审计修复：后端（安全 / 数据一致性 / 性能）

audit-2026-09-21.md 里的后端条目落地。每条都配了回归守卫，并逐条做过变异验证
（注入原 bug → 确认按正确理由变红 → 还原 → 变绿）。

安全
- CSRF 只加同源 Origin/Referer 守卫（csrf.go），不动模板
- 会话 cookie 的 Secure 按请求判断；两步验证两闸（loginGuard + 验证码一次性）
- 跳转收口到 safeInternalPath；clientIP 只认 XFF 最后一段
- GPX 按属主圈定且查 RowsAffected；下载名走 downloadDisposition
- 上传口统一 MaxBytesReader；落盘后的失败路径清掉半成品

数据一致性
- 区域判定两端各过一遍再 AND（apiTrack 与 movementsWhere 对齐）
- Filter.Verdict 全域一致（下推到 visitsWhere）；聚合刷新必须返回 error
- 附属数据改挂坐标键，Go 与 SQL 两套表达式逐位一致
- 脏备份的伪时间/越界坐标不再进领域模型；rows 循环统一 drainRows
- 合并与导出：writeRawRow 上抛错误、悬空引用清理、原生列补全

性能
- placeCols 相关子查询带 dataset_id 前导列；findSourceArchive 先按大小筛
- 批量勾选改 ANY($3::bigint[])；fillupCache 加上限；同一查询不再查两遍

另：新增「全新库」冒烟测试 —— 空库跑完 Migrate 再用应用侧读查询真打一遍，
迁移块排到依赖表之前这种错只有新库会炸，老库毫无症状。

internal/auth/auth.go

@@ -169,7 +169,7 @@ func (s *Store) UserByID(ctx context.Context, id int64) (*User, error) {
 	return &u, nil
 }
 
-// 会话令牌 = expiry|uid|hmac(uid|expiry|口令摘要前缀)，口令变更即自动失效。
+// 会话令牌 = uid|expiry|hmac(uid|expiry|口令摘要)，口令变更即自动失效。
 func (s *Store) SignToken(userID int64, hash string) string {
 	exp := time.Now().AddDate(0, 0, s.Days).Unix()
 	payload := fmt.Sprintf("%d|%d", userID, exp)
@@ -195,14 +195,8 @@ func (s *Store) ParseToken(token, hash string) (int64, bool) {
 func (s *Store) mac(payload, hash string) string {
 	m := hmac.New(sha256.New, s.Secret)
 	m.Write([]byte(payload))
-	// 混入口令摘要，改密后旧 cookie 立即作废
-	m.Write([]byte("|" + hash[:min(len(hash), 16)]))
+	// 绑完整口令摘要：摘要里带随机 salt，改密后必然不同，旧 cookie 当场作废。
+	// 别只取摘要前几位——PBKDF2 编码的前缀是固定格式，等于绑了个常量。
+	m.Write([]byte("\x00" + hash))
 	return b64(m.Sum(nil))
 }
-
-func min(a, b int) int {
-	if a < b {
-		return a
-	}
-	return b
-}