security: 白板 WS 加单帧大小限制与单 board 连接数上限

安全审计发现：
- WS receive_text 无应用层大小限制，恶意客户端可发超大帧（uvicorn 默认 16MB
  才拦截）占内存。加 512KB 单帧检查（与 content 256KB 限制对齐留余量）。
- 单 board 无连接数上限，恶意脚本可开海量连接耗尽资源。config 加
  max_connections_per_board（默认 50），hub.register 超限返回 False，
  controller 回 error 帧并关闭连接。

审计结论（无需修复）：
- SQL：全部 SQLAlchemy ORM 参数化，无注入。
- 路径穿越：storage_path 服务端生成（uuid+basename(ext)），用户不可控分隔符。
- 鉴权：管理类操作均有 require_docs_auth，公开写接口符合设计。
- 下载 filename CRLF：Starlette FileResponse 用 quote() 编码，无响应拆分。
- XSS：前端 el() 用 createTextNode，textarea 纯文本，innerHTML 仅用于静态文案。

app/config.py

@@ -102,6 +102,8 @@ class WhiteboardConfig(BaseModel):
     heartbeat_miss_threshold: int = 5
     # board_id 合法字符集与长度上限，防路径/注入
     max_board_id_length: int = 64
+    # 单 board 并发连接上限，防资源耗尽（同 board 同时在线人数）
+    max_connections_per_board: int = 50
     # 列表/管理页分页默认值
     list_limit: int = 100