docs: 补充接口加解密、代码检查与安全配置等开发文档

同步 ledgerly 近期开发改动（接口请求/响应体加解密、代码检查工具、安全与稳定性修复、AI 提示词模板抽取），补齐对应开发文档并修正过时表述，同时在快速开始补充小屏适配说明。

变更内容：
- dev/api.md：新增「接口数据加密」小节，说明 RSA + AES-GCM 握手流程、信封格式、会话有效期与失效码、豁免范围及编译期开关。
- dev/architecture.md：请求处理流程补入加密会话拦截器与请求/响应体 Advice，关键设计亮点新增接口数据加密一条。
- dev/development.md：新增「代码检查」小节，登记 Spotless / Checkstyle / SpotBugs 与前端 ESLint / Prettier 配置及运行命令。
- dev/build-deploy.md：新增「安全配置」（JWT_SECRET 覆盖、CORS 放行来源），构建任务链补入前端 lint 校验说明。
- dev/ai.md：修正已重命名的提示词模板名，补充「提示词模板」片段机制与图片记账 SSE 超时、心跳说明。
- dev/project-structure.md：补充 config.crypto / util.crypto 包、prompts 资源目录、crypto-keys.json 运行时文件与交易服务拆分说明。
- guide/getting-started.md：新增「小屏与移动端适配」说明。
- guide/transactions.md：导出说明补充单次 10000 条上限。

dev/api.md

@@ -24,6 +24,17 @@
 - 无需鉴权的接口：`/api/user/login`、`/api/user/register`、`/api/user/registration-status`、`/api/database/status`。
 - 日志实时推送等 SSE 接口因 `EventSource` 无法自定义请求头，兼容通过 `?token=` 查询参数鉴权。
 
+## 接口数据加密
+
+后端支持对 `/api/**` 的**请求体与响应体**做端到端加密（RSA + AES-GCM），浏览器登录后自动完成握手，对使用者透明。该能力为**机会式**：未携带加密会话头的请求按明文处理，因此 Knife4j 等工具仍可直接明文调试接口。
+
+- **握手**：前端先 `GET /api/crypto/public-key` 获取 RSA 公钥（返回 `{enabled, keyId, algorithm, publicKey}`），本地生成 32 字节 AES 密钥并用 **RSA-OAEP（SHA-256）** 加密，再 `POST /api/crypto/handshake`（body `{keyId, key}`）换取 `sessionId`；此后请求统一携带 `X-Crypto-Session: <sessionId>` 头。
+- **算法**：**AES-256-GCM**（IV 12 字节、认证标签 128 位），GCM 的 AAD 绑定 `sessionId` 以防跨会话重放；AES 会话密钥仅存后端内存，RSA 密钥对在首次启动时自动生成并持久化到运行目录 `config/crypto-keys.json`。
+- **信封格式**：加解密对象为 JSON 信封 `{"enc":"A256GCM","iv":"<Base64>","data":"<Base64 密文+标签>"}`。
+- **会话**：有效期 2 小时、上限 2000 个；失效返回业务码 `4201`，前端自动重新握手并重试一次。
+- **豁免范围**：SSE 流式接口、multipart 文件上传、二进制下载/图片（导出、`/api/ai/image/**`）与握手接口本身不做加解密；`/api/crypto/**` 无需鉴权。
+- **开关**：由编译期常量 `CryptoConstants.API_ENCRYPTION_ENABLED` 控制；关闭后 `public-key` 返回 `enabled:false`，前端自动回退明文。
+
 ## 接口分组
 
 | 控制器 | 路径前缀 | 说明 |