审计修复：后端（安全 / 数据一致性 / 性能）

audit-2026-09-21.md 里的后端条目落地。每条都配了回归守卫，并逐条做过变异验证
（注入原 bug → 确认按正确理由变红 → 还原 → 变绿）。

安全
- CSRF 只加同源 Origin/Referer 守卫（csrf.go），不动模板
- 会话 cookie 的 Secure 按请求判断；两步验证两闸（loginGuard + 验证码一次性）
- 跳转收口到 safeInternalPath；clientIP 只认 XFF 最后一段
- GPX 按属主圈定且查 RowsAffected；下载名走 downloadDisposition
- 上传口统一 MaxBytesReader；落盘后的失败路径清掉半成品

数据一致性
- 区域判定两端各过一遍再 AND（apiTrack 与 movementsWhere 对齐）
- Filter.Verdict 全域一致（下推到 visitsWhere）；聚合刷新必须返回 error
- 附属数据改挂坐标键，Go 与 SQL 两套表达式逐位一致
- 脏备份的伪时间/越界坐标不再进领域模型；rows 循环统一 drainRows
- 合并与导出：writeRawRow 上抛错误、悬空引用清理、原生列补全

性能
- placeCols 相关子查询带 dataset_id 前导列；findSourceArchive 先按大小筛
- 批量勾选改 ANY($3::bigint[])；fillupCache 加上限；同一查询不再查两遍

另：新增「全新库」冒烟测试 —— 空库跑完 Migrate 再用应用侧读查询真打一遍，
迁移块排到依赖表之前这种错只有新库会炸，老库毫无症状。

internal/auth/auth_test.go

@@ -12,6 +12,30 @@ import (
 	_ "github.com/jackc/pgx/v5/stdlib"
 )
 
+// TestSessionTokenBindsPasswordHash 钉住「改密后旧会话立即作废」这条契约。
+// 令牌的 MAC 必须真的绑上口令摘要：曾经绑的是摘要的前 16 个字符，而 PBKDF2
+// 编码形如 `pbkdf2$sha256$210000$<salt>$<dk>`，前 16 字节恒为 `pbkdf2$sha256$21`
+// ——等于绑了个常量，改密后别的设备上的旧 cookie 照样能用。
+// 不碰数据库：SignToken/ParseToken 只用到 Secret 与 Days。
+func TestSessionTokenBindsPasswordHash(t *testing.T) {
+	st := &Store{Secret: []byte("test-secret"), Days: 7}
+	before, err := HashPassword("old-password-123456")
+	if err != nil {
+		t.Fatal(err)
+	}
+	after, err := HashPassword("new-password-123456")
+	if err != nil {
+		t.Fatal(err)
+	}
+	tok := st.SignToken(1, before)
+	if _, ok := st.ParseToken(tok, before); !ok {
+		t.Fatal("用签名时的口令摘要应能验签")
+	}
+	if _, ok := st.ParseToken(tok, after); ok {
+		t.Error("改密后旧会话仍验签通过：令牌 MAC 没有真的绑上口令摘要")
+	}
+}
+
 // TestChangeUsername 覆盖改名的正向路径、口令校验与占用冲突。
 // 会临时建一个用户并在结束时删掉，所以需要一个可连的库：用 ROND_DSN 指过来，
 // 未设置时跳过（与项目里其它按环境变量门控的测试一致）。