feat(finance): add financial disclosure publishing

docs/06_SECURITY_PRIVACY.md

@@ -283,3 +283,10 @@
 - 只有 `APPROVED` 志愿者可报名；活动行锁、有效报名计数和数据库唯一约束共同防止并发超额与重复报名。
 - 报名审核、取消、签到、缺席和服务分钟均写不可变历史与审计。服务分钟只允许对已通过、已签到且活动已完成的记录核定，且不得超过活动持续时间。
 - 公益项目和活动公开接口只返回公开状态内容，不返回志愿者名单或服务对象资料。封面未配置对象存储时不生成假地址或假成功。
+
+## 财务公开富文本安全（2026-08-13）
+
+- DOCX 仅在管理端浏览器转换，不由 API 执行或解析 Office 宏；首版不持久化原 Word 文件。
+- 管理端导入和预览先经 DOMPurify 清洗，API 保存前再次使用独立白名单清洗；禁止脚本、事件属性、iframe、非 HTTPS 链接和非 HTTPS 图片。
+- 只有管理员与超级管理员默认获得财务公开查看、编辑和发布权限；公众只能访问已发布文档。
+- 已发布文档禁止原地覆盖编辑，归档后不可公开；发布和归档写入不可变历史与审计。