feat: add account transfers and refine icons, settings and safety dialogs

docs/architecture.md

@@ -31,3 +31,9 @@ Revision 保存按业务日期生效的绝对金额，每次金额更新新增
 Icon 存储 name、ownerId、shared、SHA-256、规范静态 PNG 的 MediumBlob 和可选公开来源；Position.iconId 外键 SetNull，多个账户共享同一图片。所有图标接口使用已验证身份，读取/检索/赋值均限定 shared=true 或 ownerId=当前用户，响应不返回 ownerId。个人上传默认私有；共享发布须中文名称和明确公开确认。拒绝 SVG、动图、损坏图片、超限像素/文件，重编码移除元数据。内置图标固定 ID 追加初始化；在线请求不会发送用户财务数据。
 
 备份逻辑增加可选 icons 数组（旧格式缺失可兼容），v4 ZIP 将图标内容放入 icons.json；内容校验和解码在导入事务前完成，图标在事务内以当前用户私有范围重建，账户关联重映射。清空删除私有图标，公开共享图标不因发布者清空而消失。用户删除时图标 ownerId SetNull，不影响他人已引用的公共图标。
+
+## 转账及显示偏好
+
+Transfer 归属于 User，关联转出/转入 Position（启用资产账户）及两条 Revision ID。金额、到账金额和额外手续费使用 Decimal(24,8)，记录双方原币和业务分钟；账户关系用于配对展示，Transfer 本身不再次计入总额。服务端 Serializable 事务同时创建配对绝对余额及转账记录；请求 UUID 支持相同内容重试。历史修正限制防止改变已配对转账的基准余额。
+
+User.hiddenMenus 保存受枚举校验的菜单键，settings 不可隐藏；User.showNotes 默认 true，仅控制客户端显示，财务备注和导出保持完整。ZIP v5 新增 transfers.json，追加恢复时映射账户及配对历史 ID，空空间恢复显示偏好，已有空间保留当前设置。