feat(flashcards): картинки на карточках (загрузка, вставка, рендер)

- Миграция 048: колонки front_image/back_image в flashcard_cards
- Бэкенд: POST /api/flashcards/upload (multer, 5МБ, только изображения),
  валидатор safeImg (только /uploads/flashcards/..., блок XSS/traversal/external),
  картинки в add/update/quick/study/random; статик-маунт /uploads/flashcards
- Редактор: превью+кнопка загрузки+вставка (Ctrl+V) на каждую сторону,
  картинки к ещё не созданной карточке через add-bar
- Режим изучения: рендер изображения над текстом на обеих сторонах
- FAB: вставка картинки в быструю карточку

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

backend/src/routes/flashcards.js

@@ -1,11 +1,38 @@
 const express = require('express');
 const router  = express.Router();
+const multer  = require('multer');
+const path    = require('path');
+const fs      = require('fs');
+const crypto  = require('crypto');
 const fc      = require('../controllers/flashcardController');
 const { authMiddleware } = require('../middleware/auth');
 const { requireOwnership } = require('../middleware/ownership');
 
+/* ── multer для картинок карточек ───────────────────────────────────────
+   Файлы складываем в backend/uploads/flashcards, отдаём статикой через
+   /uploads/flashcards (см. server.js). Имя — случайный hex, расширение из
+   оригинала (нормализованное). Только изображения, до 5 МБ. */
+const _fcUploadsDir = path.join(__dirname, '../../uploads/flashcards');
+if (!fs.existsSync(_fcUploadsDir)) fs.mkdirSync(_fcUploadsDir, { recursive: true });
+
+const _fcStorage = multer.diskStorage({
+  destination: (req, file, cb) => cb(null, _fcUploadsDir),
+  filename:    (req, file, cb) => {
+    const ext = path.extname(file.originalname).toLowerCase().replace(/[^.a-z0-9]/g, '');
+    cb(null, crypto.randomBytes(14).toString('hex') + (ext || '.png'));
+  },
+});
+const fcUpload = multer({
+  storage: _fcStorage,
+  limits:  { fileSize: 5 * 1024 * 1024 },
+  fileFilter: (req, file, cb) =>
+    cb(null, ['image/jpeg','image/png','image/gif','image/webp'].includes(file.mimetype)),
+});
+
 router.use(authMiddleware);
 
+router.post  ('/upload',               fcUpload.single('file'), fc.uploadImage);
+
 router.post  ('/quick',                fc.quickAdd);
 router.get   ('/random',               fc.getRandom);
 router.get   ('/decks',                fc.listDecks);