feat: add reusable private and shared account icons

docs/acceptance.md

@@ -33,3 +33,9 @@
 - 手动汇率写入 API 返回 404，界面入口已移除；已有历史汇率未删除。
 
 内网穿透测试更新：支持本地 `WEB_ORIGIN=*`；HTTP/HTTPS 来源探测均通过来源校验，缺失或 null 来源拒绝。精确来源模式及生产禁止通配符的单元校验通过。此轮 14 项单元测试、2 项数据库集成测试、类型检查和构建通过；未执行外网穿透链路端到端验收。
+
+## 账户图标更新
+
+新增迁移 005_account_icons，不修改既有迁移或财务数据；预置 20 个图标，使用固定 ID 幂等初始化。构建/类型检查和 ZIP v3/v4 单元回归通过。新增真实数据库集成覆盖私有图标跨用户不可检索/读取/赋值、共享中文名称和公开确认、图片规范化与恶意格式拒绝、相同图片多账户复用、ZIP 图标内容/关联恢复、损坏图标整次导入拒绝、清空保留他人引用共享图标。测试仅清理随机验收用户和他们上传的图标。
+
+桌面浏览器实际验收：中文检索支付宝、选择图标后保存账户、私有图片上传及共享中文名称/公开确认发布成功。390×844 手机布局无横向溢出，全部图标正常加载。原生 ZIP 下载包含 10 个 JSON 文件，manifest v4，图标内容和账户关联均存在。开发进程改为只监听 dist，避免首次加载图片处理依赖导致不必要的自动重启。

docs/architecture.md

@@ -25,3 +25,9 @@ Revision 保存按业务日期生效的绝对金额，每次金额更新新增
 安全清空：先通过认证下载备份，在当前 Session 记录备份内容摘要及 10 分钟有效期。下一步必须输入精确短语“确定清空”。Serializable 事务中重新校验当前数据摘要；变化后必须重新下载。清空仅删除当前用户的项目（级联历史/关联）及汇率，保留登录身份和个人设置，撤销该用户所有会话的查看及备份确认状态。汇率请求返回后再核对当前币种，避免清空期间正在执行的网络请求重建旧汇率。
 
 备份现使用 version=3 ZIP：manifest.json 保存格式版本、导出时间及各数据文件 SHA-256；settings/currencies/accounts/assets/debts/history/links/rates 分别保存完整数据。业务时间与 hidden 保留。旧版 v1/v2 JSON 文件仍可上传，v1 缺少 hidden 时视为未隐藏。恢复仍只追加，按业务时间和 sequence 重建顺序；空空间恢复本位币和界面/退出偏好。取消项目数、历史数、关联数和汇率数上限；文件上传最多 512 MB，ZIP 解压总计 1 GB，拒绝未知/重复路径、缺失文件、加密 ZIP、摘要不符和格式错误，不向文件系统解压。预览文件暂存在系统临时目录，15 分钟有效，确认导入令牌绑定当前用户及会话，导入/失败/过期后清理。数据库事务最长 5 分钟以容纳较大恢复。手动汇率入口和写入 API 已删除，既有历史汇率保留。
+
+## 账户图标模块
+
+Icon 存储 name、ownerId、shared、SHA-256、规范静态 PNG 的 MediumBlob 和可选公开来源；Position.iconId 外键 SetNull，多个账户共享同一图片。所有图标接口使用已验证身份，读取/检索/赋值均限定 shared=true 或 ownerId=当前用户，响应不返回 ownerId。个人上传默认私有；共享发布须中文名称和明确公开确认。拒绝 SVG、动图、损坏图片、超限像素/文件，重编码移除元数据。内置图标固定 ID 追加初始化；在线请求不会发送用户财务数据。
+
+备份逻辑增加可选 icons 数组（旧格式缺失可兼容），v4 ZIP 将图标内容放入 icons.json；内容校验和解码在导入事务前完成，图标在事务内以当前用户私有范围重建，账户关联重映射。清空删除私有图标，公开共享图标不因发布者清空而消失。用户删除时图标 ownerId SetNull，不影响他人已引用的公共图标。