feat: 商品详情页、XLS导入修复、分页选择器、导出功能

后端：
- 新增 product_images 表，支持每商品最多5张图（服务端压缩至1200px/JPEG85%）
- products 表新增 public_id(UUID)、description 字段
- 新增商品详情接口、二维码接口、公开商品接口（无鉴权）
- 修复 XLS 导入：OLE2 magic bytes 检测 + 临时文件解析，兼容 extrame/xls
- 修复商品/名称/系列/规格三张表导入数据为0（LastCol()=0 bug）
- 所有导入接口返回 total/imported/skipped 统计
- config 新增 StorageConfig，支持 STORAGE_* 环境变量覆盖
- 种子数据修复：products 补 public_id、新增 product_images TRUNCATE、schema.sql 表名修正

前端：
- 商品详情页：图片上传/删除、描述内联编辑、二维码弹窗、公开链接复制
- 公开商品页：无鉴权路由 /product/:public_id，Flutter Web SPA
- 商品详情列表（批次追踪）商品名超链接跳转详情页
- 导航「商品管理」改名「商品详情」
- 所有列表表格新增每页条数选择（10/20/50/100）
- 表格列头内嵌筛选（FilterableColumnHeader）
- 导出 Excel 功能（入库/出库/库存/财务/批次/往来单位）
- 网络恢复自动刷新 + 离线缓存展示

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

backend/main.go

@@ -21,19 +21,18 @@ func main() {
 	// 初始化数据库
 	db := initDB()
 
-	// 自动迁移（开发环境用，生产使用 golang-migrate）
-	if config.C.Server.Mode == "debug" {
-		autoMigrate(db)
-	}
+	// 自动迁移（GORM AutoMigrate 只增不删，生产安全）
+	autoMigrate(db)
 
 	// 启动 Gin
 	gin.SetMode(config.C.Server.Mode)
 	r := gin.New()
 	r.Use(gin.Logger(), gin.Recovery())
 
-	// CORS（开发期间允许所有来源）
+	// CORS
+	corsOrigin := config.C.Server.CORSOrigin
 	r.Use(func(c *gin.Context) {
-		c.Header("Access-Control-Allow-Origin", "*")
+		c.Header("Access-Control-Allow-Origin", corsOrigin)
 		c.Header("Access-Control-Allow-Methods", "GET,POST,PUT,DELETE,OPTIONS")
 		c.Header("Access-Control-Allow-Headers", "Authorization,Content-Type")
 		if c.Request.Method == "OPTIONS" {
@@ -43,6 +42,9 @@ func main() {
 		c.Next()
 	})
 
+	// Serve uploaded images (in production, Nginx handles /images/)
+	r.Static("/images", config.C.Storage.UploadDir)
+
 	router.Setup(r, db)
 
 	addr := fmt.Sprintf(":%s", config.C.Server.Port)
@@ -95,6 +97,10 @@ func autoMigrate(db *gorm.DB) {
 		&model.InventoryCheckItem{},
 		&model.FinanceRecord{},
 		&model.NumberRule{},
+		&model.ProductNameOption{},
+		&model.ProductSeriesOption{},
+		&model.ProductSpecOption{},
+		&model.ProductImage{},
 	)
 	if err != nil {
 		log.Fatalf("auto migrate failed: %v", err)