feat: 股息率案例口径 + 策略库与图表统一 + 回测存档完整化

汇总三轮未提交的开发（每轮均在本机 MariaDB + 真实浏览器上验证）：

1) 股息率案例（全市场股息率最高 n 只，默认 20，每 m 月择股）
   - 新增日频估值表 daily_basic + 迁移；股息率因子（dv_ratio / dividend_yield / TTM）
   - 名称历史表 stock_name_history：剔除 ST 按**择股日当时名称**判定，消除
     「曾高股息后 ST」的股息陷阱（实测 3.70pp 偏差）
   - 区间择股/调仓双周期（m 择股 / y 调仓）、指数成分与白名单、停牌近似剔除
   - 复权因子口径核对（4,164,742 行、缺失 0.0%）、收盘价成交与涨跌停拦单
   - 案例实测：2020-01-01~2026-09-04 总收益 +24.86%（年化 3.52%、回撤 -28.58%）

2) 策略库与前端统一
   - strategy 表 + CRUD/PUT 原地更新 + `describe_strategy` 按 spec 真实推导
     「一句话说明 + 计算公式 + 执行步骤 + 注意事项」（与引擎实执行规则同源）
   - 任何出现股票代码处都成对显示名称且可点击进个股页
   - 全站图表基座统一 TradingView Lightweight Charts（ECharts 依赖、
     锁文件、组件与文档标注一并清除），买卖点标记只落在真实交易日上

3) 回测存档完整化（可往复查看）
   - 同步端点（POST /api/backtests、/api/factor-tests）此前完全不落库 → 现在同样归档，
     归档 id 经响应头 X-Experiment-Id 返回（不破坏 response_model）
   - data_version 首次真实写入（数据快照指纹：最新交易日 + 各表规模）
   - 个股收益曲线默认**全量保存**（此前硬截断 60 只）；超出体积预算才裁剪，
     并写 archive_meta（机器可读）+ unimplemented（人可读）如实标注
   - 列表 kind/q 过滤 + X-Total-Count（此前 limit=50 静默截断）、DELETE 归档
   - 只读归档页 /experiments/{id}（Server Component，SSR 直出**选股条件**与
     **交易执行依据**）；结果视图按 kind 分发（backtest/factor_test/selection），
     非回测归档不套用回测口径
   - 新增 CLI：prune_experiments（保留策略，默认 dry-run）、
     restore_experiment_from_job（从 Job 副本按原 id 重建被删的历史归档，默认 dry-run）

门禁：pytest 388 passed、ruff All checks passed、tsc 0 错误、图表单测 7 passed、
next build 成功、契约脚本 verify_strategy_workspace 59/59（含按 kind 逐类验证归档页）。

backend/tests/test_config.py

@@ -6,7 +6,9 @@ from __future__ import annotations
 
 import os
 
-from app.core.config import PROJECT_ROOT, _load_env_file, get_settings
+import pytest
+import yaml
+from app.core.config import CONFIG_PATH, PROJECT_ROOT, _load_env_file, get_settings
 
 
 def test_project_root_points_to_repo_root() -> None:
@@ -22,15 +24,24 @@ def test_test_runner_isolation_uses_tmp_sqlite() -> None:
 
 
 def test_mysql_default_from_config_yaml(monkeypatch) -> None:
-    """未设 DATABASE_URL 时，config.yaml database.mysql 段组装 MySQL URL（不连接）。"""
+    """未设 DATABASE_URL 时，config.yaml database.mysql 段组装 MySQL URL（不连接）。
+
+    期望值直接取自 config.yaml，而不硬编码部署地址：切库（192.168.1.10 → 127.0.0.1）
+    属于配置变更，不应让本用例失效。
+    """
+    mysql = yaml.safe_load(CONFIG_PATH.read_text(encoding="utf-8"))["database"]["mysql"]
     monkeypatch.delenv("DATABASE_URL", raising=False)
     get_settings.cache_clear()
     try:
         url = get_settings().database_url
     finally:
         get_settings.cache_clear()
-    assert url.startswith("mysql+pymysql://qlib:")
-    assert "192.168.1.10:3306/qlib?charset=utf8mb4" in url
+    assert url.startswith(f"mysql+pymysql://{mysql['user']}:")
+    expected = (
+        f"{mysql['host']}:{mysql['port']}/{mysql['db']}?charset={mysql['charset']}"
+    )
+    # 断言只比较 @ 之后的部分：失败时 pytest 不会把含密码的 userinfo 打进日志
+    assert expected in url.split("@")[-1]
 
 
 def test_build_mysql_url(monkeypatch) -> None:
@@ -117,3 +128,95 @@ def test_llm_env_overrides_yaml(monkeypatch) -> None:
     assert s.llm_model == "env-model"
     assert s.llm_base_url == "https://example.com/v1"
     assert s.llm_api_key == "sk-test"
+
+
+class TestForbiddenDbTarget:
+    """用户约束：**禁止使用 192.168.1.10 作为 DB 目标**（只允许本机 MariaDB）。
+
+    连错库是「最危险的静默错误」：不报错、界面正常，只是数据在另一台机器上读写。
+    因此这里是硬失败（抛错），不是警告；本类把守卫生效与放行口子都钉住。
+    """
+
+    def _clear(self):
+        get_settings.cache_clear()
+
+    def test_forbidden_host_rejected_from_env_url(self, monkeypatch) -> None:
+        monkeypatch.setenv(
+            "DATABASE_URL", "mysql+pymysql://qlib:pw@192.168.1.10:3306/qlib"
+        )
+        monkeypatch.delenv("QLIB_FORBIDDEN_DB_HOSTS", raising=False)
+        self._clear()
+        try:
+            with pytest.raises(RuntimeError, match="192.168.1.10"):
+                get_settings()
+        finally:
+            self._clear()
+
+    def test_forbidden_host_rejected_from_config_yaml(self, monkeypatch, tmp_path) -> None:
+        """即使走 config.yaml 的 mysql 段（而非 env）也必须拦住。"""
+        import app.core.config as config_mod
+
+        cfg = {
+            "database": {
+                "mysql": {
+                    "enabled": True,
+                    "host": "192.168.1.10",
+                    "port": 3306,
+                    "db": "qlib",
+                    "user": "qlib",
+                    "charset": "utf8mb4",
+                }
+            }
+        }
+        path = tmp_path / "config.yaml"
+        path.write_text(yaml.safe_dump(cfg, allow_unicode=True), encoding="utf-8")
+        monkeypatch.delenv("DATABASE_URL", raising=False)
+        monkeypatch.delenv("QLIB_FORBIDDEN_DB_HOSTS", raising=False)
+        monkeypatch.setattr(config_mod, "CONFIG_PATH", path)
+        self._clear()
+        try:
+            with pytest.raises(RuntimeError, match="已被禁止"):
+                get_settings()
+        finally:
+            self._clear()
+
+    def test_local_host_allowed(self, monkeypatch) -> None:
+        monkeypatch.setenv(
+            "DATABASE_URL", "mysql+pymysql://qlib:pw@127.0.0.1:3306/qlib"
+        )
+        self._clear()
+        try:
+            assert get_settings().database_url.startswith("mysql+pymysql://qlib")
+        finally:
+            self._clear()
+
+    def test_forbidden_list_is_env_overridable(self, monkeypatch) -> None:
+        """显式放开的口子必须存在（空串＝不限制），否则紧急情况下无法操作。"""
+        monkeypatch.setenv(
+            "DATABASE_URL", "mysql+pymysql://qlib:pw@192.168.1.10:3306/qlib"
+        )
+        monkeypatch.setenv("QLIB_FORBIDDEN_DB_HOSTS", "")
+        self._clear()
+        try:
+            assert "192.168.1.10" in get_settings().database_url
+        finally:
+            self._clear()
+
+    def test_sqlite_and_other_hosts_unaffected(self, monkeypatch) -> None:
+        """SQLite（无 host）与其它主机不受影响 —— 守卫只拦精确匹配的禁用主机。"""
+        from app.core.config import assert_db_target_allowed
+
+        monkeypatch.delenv("QLIB_FORBIDDEN_DB_HOSTS", raising=False)
+        assert_db_target_allowed("sqlite:////tmp/x.db")
+        assert_db_target_allowed("mysql+pymysql://u:p@127.0.0.1:3306/qlib")
+        assert_db_target_allowed("mysql+pymysql://u:p@db.internal:3306/qlib")
+        assert_db_target_allowed("")
+        with pytest.raises(RuntimeError):
+            assert_db_target_allowed("mysql+pymysql://u:p@192.168.1.10:3306/qlib")
+
+    def test_guard_only_matches_host_not_userinfo(self, monkeypatch) -> None:
+        """只比 host：把禁用 IP 写进用户名/密码不应被误判（避免误报挡住正常连接）。"""
+        from app.core.config import assert_db_target_allowed
+
+        monkeypatch.delenv("QLIB_FORBIDDEN_DB_HOSTS", raising=False)
+        assert_db_target_allowed("mysql+pymysql://192.168.1.10:pw@127.0.0.1:3306/qlib")