feat: add reusable private and shared account icons

docs/acceptance.md

@@ -33,3 +33,9 @@
 - 手动汇率写入 API 返回 404，界面入口已移除；已有历史汇率未删除。
 
 内网穿透测试更新：支持本地 `WEB_ORIGIN=*`；HTTP/HTTPS 来源探测均通过来源校验，缺失或 null 来源拒绝。精确来源模式及生产禁止通配符的单元校验通过。此轮 14 项单元测试、2 项数据库集成测试、类型检查和构建通过；未执行外网穿透链路端到端验收。
+
+## 账户图标更新
+
+新增迁移 005_account_icons，不修改既有迁移或财务数据；预置 20 个图标，使用固定 ID 幂等初始化。构建/类型检查和 ZIP v3/v4 单元回归通过。新增真实数据库集成覆盖私有图标跨用户不可检索/读取/赋值、共享中文名称和公开确认、图片规范化与恶意格式拒绝、相同图片多账户复用、ZIP 图标内容/关联恢复、损坏图标整次导入拒绝、清空保留他人引用共享图标。测试仅清理随机验收用户和他们上传的图标。
+
+桌面浏览器实际验收：中文检索支付宝、选择图标后保存账户、私有图片上传及共享中文名称/公开确认发布成功。390×844 手机布局无横向溢出，全部图标正常加载。原生 ZIP 下载包含 10 个 JSON 文件，manifest v4，图标内容和账户关联均存在。开发进程改为只监听 dist，避免首次加载图片处理依赖导致不必要的自动重启。