增加 JWT、SM2Encryption、SM3Password 的 ut 测试用例

优化资源重复上传的判定与处理逻辑：

- 精准查重：联合 hash、appId 与 tenantId 查询资源，避免跨应用或跨租户产生误判。
- 平滑处理：命中已存资源时，直接返回原资源，不再抛出“重复数据”异常。
- 完善隔离：新建资源时自动补充 tenantId，确保底层数据满足租户级别的隔离要求。

针对 CodeQL 扫描告警做安全整改，覆盖动态 SQL 注入、API 密钥加密、SSRF 与文件路径四类问题。

动态 SQL 与 OGNL 注入
- DynamicSqlProvider 的表名、列名与排序字段全部经标识符校验，orderType 限定 ASC/DESC，条件值、数据值与分页参数改用 MyBatis 参数绑定。
- DynamicModelService 与 DynamicService 的查询、计数与 DDL 入口统一调用 SqlIdentifierValidator。
- SqlIdentifierValidator 新增 requireValidIdentifier、isValidIdentifier、isValidOrderType 与 escapeSqlLiteral；标识符判定由正则改为字符遍历。
- BlockServiceImpl 的标签过滤由字符串拼接改为 queryWrapper 参数绑定。

API 密钥加密
- SM4 由 ECB 升级为 GCM：12 字节随机 nonce、128 位认证标签、GCM1: 版本前缀、密钥长度校验为 128 位。
- 无 GCM1: 前缀的密文先尝试 GCM 解密，失败后回退 ECB，已签发的 EKEY_ token 保持可用。该回退是迁移期措施，待历史 token 轮换完成后移除。

SSRF 与文件路径
- validateFinalUrl 返回解析后的 URI 并直接用于发起请求，消除校验地址与实际请求地址的解析差异，同时拒绝携带 userInfo 与 fragment 的地址。
- StorageService 的文档路径经规范化与根目录包含检查，并用 toRealPath() 处理软链接；文档根目录由 RAGConfig.documentRoot 统一提供，取自环境变量 FOLDER_PATH。

ReDoS
- BlockServiceImpl 的 appId 判定与 AiChatServiceImpl 的消息内容匹配均改为非正则实现。

构建与 CI
- 新增 codeql.yml 增量扫描与 codeql-full.yml 周期全量扫描，两者均配置 config-file 排除测试与生成目录。
- 新增 pmd/errorprone-ruleset.xml；pmd-check 以 minimumPriority=4、failurePriority=2、maxAllowedViolations=51 承接历史违规基线，cpd-check 的 failOnViolation 置为 false。遗留代码的 PMD 抑制注解后续逐步清理。

测试与格式
- 新增 SM4UtilsTest、ModelServiceImplTest，扩充 SqlIdentifierValidatorTest、DynamicModelServiceTest、AiChatV1ServiceImplTest，全量单测 647 个通过。
- DatabaseCleanupService、SM4Utils、VectorStoreConfig、StorageService、AiChatV1ServiceImpl、ModelServiceImpl 六个文件同时做了 CRLF 转 LF 与整文件重排版，diff 中约 2400 行删除为纯空白差异。