dsh
9a5a7fa929
fix: SECURITY_TODO #32 零碎加固（status 枚举校验/严格 uint 解析/危险扩展名补充）
- admin_user.go: UserCreate/UserUpdate 的 status 无枚举校验，可存任意
int（如 99）——新增 validUserStatus 限定 {0,1,2,3}，非法 400
（i18n user_status_invalid 中英新增）
- attachment.go: parseUintParam/parseUintForm 由 fmt.Sscanf("%d") 改为
strconv.ParseUint 严格解析——"5abc" 不再被宽松解析为 5
- settings.go: dangerousUploadExtensions 补充 .xsl/.xslt/.shtml
（XSLT 可内嵌脚本、SSI 可包含文件；nosniff 已兜底，仅完整性）
- 测试: TestUserStatusEnumRejected / TestParseUintStrict /
TestAddUploadFileTypeRejectsDangerousExtensions 扩展用例