Hotfix: strip invalid XML control chars from field values (FR-16)

ผู้ใช้ paste ข้อความที่มี vertical tab (0x0B) เข้าฟอร์ม — XML 1.0 ห้าม
อักขระนี้ ทำให้ XmlWriter โยน ArgumentException ตอน save package และ
หลุดเป็น 500 stack เต็มจอ (catch เดิมครอบแค่ OpenXmlPackageException)

- DocxGenerationService.SanitizeForXml: ตัดอักขระที่ XML 1.0 ห้าม
  (0x00–0x1F ยกเว้น tab/LF/CR, lone surrogate, 0xFFFE/0xFFFF — คู่
  surrogate ครบ เช่น อีโมจิ คงไว้) ที่จุดเขียนค่าทั้งสองของ
  ReplaceSdtContent → ครอบทั้ง generate และ generate-draft
- Controllers: broad catch (ยกเว้น cancellation) → 502 ข้อความอ่านออก
  แทน 500 ดิบ สำหรับ exception ที่ไม่ได้ตั้งใจจาก OpenXML
- Test: Draft_ValueWithInvalidXmlControlChars_IsStrippedNot500 (draft +
  generate v0) — reviewer พิสูจน์แล้วว่า fail จริงบนโค้ดก่อนแก้
- backend 85/85; QA reviewer PASS (1 round, minors 3: แก้ 1 ปฏิเสธ 2
  พร้อมเหตุผล — บันทึกใน acceptance-review.md)

Co-Authored-By: Claude Code <noreply@anthropic.com>

backend/WordVersioning.Api/Controllers/TemplatesController.cs

@@ -366,6 +366,14 @@ public class TemplatesController(
                 template.Id, template.ObjectKey);
             return StatusCode(StatusCodes.Status502BadGateway, "ไฟล์ template เสียหาย (เปิดด้วย OpenXML ไม่ได้)");
         }
+        catch (Exception ex) when (ex is not OperationCanceledException)
+        {
+            // กันหน้า: OpenXML โยนอะไรก็ตามที่เราไม่ได้เจอมาก่อน (เช่น ArgumentException จากอักขระที่ XML ใช้ไม่ได้
+            // ตอน v9 แรกๆ หลุดเป็น 500 stack เต็มจอ) — ให้เป็น 502 ที่อ่านออกแทน
+            logger.LogError(ex, "Draft generation failed templateId={TemplateId} userId={UserId}",
+                template.Id, currentUser.UserId);
+            return StatusCode(StatusCodes.Status502BadGateway, "สร้างไฟล์ร่างไม่สำเร็จ (ไฟล์ template หรือค่าที่กรอกมีปัญหา)");
+        }
 
         // เก็บชั่วคราวใต้ drafts/ — lifecycle ลบให้เอง (Program.cs ตั้ง rule ตอน startup)
         var now = DateTimeOffset.UtcNow;