security+perf: полное ревью — 17 фиксов P0/P1 (XSS, IDOR, race conditions, rate limits, TURN, WAL)

## P0
- admin.html:2608, red-book-ecosystem.html:489-495 — XSS: u.name/node.name_ru/description обернуты в LS.esc()
- classController.js getAnnouncements — добавлена проверка teacher_id (B14: учитель A не может читать объявления класса B)

## P1 — auth & validation
- authController.js — минимум пароля 6→8 символов (register + change password + login.html)
- gamificationController adminAward — валидация max XP/coins (1M), Number coercion
- shopController adminAwardCoins — валидация max + проверка changes>0

## P1 — race conditions
- petController.buyBg — atomic UPDATE WHERE coins>=? (race-safe)
- shopController.purchaseItem — atomic conditional UPDATE
- liveController — добавлен question_id в live_answers (миграция с пересозданием таблицы), история ответов сохраняется при смене вопроса учителем
- ws-server: invalidateDrawCache экспортирован, classroomController grant/revoke вызывают его → permission revoke применяется мгновенно (раньше до 10s stale)

## P1 — rate limits & retry
- rateLimit middleware: новый параметр byUser=true (использует req.user.id вместо IP — не блокирует пользователей за NAT)
- routes/classroom.js: reactionLimiter (15/5s) на /chat/:msgId/react, handLimiter (5/5s) на raise/lower hand
- api.js sendAnswer — retry 3x с exp backoff (300/1200/2700ms), не повторяет на 4xx (F5)

## P1 — performance
- classroomController.getStrokes — LIMIT 5000 + флаг hasMore (защита от OOM на 10K+ strokes)
- whiteboard.js _liveStrokes — TTL 1.5s на каждый live preview (auto-cleanup при крашe ремоут юзера)

## Infrastructure
- config.js: TURN_URL/USER/PASS env vars
- server.js: GET /api/ice-servers возвращает STUN + опциональный TURN из env
- classroom-rtc.js: фетчит /api/ice-servers вместо хардкода (поддержка TURN для NAT/CGNAT школьных сетей)
- .env.example: документация TURN
- db.js: PRAGMA synchronous=NORMAL (5x быстрее с WAL), cache_size 16MB, temp_store=MEMORY
- ws-server.js closeAll() + server.js shutdown — graceful WS shutdown при SIGTERM

## False positives (не баги, агенты ошиблись)
- assignmentController FK на tests — на самом деле users (migrate.js:317-318)
- .env в git — gitignore корректно исключает
- admin.html без requireAuth — есть LS.initPage() который вызывает requireAuth
- submissionsController IDOR — обе ручки уже проверяют teacher_id
- screenSender = null inside try/catch — на самом деле снаружи
- SSE без backoff — есть exponential 2s→30s
- sessionController NOT IN на пустом массиве — есть guard usedIds.length>0
- getChat без LIMIT — есть LIMIT 100/200
- trust proxy — установлен на server.js:105

Co-Authored-By: Claude Opus 4.6 (1M context) <noreply@anthropic.com>

backend/src/routes/classroom.js

@@ -27,7 +27,9 @@ const chatUpload = multer({
 const teacher = [authMiddleware, requireRole('teacher', 'admin')];
 const auth    = [authMiddleware];
 
-const chatLimiter = rateLimit({ windowMs: 5_000, max: 5, message: 'Слишком много сообщений, подождите' });
+const chatLimiter     = rateLimit({ windowMs: 5_000, max: 5,  message: 'Слишком много сообщений, подождите', byUser: true });
+const reactionLimiter = rateLimit({ windowMs: 5_000, max: 15, message: 'Слишком много реакций, подождите',    byUser: true });
+const handLimiter     = rateLimit({ windowMs: 5_000, max: 5,  message: 'Не так часто', byUser: true });
 
 // Template library — MUST be before /:id to avoid shadowing
 router.get('/admin/active',               ...teacher, c.adminGetActiveSessions);
@@ -59,7 +61,7 @@ router.get('/:id/attendance',             ...teacher, c.getAttendance);
 router.post('/:id/chat',                  ...auth, chatLimiter, c.sendChat);
 router.get('/:id/chat',                   ...auth,    c.getChat);
 router.post('/:id/chat/upload',           ...auth,    chatUpload.single('file'), c.uploadChatAttachment);
-router.post('/:id/chat/:msgId/react',     ...auth,    c.reactToMessage);
+router.post('/:id/chat/:msgId/react',     ...auth, reactionLimiter, c.reactToMessage);
 
 // WebRTC signaling
 router.post('/:id/signal',                ...auth,    c.signal);
@@ -82,8 +84,8 @@ router.post('/:id/pages/:pageNum/duplicate',      ...teacher, c.duplicatePage);
 router.delete('/:id/pages/:pageNum',              ...teacher, c.deletePage);
 
 // Hand raise
-router.post('/:id/hand',                  ...auth,    c.raiseHand);
-router.delete('/:id/hand',                ...auth,    c.lowerHand);
+router.post('/:id/hand',                  ...auth, handLimiter, c.raiseHand);
+router.delete('/:id/hand',                ...auth, handLimiter, c.lowerHand);
 router.get('/:id/hands',                  ...auth,    c.getHands);
 
 // Whiteboard: clear page