feat(uploads): лимиты загрузки в env, 50 МБ на файл и 200 МБ на запись

Лимиты были захардкожены в четырёх местах фронтенда и в константах multer,
из-за чего расходились с текстами ошибок на сервере.

- UPLOAD_FILE_LIMIT_MB (50) и UPLOAD_TOTAL_LIMIT_MB (200) читаются из env;
  оба multer-конфига (upload, adminUpload) берут fileSize из них, тексты
  ошибок собираются из тех же констант вместо литералов
- UPLOAD_REQUEST_TIMEOUT_MS снимает дефолт Node в 5 минут: считается как
  UPLOAD_TOTAL_LIMIT_MB * 7500, иначе 200 МБ по мобильной сети не успевают
- GET /api/public-settings отдаёт upload_file_limit_mb / upload_total_limit_mb,
  фронтенд читает их вместо собственных констант

Проверено на живом стеке: 20 МБ и 180 МБ суммарно принимаются, 55 МБ и
225 МБ отклоняются с верными сообщениями, скачивание 45 МБ из S3 совпадает
по sha256 с оригиналом, api.smoketest.js — 57 PASS / 0 FAIL.

public/js/index.js

@@ -120,8 +120,10 @@ function clearFiles() {
 }
 
 const MAX_FILES = 10;
-const MAX_FILE_BYTES = 10 * 1024 * 1024;
-const MAX_TOTAL_BYTES = 30 * 1024 * 1024;
+const DEFAULT_FILE_LIMIT_MB = 50;
+const DEFAULT_TOTAL_LIMIT_MB = 200;
+let MAX_FILE_BYTES = DEFAULT_FILE_LIMIT_MB * 1024 * 1024;
+let MAX_TOTAL_BYTES = DEFAULT_TOTAL_LIMIT_MB * 1024 * 1024;
 const BLOCKED_FILE_EXT = /\.(?:html?|js|mjs|cjs|svg|xml|json|map|wasm|php\d?|phtml|asp|aspx|jsp|sh|bat|cmd|cgi|exe|dll|com|msi|scr|hta|vbs|py|r|rb|htaccess)$/i;
 const MIME_EXT = {
   'image/png': '.png', 'image/jpeg': '.jpg', 'image/jpg': '.jpg', 'image/gif': '.gif', 'image/webp': '.webp',
@@ -172,14 +174,25 @@ function totalUploadBytes() {
   return (capturedBlob ? capturedBlob.size : 0) + selectedFiles.reduce((sum, f) => sum + f.size, 0);
 }
 
+function applyUploadLimits(fileMb, totalMb) {
+  const f = parseInt(fileMb, 10);
+  const t = parseInt(totalMb, 10);
+  const fileLimit = Number.isFinite(f) && f >= 1 ? f : DEFAULT_FILE_LIMIT_MB;
+  const totalLimit = Number.isFinite(t) && t >= fileLimit ? t : Math.max(DEFAULT_TOTAL_LIMIT_MB, fileLimit);
+  MAX_FILE_BYTES = fileLimit * 1024 * 1024;
+  MAX_TOTAL_BYTES = totalLimit * 1024 * 1024;
+}
+
 function addFiles(list) {
   const added = [];
   const skipped = [];
+  const fileLimitMb = Math.round(MAX_FILE_BYTES / 1024 / 1024);
+  const totalLimitMb = Math.round(MAX_TOTAL_BYTES / 1024 / 1024);
   for (const file of list) {
-    if (selectedFiles.length >= MAX_FILES) { skipped.push('Можно прикрепить не более 10 файлов'); break; }
-    if (file.size > MAX_FILE_BYTES) { skipped.push(`«${file.name}» больше 10 МБ`); continue; }
+    if (selectedFiles.length >= MAX_FILES) { skipped.push(`Можно прикрепить не более ${MAX_FILES} файлов`); break; }
+    if (file.size > MAX_FILE_BYTES) { skipped.push(`«${file.name}» больше ${fileLimitMb} МБ`); continue; }
     if (BLOCKED_FILE_EXT.test(extOf(file.name))) { skipped.push(`«${file.name}»: недопустимый тип файла`); continue; }
-    if (totalUploadBytes() + file.size > MAX_TOTAL_BYTES) { skipped.push('Суммарный размер файлов — не более 30 МБ'); break; }
+    if (totalUploadBytes() + file.size > MAX_TOTAL_BYTES) { skipped.push(`Суммарный размер файлов — не более ${totalLimitMb} МБ`); break; }
     selectedFiles.push(file);
     added.push(file.name);
   }
@@ -319,6 +332,7 @@ async function resolveModuleId(name) {
     if (Number.isFinite(h) && h >= 120 && h <= 4096) captureHeight = h;
     const q = parseFloat(f.photo_capture_quality);
     if (Number.isFinite(q) && q >= 0.5 && q <= 1) captureQuality = q;
+    applyUploadLimits(f.upload_file_limit_mb, f.upload_total_limit_mb);
     if (f.camera_enabled === 'false') {
       const camBtns = document.getElementById('camBtns');
       if (camBtns) camBtns.style.display = 'none';

public/js/modules.js

@@ -3,6 +3,11 @@ let mPage = 1;
 const M_PAGE_SIZE = 25;
 let mSearchTimer = null;
 let modulePhotoDeleteFlag = false;
+let modulePhotoLimitMb = 50;
+
+function modulePhotoHint() {
+  return `jpg, png, gif, webp, avif, heic и др., до ${modulePhotoLimitMb} МБ · или вставьте из буфера (Ctrl+V)`;
+}
 
 function mPlural(n, one, few, many) {
   n = Math.abs(n) % 100; const n1 = n % 10;
@@ -68,7 +73,7 @@ function resetModulePhoto(m) {
     preview.removeAttribute('src');
     preview.style.display = 'none';
     delBtn.style.display = 'none';
-    note.textContent = 'jpg, png, gif, webp, avif, heic и др., до 10 МБ · или вставьте из буфера (Ctrl+V)';
+    note.textContent = modulePhotoHint();
   }
 }
 
@@ -313,6 +318,12 @@ document.getElementById('moduleList').addEventListener('click', e => {
 
 (async () => {
   if (await requireAdminPage()) {
+    try {
+      const res = await fetch(`${API}/api/public-settings`);
+      const f = await res.json();
+      const n = parseInt(f.upload_file_limit_mb, 10);
+      if (Number.isFinite(n) && n >= 1) modulePhotoLimitMb = n;
+    } catch (e) { /* ignore */ }
     buildSidebar(document.body.dataset.page);
     loadModules();
   }