refactor: P2 core+common 建设（应用工厂/扩展/工具层迁入 src/）

【结构】
- src/core/：database/response/jwt/password/security/redis_client/mail/scheduler
- src/common/：base_model/base_db/forms(base_form+fields)/constants/utils
- src/models_registry.py：模型聚合器（Flask-Migrate 全量表识别）

【绞杀者 shim】extensions/、utils/、application/constants|forms|models 打兼容转发
【兼容修复】应用工厂抽取至 application/factory.py（P2 前置，P1 已完成）

【基线修复】application/models(25) + middleware(7) 原被嵌套 .gitignore(*)
误排除出版本库，已补入（base_model/base_db 现为 shim，原版在 src/common/）

【登记既有缺陷】
1. flask db CLI 因 .env FLASK_VERSION 与 --version 冲突报错 → Makefile 已加 FLASK_SKIP_DOTENV=1
2. 本机 Redis 未设密码但 REDIS_AUTH=True，/captcha 报 AUTH 错误（环境问题）

【验收】22 模型表全量识别；src/ flake8 零告警；pytest 5 passed；应用启动；
/login 表单校验、/user/page 鉴权拦截冒烟正常

Co-Authored-By: Claude <noreply@anthropic.com>

重构方案-v2.md

@@ -352,7 +352,7 @@ from src.core.database import db                # 统一 db 单例
 |---|---|---|---|
 | **P0 基线** | `git init`；`.gitignore` 补 `logs/ instance/ *.pyc`；基线提交 | git 仓库可用，可 `git reset --hard` 回滚 | 无 |
 | **P1 工具链** | pyproject.toml / requirements-dev.txt / .flake8 / .pre-commit / Makefile / pytest 骨架 | 现有代码 `flake8` 通过（或登记存量告警）；`pytest` 空跑通过。**已登记存量告警：154 条（F401×111 / E402×36 / 其余 7）；pytest 5 passed** | 低 |
-| **P2 core+common** | 建 `src/core/` `src/common/`；extensions/utils 打 shim；模型聚合器建 `src/models_registry.py` | `python app.py` 启动；`flask db migrate` 仍全量识别表；全接口冒烟 | 高（依赖面最大） |
+| **P2 core+common** | 建 `src/core/` `src/common/`；extensions/utils 打 shim；模型聚合器建 `src/models_registry.py` | 已验收：22 模型表全量识别且 DB 全部存在；src/ flake8 零告警；pytest 5 passed；应用启动；/login 表单校验与 /user/page 鉴权拦截冒烟正常。**基线修复**：application/models + middleware 原被嵌套 `.gitignore`（`*`）误排除，已补入。**登记既有缺陷**：① `flask db` CLI 因 .env 的 FLASK_VERSION 与 --version 冲突报错（Makefile 已加 FLASK_SKIP_DOTENV 规避）；② 本机 Redis 未设密码但 REDIS_AUTH=True，/captcha 报 AUTH 错误（环境问题，非重构） | 高（依赖面最大，已完成） |
 | **P3 模块搬迁** | 按 §2.5 顺序逐组迁移 23 个模块（models→forms→services→views），每批打 shim + 验证 | 每批后 `python app.py` 启动 + 该模块接口回归通过 | 中 |
 | **P4 服务层改造** | 26 个服务文件改「入参数据/出参数据」；router 取参包 R；引入 base_service/base_repository + BizError | 核心服务（auth/user/role/menu）单测可写可跑；接口回归全绿 | 高（最大工作量） |
 | **P5 DI 注入** | core/permission.py + op_log 接口化；app 工厂注入 menu 服务 | `grep -r "from application" src/core/` 为空；权限/日志行为与现状一致 | 中 |