — 面板密码哈希 + 上传类型白名单 + CSRF Token

面板密码安全:
- 支持哈希存储 (password_hash/password_salt)
- 登录使用 secrets.compare_digest 时序安全比较
- 回退明文兼容旧配置
- 默认密码 admin 时打印 CRITICAL 警告

文件上传安全:
- 拒绝危险扩展名: .exe/.dll/.so/.sh/.bat/.ps1 等
- 拒绝敏感文件名: .htaccess/Makefile/Dockerfile 等
- 上传时检查并返回 403

CSRF 防护:
- panel_auth(csrf_protect=True) 参数
- 写操作需 X-CSRF-Token header 匹配 session token
- 保护范围: 文件删除/写入/创建/上传/重命名 + 项目启停 + 代理管理

Co-Authored-By: Claude <noreply@anthropic.com>

services/web_panel/routes/proxy.py

@@ -27,6 +27,6 @@ def setup_proxy_routes(app, service_manager, prefix=''):
         return web.json_response({"ok": True})
 
     app.router.add_get(f'{prefix}/api/proxy', panel_auth(list_proxies))
-    app.router.add_post(f'{prefix}/api/proxy', panel_auth(add_proxy))
-    app.router.add_delete(f'{prefix}/api/proxy/{{path}}', panel_auth(remove_proxy))
+    app.router.add_post(f'{prefix}/api/proxy', panel_auth(add_proxy, csrf_protect=True))
+    app.router.add_delete(f'{prefix}/api/proxy/{{path}}', panel_auth(remove_proxy, csrf_protect=True))
     logger.info(f'🔀 代理路由已注册 ({prefix}/api/proxy) (已加认证)')