feat: 文件浏览页 + 共享白板 + 白板管理页（含补登记分片上传/隧道历史改动）

本次提交包含两批改动（7月2日遗留未入库 + 本次新功能），分述如下：

【补登记：7月2日已上线但未提交的功能】
- 分片上传：chunk_upload_controller/service/dao + UploadSession model/schema，
  支持 4MiB 分片、乱序、断点续传、去重、幂等 complete；后台 reaper 清理过期会话。
- 反向隧道：tunnel_controller/service/dao + TunnelSession model/schema，
  SSH remote forward 经 /api/userPort/{userName} 反代到 user 本地服务。
- 上传页：views/upload_html.py（拖拽/多文件/分片/断点续传 UI）。
- config.py：StorageConfig.chunk_session_dir/ttl、TunnelConfig；
  requirements.txt 加 httpx；start.sh 清理 .work/ 残留；
  schema.sql 加 upload_session/tunnel_session 表；sftp_server 承载隧道转发。

【本次新功能】
- 文件浏览页：GET /files（Basic Auth 同 docs）+ /api/admin/files（list/get/download/DELETE）。
  硬删除（DB 行 + 磁盘文件），删除后列表不再显示。前端 static/file_browser.*。
- 共享白板：GET /whiteboard/{id}（公开，不存在则新建）+ WS /ws/whiteboard/{id}。
  MySQL 持久化（whiteboard 表），Canvas 实时同步，心跳 3s/5 次失活移除，
  清空/复制按钮，移动端兼容。WhiteboardHub 管理 {board_id: set[Connection]}，
  disconnect 幂等 + 空 set 清理防泄漏，broadcast 失败连接自动移除。
- 白板管理页：GET /whiteboard-admin（Basic Auth）+ /api/admin/whiteboards（list/DELETE）。
  删除时 hub.close_board 踢出在线连接。
- 清理：合并 UploadService.get_out_with_disk_path（下载/删除复用，消除重复 DB 读），
  移除无用 resolve_disk_path。
- config.py：WhiteboardConfig（heartbeat/threshold/board_id 长度/list_limit）；
  schema.sql 加 whiteboard 表；README 补新接口与心跳/内存说明。
- 验证：tests/manual_whiteboard_hub.py / _ws.py / _kick.py 全部通过。

app/models/__init__.py

@@ -1,5 +1,8 @@
 """ORM 模型包；import 本包即把所有实体注册到 Base.metadata。"""
 
+from .tunnel_session import TunnelSession
 from .uploaded_file import UploadedFile
+from .upload_session import UploadSession
+from .whiteboard import Whiteboard
 
-__all__ = ["UploadedFile"]
+__all__ = ["TunnelSession", "UploadedFile", "UploadSession", "Whiteboard"]

app/models/tunnel_session.py

@@ -0,0 +1,41 @@
+"""反向隧道会话实体。
+
+一条记录对应一次 user → server 的 SSH 反向隧道:user 连上 server 的 SSH(2022),
+请求 remote port forwarding,server 在本地绑一个隧道端口,该端口经隧道回指 user
+的本地服务。HTTP 路由 /api/userPort/{userName} 反代到该隧道端口。
+"""
+
+from __future__ import annotations
+
+from datetime import datetime
+
+from sqlalchemy import BigInteger, DateTime, Integer, String, func
+from sqlalchemy.orm import Mapped, mapped_column
+
+from ..database import Base
+
+
+class TunnelSession(Base):
+    __tablename__ = "tunnel_session"
+
+    id: Mapped[int] = mapped_column(BigInteger, primary_key=True, autoincrement=True)
+    # 发起隧道的 user 名(对应 config.tunnel.users[].username)
+    user_name: Mapped[str] = mapped_column(String(128), nullable=False, index=True)
+    # user 端的公网/内网 IP(SSH 连接的 peer 地址)
+    user_ip: Mapped[str] = mapped_column(String(64), nullable=False, default="")
+    # user 要暴露的本地服务端口
+    local_port: Mapped[int] = mapped_column(Integer, nullable=False)
+    # server 侧的隧道端口(SSH 反向转发绑定的本地端口)
+    tunnel_port: Mapped[int] = mapped_column(Integer, nullable=False, index=True)
+    started_at: Mapped[datetime] = mapped_column(
+        DateTime, server_default=func.now(), nullable=False
+    )
+    ended_at: Mapped[datetime | None] = mapped_column(DateTime, nullable=True, default=None)
+    # active / closed
+    status: Mapped[str] = mapped_column(String(32), nullable=False, default="active")
+
+    def __repr__(self) -> str:  # pragma: no cover
+        return (
+            f"<TunnelSession id={self.id} user={self.user_name!r} "
+            f"tunnel_port={self.tunnel_port} status={self.status}>"
+        )

app/models/upload_session.py

@@ -0,0 +1,44 @@
+"""分片上传会话实体。
+
+一个会话对应一次「分片上传 + 拼接入库」流程：客户端创建会话拿到 upload_id，
+逐片上传，最后 complete 触发服务端拼接、算 sha256、去重并落 DB。
+"""
+
+from __future__ import annotations
+
+from datetime import datetime
+
+from sqlalchemy import BigInteger, DateTime, JSON, String, func
+from sqlalchemy.orm import Mapped, mapped_column
+
+from ..database import Base
+
+
+class UploadSession(Base):
+    __tablename__ = "upload_session"
+
+    id: Mapped[int] = mapped_column(BigInteger, primary_key=True, autoincrement=True)
+    # 客户端持有的会话标识（uuid4().hex），服务端生成，防伪造路径
+    upload_id: Mapped[str] = mapped_column(String(64), nullable=False, unique=True, index=True)
+    filename: Mapped[str] = mapped_column(String(512), nullable=False)
+    size_bytes: Mapped[int] = mapped_column(BigInteger, nullable=False, default=0)
+    chunk_size: Mapped[int] = mapped_column(BigInteger, nullable=False, default=0)
+    total_chunks: Mapped[int] = mapped_column(BigInteger, nullable=False, default=0)
+    # 已上传分片下标数组，例如 [0, 1, 3]；JSON 列
+    uploaded_chunks: Mapped[list] = mapped_column(JSON, nullable=False, default=list)
+    # complete 成功后指向 UploadedFile.id；失败/未完成时为 None
+    file_id: Mapped[int | None] = mapped_column(BigInteger, nullable=True, default=None)
+    # pending / completed
+    status: Mapped[str] = mapped_column(String(32), nullable=False, default="pending")
+    created_at: Mapped[datetime] = mapped_column(
+        DateTime, server_default=func.now(), nullable=False
+    )
+    updated_at: Mapped[datetime] = mapped_column(
+        DateTime, server_default=func.now(), onupdate=func.now(), nullable=False
+    )
+
+    def __repr__(self) -> str:  # pragma: no cover
+        return (
+            f"<UploadSession upload_id={self.upload_id!r} "
+            f"file={self.filename!r} status={self.status}>"
+        )

app/models/whiteboard.py

@@ -0,0 +1,39 @@
+"""共享白板实体。
+
+一个白板由 board_id 唯一标识（用户可读的 url id），strokes 以 JSON 列保存全部笔画。
+白板长期留存，进程重启后仍可恢复；实时协作由 WebSocket hub 在内存中维护在线连接，
+笔画变更经 service 落库后由 hub 广播给同 board 的其它在线连接。
+"""
+
+from __future__ import annotations
+
+from datetime import datetime
+
+from sqlalchemy import BigInteger, DateTime, Integer, JSON, String, func
+from sqlalchemy.orm import Mapped, mapped_column
+
+from ..database import Base
+
+
+class Whiteboard(Base):
+    __tablename__ = "whiteboard"
+
+    id: Mapped[int] = mapped_column(BigInteger, primary_key=True, autoincrement=True)
+    # 用户可读的 url id（[a-zA-Z0-9_-]{1,64}），全局唯一
+    board_id: Mapped[str] = mapped_column(String(64), nullable=False, unique=True, index=True)
+    # 笔画数组 [{points:[[x,y],...], color, width}, ...]
+    strokes: Mapped[list] = mapped_column(JSON, nullable=False, default=list)
+    # 修改次数：每次新增笔画或清空 +1，供管理页统计
+    stroke_count: Mapped[int] = mapped_column(Integer, nullable=False, default=0)
+    created_at: Mapped[datetime] = mapped_column(
+        DateTime, server_default=func.now(), nullable=False
+    )
+    updated_at: Mapped[datetime] = mapped_column(
+        DateTime, server_default=func.now(), onupdate=func.now(), nullable=False
+    )
+
+    def __repr__(self) -> str:  # pragma: no cover
+        return (
+            f"<Whiteboard board_id={self.board_id!r} "
+            f"strokes={len(self.strokes)} mods={self.stroke_count}>"
+        )