服务端文件访问权限

设置入口为「设置 → 文件访问」，仅管理员可修改。配置保存在服务端数据目录的 file-access.json，随现有数据备份一起保存；客户端不保存允许目录列表。

默认配置：

{ "mode": "folders", "folders": [] }

当前 Profile 的工作目录始终允许。绝对目录取自 Hermes 的 terminal.cwd；相对路径及默认值由 Hermes /api/fs/default-cwd 返回的实际工作目录确认，不使用 Web 进程或手机的目录。
folders 是额外目录，不替代 cwd。为空时只允许工作目录及其子目录。
开启「全局授权」后保存 mode: "all"，无需逐个添加目录。Hermes 自身的认证、敏感文件和宿主文件权限仍然生效。
文件请求携带 Profile，普通聊天、移动端和配对节点走同一服务端校验。指定目录模式会向拥有文件的 Hermes 核对真实目录和文件路径，拒绝越界及符号链接逃逸；回环地址也不被当作共享文件系统的证据。
服务器文件路径统一通过 /api/files/download?path=…&profile=… 读取。HTML、SVG、XML 等主动内容不能作为同源可执行页面预览。已上传、归档的附件继续使用其原有文件接口和权限校验。
修改配置后，后续服务端文件请求立即应用新规则，包括缓存命中。已下载到客户端的副本不会被远程删除。

接口：

加载失败时显示文件名和服务端原因，并提供重试。目录未授权、文件已移动和连接失败分别处理，不再仅显示破损图片。