perf(classroom): инкрементальный поллинг доски, картинки в файлы, ретеншн

#1 Студенческий поллинг: вместо полной перезагрузки доски каждые 2с —
   лёгкая сигнатура страницы (?meta=1 → maxSeq+count). Если доска совпадает
   с сервером (обычный случай при живом WS) — ничего не грузим. Полная
   перезагрузка только при расхождении. Счёт подтверждённых штрихов — по
   положительным id (без bookkeeping).
#2 Картинки-штрихи выносятся в файлы /uploads/classroom (вместо base64 в БД):
   меньше БД и payload поллинга. Имя с префиксом sessionId.
#5 Ретеншн: classroom-cleanup удаляет штрихи+файлы завершённых сессий старше
   N дней (app_settings.classroom_retention_days, по умолч. 30; 0 = выкл),
   историю/чат/посещаемость не трогает. Планировщик в server.js.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

backend/src/controllers/classroom/strokes.js

@@ -1,7 +1,36 @@
 'use strict';
+const fs     = require('fs');
+const path   = require('path');
+const crypto = require('crypto');
 const db = require('../../db/db');
 const { emitToSession, hasAccess, canDraw } = require('./_shared');
 
+// Картинки-штрихи храним файлами (а не base64 в БД): меньше БД и легче payload поллинга.
+// Имя '<sessionId>-<rand>.<ext>' — чтобы чистка по завершённой сессии находила файлы по префиксу.
+const STROKE_IMG_DIR = path.join(__dirname, '../../../uploads/classroom');
+function _saveStrokeImage(sessionId, dataUrl) {
+  try {
+    const m = /^data:image\/(png|jpe?g|webp|gif);base64,(.+)$/i.exec(dataUrl);
+    if (!m) return null;
+    const ext = m[1].toLowerCase() === 'jpeg' ? 'jpg' : m[1].toLowerCase();
+    const buf = Buffer.from(m[2], 'base64');
+    if (buf.length < 64 || buf.length > 8 * 1024 * 1024) return null;
+    fs.mkdirSync(STROKE_IMG_DIR, { recursive: true });
+    const name = sessionId + '-' + crypto.randomBytes(12).toString('hex') + '.' + ext;
+    fs.writeFileSync(path.join(STROKE_IMG_DIR, name), buf);
+    return '/uploads/classroom/' + name;
+  } catch (e) { return null; }
+}
+// Если штрих несёт картинку base64 — выносим в файл, в data.src кладём URL.
+function _externalizeImage(sessionId, s) {
+  const d = s && s.data;
+  if (d && typeof d.src === 'string' && d.src.startsWith('data:image/')) {
+    const url = _saveStrokeImage(sessionId, d.src);
+    if (url) return { ...s, data: { ...d, src: url } };
+  }
+  return s;
+}
+
 function postStrokes(req, res) {
   const sessionId = Number(req.params.id);
   const { strokes, page_num = 1 } = req.body;
@@ -16,10 +45,13 @@ function postStrokes(req, res) {
   const insert    = db.prepare('INSERT INTO classroom_strokes (session_id, page_num, user_id, tool, data, seq) VALUES (?,?,?,?,?,?)');
   const getMaxSeq = db.prepare('SELECT COALESCE(MAX(seq), 0) AS m FROM classroom_strokes WHERE session_id=? AND page_num=?');
 
+  // Вынос картинок base64 → файлы делаем ДО транзакции (диск не держит lock БД).
+  const prepared = strokes.map(s => _externalizeImage(sessionId, s));
+
   const saved = [];
   db.transaction(() => {
     let seq = getMaxSeq.get(sessionId, page_num).m;
-    for (const s of strokes) {
+    for (const s of prepared) {
       seq++;
       const { lastInsertRowid } = insert.run(sessionId, page_num, req.user.id, s.tool || 'pencil', JSON.stringify(s.data), seq);
       saved.push({ id: Number(lastInsertRowid), tool: s.tool || 'pencil', data: s.data, seq });
@@ -38,6 +70,13 @@ function getStrokes(req, res) {
   if (!session) return res.status(404).json({ error: 'Не найдено' });
   if (!hasAccess(session, req.user.id, req.user.role)) return res.status(403).json({ error: 'Нет доступа' });
 
+  // Лёгкая «сигнатура» страницы — для инкрементального поллинга клиента (без штрихов).
+  if (req.query.meta === '1') {
+    const m = db.prepare('SELECT COUNT(*) AS c, COALESCE(MAX(seq),0) AS s FROM classroom_strokes WHERE session_id=? AND page_num=?').get(sessionId, pageNum);
+    const pr = db.prepare('SELECT template FROM classroom_pages WHERE session_id=? AND page_num=?').get(sessionId, pageNum);
+    return res.json({ meta: true, count: m.c, maxSeq: m.s, template: pr?.template || 'blank' });
+  }
+
   const STROKES_PAGE_LIMIT = 5000;
   const rows = sinceSeq >= 0
     ? db.prepare('SELECT id, tool, data, seq FROM classroom_strokes WHERE session_id=? AND page_num=? AND seq > ? ORDER BY seq LIMIT ?').all(sessionId, pageNum, sinceSeq, STROKES_PAGE_LIMIT)
@@ -65,8 +104,9 @@ function updateStroke(req, res) {
   if (existing.user_id !== req.user.id && session.teacher_id !== req.user.id && req.user.role !== 'admin')
     return res.status(403).json({ error: 'Нет доступа' });
 
-  db.prepare('UPDATE classroom_strokes SET data=? WHERE id=?').run(JSON.stringify(data), strokeId);
-  emitToSession(sessionId, { type: 'classroom_stroke_updated', sessionId, strokeId, pageNum: existing.page_num, data });
+  const finalData = _externalizeImage(sessionId, { data }).data;
+  db.prepare('UPDATE classroom_strokes SET data=? WHERE id=?').run(JSON.stringify(finalData), strokeId);
+  emitToSession(sessionId, { type: 'classroom_stroke_updated', sessionId, strokeId, pageNum: existing.page_num, data: finalData });
   res.json({ ok: true });
 }