审计修复：后端（安全 / 数据一致性 / 性能）

audit-2026-09-21.md 里的后端条目落地。每条都配了回归守卫，并逐条做过变异验证
（注入原 bug → 确认按正确理由变红 → 还原 → 变绿）。

安全
- CSRF 只加同源 Origin/Referer 守卫（csrf.go），不动模板
- 会话 cookie 的 Secure 按请求判断；两步验证两闸（loginGuard + 验证码一次性）
- 跳转收口到 safeInternalPath；clientIP 只认 XFF 最后一段
- GPX 按属主圈定且查 RowsAffected；下载名走 downloadDisposition
- 上传口统一 MaxBytesReader；落盘后的失败路径清掉半成品

数据一致性
- 区域判定两端各过一遍再 AND（apiTrack 与 movementsWhere 对齐）
- Filter.Verdict 全域一致（下推到 visitsWhere）；聚合刷新必须返回 error
- 附属数据改挂坐标键，Go 与 SQL 两套表达式逐位一致
- 脏备份的伪时间/越界坐标不再进领域模型；rows 循环统一 drainRows
- 合并与导出：writeRawRow 上抛错误、悬空引用清理、原生列补全

性能
- placeCols 相关子查询带 dataset_id 前导列；findSourceArchive 先按大小筛
- 批量勾选改 ANY($3::bigint[])；fillupCache 加上限；同一查询不再查两遍

另：新增「全新库」冒烟测试 —— 空库跑完 Migrate 再用应用侧读查询真打一遍，
迁移块排到依赖表之前这种错只有新库会炸，老库毫无症状。

internal/notes/notes.go

@@ -69,6 +69,29 @@ func (s *Store) SetNote(ctx context.Context, userID, datasetID int64, srcPK int,
 	return s.Save(ctx, userID, datasetID, srcPK, alias, content)
 }
 
+// SetNoteBulk 批量「清空备注、保留别名」，语义与逐条 SetNote(..., "") 一致，但只发两条语句
+// （逐个来是 2N 次往返，勾几十个地点在 1C1G 的机器上是能感觉到的）：
+// 先删掉「别名与 rond 备注都为空」的行，再把其余行的手写 note 清空。
+func (s *Store) SetNoteBulk(ctx context.Context, userID, datasetID int64, srcPKs []int64) error {
+	if len(srcPKs) == 0 {
+		return nil
+	}
+	if _, err := s.DB.ExecContext(ctx, `DELETE FROM place_notes n USING places p
+		WHERE n.user_id=$1 AND p.dataset_id=$2 AND p.src_pk = ANY($3::bigint[])
+		  AND n.place_key = `+placeKeyExpr("p")+`
+		  AND btrim(COALESCE(n.alias,''))='' AND n.rond_note=''`,
+		userID, datasetID, srcPKs); err != nil {
+		return err
+	}
+	// 顺带把 dataset_id/src_pk 刷成当前数据集的值，与逐条 Save 的 upsert 行为对齐
+	_, err := s.DB.ExecContext(ctx, `UPDATE place_notes n
+		SET note='', dataset_id=p.dataset_id, src_pk=p.src_pk, updated_at=now()
+		FROM places p
+		WHERE n.user_id=$1 AND p.dataset_id=$2 AND p.src_pk = ANY($3::bigint[])
+		  AND n.place_key = `+placeKeyExpr("p"), userID, datasetID, srcPKs)
+	return err
+}
+
 // Delete 删除某地点的整条备注与别名。
 func (s *Store) Delete(ctx context.Context, userID, datasetID int64, srcPK int) error {
 	_, err := s.DB.ExecContext(ctx, `DELETE FROM place_notes n USING places p
@@ -77,6 +100,17 @@ func (s *Store) Delete(ctx context.Context, userID, datasetID int64, srcPK int)
 	return err
 }
 
+// DeleteBulk 一次删掉多个地点的整条备注与别名（后台批量勾选时用，一条语句代替 N 次往返）。
+func (s *Store) DeleteBulk(ctx context.Context, userID, datasetID int64, srcPKs []int64) error {
+	if len(srcPKs) == 0 {
+		return nil
+	}
+	_, err := s.DB.ExecContext(ctx, `DELETE FROM place_notes n USING places p
+		WHERE n.user_id=$1 AND p.dataset_id=$2 AND p.src_pk = ANY($3::bigint[])
+		  AND n.place_key = `+placeKeyExpr("p"), userID, datasetID, srcPKs)
+	return err
+}
+
 // Save 写入别名与备注；两者都为空时清空手写内容（rond 回填的那一块要留着）。
 func (s *Store) Save(ctx context.Context, userID, datasetID int64, srcPK int, alias, content string) error {
 	alias = strings.TrimSpace(alias)