feat(all): 数据库模块化拆分与版本化迁移、任务引擎命名体系收敛、物理输出校验加固与用户配置接通

- server/db: 拆 4929 行 db.rs 单体为 db/ 目录，migrations.rs 引入 PRAGMA user_version
    版本化迁移运行器（M1~M13）
  - 任务引擎 Phase 6/7b/7c 改名收敛：EngineStageConfig→PhaseConfig、StagePolicy→ResumePolicy、
    Converged→Completed、删除 task_type 列、success_method 拆 tlusty_/synspec_ 双列、
    新增 tlusty_status/synspec_status 半失败阶段守卫
  - 科学正确性加固：conv_check 任意行 NaN/Inf/溢出判无效（0 行容忍）、新增 spec_is_valid
    校验 SYNSPEC 脏谱、itek_history 逐次迭代全量保真、fmt_abn powf 溢出饱和
  - 用户配置真正接通：tlusty_chain/tlusty_input 由死字段经 调度器→TaskSpec→executor→runner
    透传生效；config 加载期 validate + deny_unknown_fields + 解析失败记 warn
  - 调度修复：H1 活锁（pending_strategies 跳过已失败策略）、种子查找错误不再静默降级冷启动
  - dashboard: 阶段配置面板 tlusty_stage/synspec_stage、"已完成"标签、迭代诊断展示
  - docs: 新增 database_refactor_design.md，同步 database/api/PIPELINE/workflow_detail

crates/server/src/main.rs

@@ -228,7 +228,17 @@ async fn main() -> Result<()> {
                 // 校验确认真孤儿后重置为 pending 让调度器重新派发，并清除作为判据的
                 // 僵尸 tasks 行（旧实现仅凭 tasks 表 stale pending 行判定，僵尸行使
                 // 判据恒真 → 重复派发涡旋，已废弃）。
-                match bg_scheduler_clone.reclaim_orphaned_points(stale_sec).await {
+                //
+                // 审查修复 #M4：reclaim 用独立且更大的阈值（2 * stale_sec）。reclaim 的语义是
+                // 「孤儿回收」（队列凭证完全丢失），时间尺度应比 requeue 的「claim 超时重投」
+                // 更宽松：刚被 claim 的任务 tasks 行仍 pending，过小阈值会把它误判孤儿候选、
+                // 在 requeue 把队列行打回 pending 到节点重新 claim 的窗口内增加抖动。2x 给
+                // 正常长任务足够缓冲。
+                let reclaim_threshold = stale_sec.saturating_mul(2);
+                match bg_scheduler_clone
+                    .reclaim_orphaned_points(reclaim_threshold)
+                    .await
+                {
                     Ok(reset) => {
                         if reset > 0 {
                             info!(
@@ -494,14 +504,15 @@ async fn security_headers_middleware(
 
     let headers = resp.headers_mut();
     // CSP：default-src 'self'；放行 Google Fonts（index.html 引用）；允许 data: 图片。
-    // 已移除 'unsafe-eval'：dashboard 构建产物不使用 eval/new Function（已核实），保留它会
-    // 显著削弱 CSP 的脚本注入防护。'unsafe-inline' 暂留（静态 SPA 内联脚本/handler 需要），
-    // 彻底方案需前端改造为外链 + per-request nonce 注入，见 docs TODO。
+    // 已移除 'unsafe-eval'（dashboard 不用 eval/new Function）与 script-src 'unsafe-inline'
+    // （主题初始化脚本已移为外链 public/theme-init.js，见 dashboard/index.html）。无内联
+    // 脚本/内联事件处理器，外链脚本走 'self' 即可，脚本注入防御最大化。
+    // style-src 保留 'unsafe-inline'：index.html 含内联 style 属性（SVG flex 布局等），移除会破坏渲染。
     headers
         .entry(axum::http::header::CONTENT_SECURITY_POLICY)
         .or_insert_with(|| {
             HeaderValue::from_static(
-                "default-src 'self'; script-src 'self' 'unsafe-inline'; \
+                "default-src 'self'; script-src 'self'; \
                  style-src 'self' 'unsafe-inline' https://fonts.googleapis.com; \
                  font-src 'self' data: https://fonts.gstatic.com; \
                  connect-src 'self'; img-src 'self' data: blob:; \