fix(security): 修复 P3 低危项（开放重定向/配额TOCTOU/safeJS/会话治理）

- Referer 开放重定向：safeRedirectPath 仅放行同站相对路径，
  外部 URL/协议跳转一律回退 /inbox
- 发信配额 TOCTOU：新增 TryReserveQuota 原子预扣
  （UPDATE ... WHERE used_bytes + n <= quota_bytes），超配额即拒发；
  附件保存失败按大小补偿回退
- 移除危险模板函数 safeHTML/safeJS：新增 jsonify（json.Marshal，
  < > & 转义为 \u003c 等，无法逃出 </script>），compose 页
  quill.innerHTML 改用 jsonify；srcdoc 改回默认属性转义
- 会话治理：登录成功后 session.Clear() 清旧状态；记录 loginAt，
  绝对过期 7 天 + 滑动续期（活跃会话 12h 写回刷新）
- 确认 #15 Content-Disposition 编码随 P1 #4 已完成
- 新增 12 个测试：重定向路径矩阵、配额原子性（含超额不部分扣费）、
  jsonify 逃逸防护、会话绝对过期/有效访问（签名会话构造）

至此 16 项安全审计项（P0-P3）全部修复完成。

internal/web/handlers/oauth2_state_test.go

@@ -4,6 +4,7 @@ package handlers
 // 旧实现 state 为硬编码常量且回调完全不校验（登录 CSRF / 授权码注入）。
 
 import (
+	"encoding/json"
 	"html/template"
 	"math"
 	"net/http"
@@ -32,8 +33,10 @@ func testTemplateFuncs() template.FuncMap {
 		"ceilDiv":    func(a, b int) int { return int(math.Ceil(float64(a) / float64(b))) },
 		"seq":        func(n int) []int { r := make([]int, n); for i := range r { r[i] = i + 1 }; return r },
 		"domainName": func(domainID uint, domains []interface{}) string { return "Domain #1" },
-		"safeHTML":   func(s string) template.HTML { return template.HTML(s) },
-		"safeJS":     func(s string) template.JS { return template.JS(s) },
+		"jsonify": func(v interface{}) template.JS {
+			b, _ := json.Marshal(v)
+			return template.JS(b)
+		},
 		"formatBytes": func(b int64) string {
 			return "1 KB"
 		},