FIX: 11 bugs bảo mật/ổn định (static mount chặn dotfile, delete traversal, cleanup giữ clips serverFileId, upload whitelist, password strength, auth audio endpoints, pedalboard==0.9.19, vendor CDN local) + FEATURE: Carla bridge preview/export MIDI notes âm VSTi (POST /midi-render, /carla-play-notes, nút Preview VSTi/Export MIDI->Audio; pedalboard 0.9.19 raw MIDI bytes; SONICFORGE_STORAGE_DIR cô lập test storage)

app/config.py

@@ -10,6 +10,11 @@ def _app_dir():
 
 
 def _storage_dir():
+    # Test/dev isolation: env override thắng (pytest set để không đụng storage
+    # thật — app production có thể đang chạy và ghi file state).
+    env_dir = os.getenv("SONICFORGE_STORAGE_DIR")
+    if env_dir:
+        return env_dir
     if getattr(sys, "frozen", False):
         # Dữ liệu ghi được (DB, uploads, processed) phải ngoài thư mục tạm
         root = os.environ.get("APPDATA") or os.path.expanduser("~")