fix: P0 安全加固（移除硬编码弱默认 + 占位符替换修正）

- backend/db.py：db() 的 DB_PASSWORD 改用 _require_env 强制读取，删除弱默认兜底
- backend/db.py：新增 _convert_placeholders 状态机替换 ? 占位符（跳过字符串字面量），并校验占位符/参数数量，替换原 sql.replace 全局替换脆弱点
- backend/flask_app.py：secret_key 改用 _require_env 强制读取，删除可预测弱默认，防止 session 伪造
- .gitea/workflows/deploy.yml：新增 2.5 步，发布时若线上 shared/.env 缺 DB_PASSWORD/SECRET_KEY 则从 CI secrets 自动补齐（已存在则保留），确保 P0 改动上线后可正常启动

backend/flask_app.py

@@ -19,7 +19,14 @@ app = Flask(
     template_folder=str(ROOT / "templates"),
     static_folder=str(ROOT / "static"),
 )
-app.secret_key = os.environ.get("SECRET_KEY", "opc-dev-secret-2026")
+# secret_key 必须从环境变量注入，禁止硬编码兜底——否则 session 可被伪造。
+_secret_key = os.environ.get("SECRET_KEY")
+if not _secret_key:
+    raise RuntimeError(
+        "缺少必需的环境变量 SECRET_KEY，请在 .env 中配置（建议: "
+        "python3 -c 'import secrets;print(secrets.token_hex(32))'）"
+    )
+app.secret_key = _secret_key
 app.config["TEMPLATES_AUTO_RELOAD"] = True
 app.register_blueprint(bp)