fix: classroom review — 11 исправлений из code review

- sessions.js: endSession закрывает classroom_attendance (left_at), чистит classroom_muted
- sessions.js: joinSession восстанавливает mute-состояние при реконнекте
- strokes.js: updateStroke проверяет авторство штриха (не только canDraw)
- strokes.js: clearPage валидирует page_num как положительное целое
- strokes.js: postStrokes ограничивает массив 500 штрихами
- pages.js: duplicatePage сохраняет user_id при копировании штрихов
- pages.js: changePage валидирует page_num
- pages.js: updatePageTemplate делает INSERT OR IGNORE перед UPDATE
- permissions.js: mutePeer сохраняет в classroom_muted; добавлен unmutePeer
- permissions.js: getOnlineStudents не возвращает email
- chat.js: exportChat экранирует переводы строк в именах и сообщениях
- guestClassroom.js: санитизация имени гостя (убираем HTML-символы)
- ws-server.js: mute_peer сохраняет в БД; добавлен обработчик unmute_peer
- routes/classroom.js: rate-limit для cursor/preview/signal/strokes; маршрут DELETE /mute
- migrations/001_classroom_muted.sql: новая таблица classroom_muted

backend/src/routes/guestClassroom.js

@@ -64,7 +64,7 @@ router.post('/:token/join', (req, res) => {
   if (session.status !== 'active')
     return res.status(403).json({ error: 'Урок ещё не начался или уже завершён' });
 
-  const rawName = (req.body?.name || '').trim().slice(0, 40);
+  const rawName = (req.body?.name || '').trim().slice(0, 40).replace(/[<>"&]/g, '');
   const name    = rawName || 'Гость';
 
   const guestId = 'g_' + crypto.randomBytes(12).toString('base64url');