feat: 实现主题、黑名单、排程等14项功能迭代

- style(theme): 修复浅色模式不生效问题，为 ClassicLight 和 ModernLight 增加独立差异化 CSS 变量定义（主色/圆角/阴影/背景对比度）
- feat(blacklist): 后端放开 LANGUAGE/GENRE 类型校验；check API 新增语种（CJK/拉丁/假名/谚文/西里尔/阿拉伯）和曲风关键词匹配逻辑；前端 BlacklistManager UI 增加 语种/曲风 四类型切换、类型筛选、图标与标签颜色映射、输入提示
- fix(DataAnalysisPanel): 活跃用户列表容器加 max-h-[400px] + overflow-y-auto + 底部渐变遮罩；tooltip 加 max-height + truncate 防止超高；头像失败回退首字母
- feat(admin): 新增 user-avatar.ts 工具（OAuth→Gravatar→DiceBear 三级兜底）；active-users/realtime/users 列表返回 avatarUrl；DataAnalysisPanel/UserManager 展示圆形头像；权限分级 ROLE_LEVELS，SUPER_ADMIN 全权限，ADMIN 仅可管理 ≤ USER 级用户的密码与角色，前端按钮联动禁用
- fix+style(schedule): ScheduleManager 标签页 sticky min-h 防抖、间距调优、表单分组、移动端 padding 统一
- feat(schedule): 自动排期新增「按投稿人数优先覆盖」策略（算法：requester + collaborators 总数降序），支持 CustomSelect 切换；新增 localStorage voicehub:schedule:auto-config 持久化 7 项配置（策略/时段/年级/排序/标签/搜索/学期）500ms debounce
- fix(schedule): songs/index.get 新增 usePool 参数，从 schedule_song_pool(status=PENDING,targetPlayDate IS NULL) 取歌并去重，排除已排期 songs.played=false；schedule.post 和 draft-bulk 分配后更新池状态为 ASSIGNED 避免重复分配
- feat(player): ScheduleManager 新增「构建播放队列」按钮，按 playDate→时段→sequence 排序后经 useAudioPlayer.playSong 整列载入并 toast 反馈
- fix(db): db.ts 检测 NETLIFY/VERCEL serverless 环境使用最小池 max=1 idle_timeout=1 keep_alive=false，Node Server 保持 max=10
- feat(site-config): site-config.get.ts 与 useSiteConfig.js 导出 statisticsCode 和 statisticsCodeEnabled；index.vue 挂载后解析 HTML 动态重插 script 元素确保第三方统计执行
- fix(schedule-printer): ScheduleItemPrint 封面 aspect-square object-cover；print-fix.css 打印时强制 48px×48px contain、去除圆角阴影
- fix(songRequest): 新增 server/utils/url.ts normalizeCoverUrl（trim/去零宽空格/相对协议补 https/非 http 丢弃/URL.parse 兜底）；request.post/add.post/import.post 三处写入 cover/coverUrl 前统一规范化

server/utils/url.ts

@@ -0,0 +1,41 @@
+/**
+ * 规范化 URL：
+ * - trim()、去掉多余空格
+ * - 验证必须是 http(s):// 开头
+ * - 非法 URL 返回 null 并记录 warning log
+ * - 酷狗返回的相对路径 (//xxx) 补全为 https:// 协议头
+ *
+ * @param rawUrl 原始 URL
+ * @param context 日志上下文（如歌曲名、API名）
+ * @returns 规范化后的 URL，或 null（非法或空）
+ */
+export function normalizeCoverUrl(rawUrl: any, context: string = ''): string | null {
+  if (rawUrl === null || rawUrl === undefined) return null
+
+  let url = String(rawUrl)
+    .trim()
+    .replace(/[\u200B-\u200D\uFEFF]/g, '') // 去除零宽字符
+    .replace(/\s+/g, '') // 去除所有内部空格
+
+  if (!url) return null
+
+  // 酷狗/部分平台返回的相对协议路径：//xxx.xxx.com/... => https://xxx.xxx.com/...
+  if (url.startsWith('//')) {
+    url = 'https:' + url
+    console.warn(`[normalizeCoverUrl] ${context ? context + ' ' : ''}相对协议路径已补全为 https: ${url}`)
+  }
+
+  // 相对路径 /xxx 或 纯路径不合法，直接 null
+  if (!/^https?:\/\//i.test(url)) {
+    console.warn(`[normalizeCoverUrl] ${context ? context + ' ' : ''}非法封面URL (非http(s)开头)，已置为null: raw="${rawUrl}"`)
+    return null
+  }
+
+  try {
+    new URL(url)
+    return url
+  } catch (e: any) {
+    console.warn(`[normalizeCoverUrl] ${context ? context + ' ' : ''}URL解析失败，已置为null: "${url}" error=${e?.message || e}`)
+    return null
+  }
+}