fix: 修复14个中等问题（安全+稳定性）

后端安全修复:
- devices.js: page/pageSize parseInt+范围限制、CSV导入path.basename防路径遍历
- tickets.js: CSV导出收集所有metadata key、评价限制completed状态
- users.js: 重置密码加权限检查（仅管理员或本人）
- systemSettings.js: Boolean改显式判断（修复false存储为true）
- inventory.js: 空数组Array.isArray检查（修复无法清空目标机房）
- statistics.js: 在线率改用runningDevices计算
- operationLogs.js: DATE()改strftime兼容SQLite
- devicePorts.js: 端口更新白名单过滤（防修改portId/deviceId）
- server.js: 生产环境禁用sync alter

前端修复:
- api/index.js: 401优先React Router导航（保留SPA状态）
- Scene.jsx: useFrame仅target变化时更新（减少不必要矩阵计算）
- vite.config.mjs: 移除Vue插件残留（unplugin-vue-components）

backend/server.js

@@ -93,10 +93,18 @@ async function syncBusinessModels() {
   const DeviceBusiness = require('./models/DeviceBusiness');
   const Warehouse = require('./models/Warehouse');
 
-  await Business.sync({ alter: true });
-  await DeviceBusiness.sync({ alter: true });
-  await Warehouse.sync({ alter: true });
-  console.log('业务/设备关联/库房模型同步完成');
+  // 仅在开发环境使用 sync({ alter: true })，生产环境应使用 migrations
+  if (process.env.NODE_ENV !== 'production') {
+    await Business.sync({ alter: true });
+    await DeviceBusiness.sync({ alter: true });
+    await Warehouse.sync({ alter: true });
+    console.log('业务/设备关联/库房模型同步完成（alter mode）');
+  } else {
+    await Business.sync();
+    await DeviceBusiness.sync();
+    await Warehouse.sync();
+    console.log('业务/设备关联/库房模型同步完成（safe mode）');
+  }
 }
 
 async function initDefaultSystemSettings() {