fix: classroom review — 11 исправлений из code review

- sessions.js: endSession закрывает classroom_attendance (left_at), чистит classroom_muted
- sessions.js: joinSession восстанавливает mute-состояние при реконнекте
- strokes.js: updateStroke проверяет авторство штриха (не только canDraw)
- strokes.js: clearPage валидирует page_num как положительное целое
- strokes.js: postStrokes ограничивает массив 500 штрихами
- pages.js: duplicatePage сохраняет user_id при копировании штрихов
- pages.js: changePage валидирует page_num
- pages.js: updatePageTemplate делает INSERT OR IGNORE перед UPDATE
- permissions.js: mutePeer сохраняет в classroom_muted; добавлен unmutePeer
- permissions.js: getOnlineStudents не возвращает email
- chat.js: exportChat экранирует переводы строк в именах и сообщениях
- guestClassroom.js: санитизация имени гостя (убираем HTML-символы)
- ws-server.js: mute_peer сохраняет в БД; добавлен обработчик unmute_peer
- routes/classroom.js: rate-limit для cursor/preview/signal/strokes; маршрут DELETE /mute
- migrations/001_classroom_muted.sql: новая таблица classroom_muted

backend/src/controllers/classroom/sessions.js

@@ -69,8 +69,10 @@ function endSession(req, res) {
     return res.status(403).json({ error: 'Нет доступа' });
 
   db.prepare(`UPDATE classroom_sessions SET status='ended', ended_at=datetime('now') WHERE id=?`).run(sessionId);
+  db.prepare(`UPDATE classroom_attendance SET left_at=datetime('now') WHERE session_id=? AND left_at IS NULL`).run(sessionId);
   db.prepare('DELETE FROM classroom_hands WHERE session_id=?').run(sessionId);
   db.prepare('DELETE FROM classroom_draw_permissions WHERE session_id=?').run(sessionId);
+  db.prepare('DELETE FROM classroom_muted WHERE session_id=?').run(sessionId);
   emitToSession(sessionId, { type: 'classroom_ended', sessionId });
   res.json({ ok: true });
 }
@@ -116,7 +118,11 @@ function joinSession(req, res) {
 
   const drawAllowed = canDraw(sessionId, req.user.id, session) && session.teacher_id !== req.user.id;
   if (drawAllowed) emitToUser(req.user.id, { type: 'classroom_draw_permitted', sessionId });
-  res.json({ ok: true, canDraw: drawAllowed });
+
+  const isMuted = !!db.prepare('SELECT 1 FROM classroom_muted WHERE session_id=? AND user_id=?').get(sessionId, req.user.id);
+  if (isMuted) emitToUser(req.user.id, { type: 'classroom_muted', sessionId, by: null });
+
+  res.json({ ok: true, canDraw: drawAllowed, muted: isMuted });
 }
 
 function leaveSession(req, res) {