安全: 修复页面密码零值绕过，导出不再泄露投票者 IP

页面密码（P0，2026-11-05 复核发现）
- 旧实现 `ver, _ := Session.Get(key).(uint); if ver != user.PagePasswordVer`
  把「session 里没有授权记录」（断言失败得 0）与「新增列默认值 0」判成相等，
  升级瞬间所有存量页面密码静默失效：匿名访客不带 cookie 即可读箱主页。
- 收口为 pagePasswordAuthorized：缺 key 一律视为未授权，
  key 名由 pagePassKey 统一生成，Pager / ListAPI / AskStatusAPI 三处共用。
- 新增迁移 v6 回填 page_password_ver / ask_password_ver（仅仍为 0 且已设密码的行，
  幂等），让模型语义与「改过一次密码」一致，并作废升级前的布尔授权。
- AskStatusAPI 的 L4 查询补日志（保持与 Pager 一致的 fail-open 口径）。

导出（P1）
- JSON 导出的投票提交不再输出 voter_ip。库里照常保留，
  防刷、取证与站方 CLI 处置不受影响，只是不进箱主的自助导出文件。

测试
- route/question/page_password_test.go：8 个用例钉住零值/类型不符/轮换失效等边界。
- internal/db/page_password_migration_test.go：回填只碰该碰的行且幂等。

验证：WSL2 Debian + PostgreSQL 全量测试通过；隔离实例实测
ver=0 匿名访问返回密码页、API 401，输对密码后放行、改密后旧会话立即失效，
删除迁移账本后重启可正确回填。

route/user/profile.go

@@ -694,9 +694,10 @@ func ExportProfileJSON(ctx context.Context) {
 		CreatedAt   time.Time `json:"created_at"`
 	}
 	type exportedVoteSubmission struct {
-		ID         uint           `json:"id"`
-		OptionID   uint           `json:"option_id"`
-		VoterIP    string         `json:"voter_ip"`
+		ID       uint `json:"id"`
+		OptionID uint `json:"option_id"`
+		// 参与者 IP 属于第三方个人数据，不随箱主自助导出外流。
+		// 库里照常保留（防刷、取证、站方 CLI 处置都要用），只是不进这份给箱主的文件。
 		FormData   datatypes.JSON `json:"form_data"`
 		CustomText string         `json:"custom_text"`
 		CreatedAt  time.Time      `json:"created_at"`
@@ -818,7 +819,6 @@ func ExportProfileJSON(ctx context.Context) {
 			exportSubs = append(exportSubs, exportedVoteSubmission{
 				ID:         s.ID,
 				OptionID:   s.OptionID,
-				VoterIP:    s.VoterIP,
 				FormData:   s.FormData,
 				CustomText: s.CustomText,
 				CreatedAt:  s.CreatedAt,