审计修复：后端（安全 / 数据一致性 / 性能）

audit-2026-09-21.md 里的后端条目落地。每条都配了回归守卫，并逐条做过变异验证
（注入原 bug → 确认按正确理由变红 → 还原 → 变绿）。

安全
- CSRF 只加同源 Origin/Referer 守卫（csrf.go），不动模板
- 会话 cookie 的 Secure 按请求判断；两步验证两闸（loginGuard + 验证码一次性）
- 跳转收口到 safeInternalPath；clientIP 只认 XFF 最后一段
- GPX 按属主圈定且查 RowsAffected；下载名走 downloadDisposition
- 上传口统一 MaxBytesReader；落盘后的失败路径清掉半成品

数据一致性
- 区域判定两端各过一遍再 AND（apiTrack 与 movementsWhere 对齐）
- Filter.Verdict 全域一致（下推到 visitsWhere）；聚合刷新必须返回 error
- 附属数据改挂坐标键，Go 与 SQL 两套表达式逐位一致
- 脏备份的伪时间/越界坐标不再进领域模型；rows 循环统一 drainRows
- 合并与导出：writeRawRow 上抛错误、悬空引用清理、原生列补全

性能
- placeCols 相关子查询带 dataset_id 前导列；findSourceArchive 先按大小筛
- 批量勾选改 ANY($3::bigint[])；fillupCache 加上限；同一查询不再查两遍

另：新增「全新库」冒烟测试 —— 空库跑完 Migrate 再用应用侧读查询真打一遍，
迁移块排到依赖表之前这种错只有新库会炸，老库毫无症状。

internal/rond/diff.go

@@ -110,6 +110,29 @@ func PlaceCoordKey(lat, lon float64) string {
 
 func coordStr(v float64) string { return fmt.Sprintf("%.6f", v) }
 
+// RawFloat8 返回「把 entity_raw 里的 JSON 值安全地转成 float8」的 SQL 表达式，
+// 值不是合法的数字就给 NULL，而不是抛错。
+//
+// 留档是原样存下来的 JSON，值不一定是数字：空串、字符串形式的 "1.2.3"、
+// "NaN" 都可能出现。直接 `::float8` 会抛 invalid input syntax，代价是**编辑页
+// 整页 500** 或**整次导入失败 / 启动自愈失败**，而且只在特定那一行数据上复现。
+//
+// 两个实现细节都有原因，别简化：
+//   - 写成 CASE 而不是「正则 AND cast」：PG 不保证 AND/OR 各操作数的求值顺序，
+//     正则没挡住时照样会炸；CASE 只求值命中的那个分支。
+//   - 正则把**指数限在两位**，于是最大幅度约 1e109，本身就进不了 float8 的溢出区
+//     （实测 `'1e999'` 这类值在 CASE 里一样会抛 out of range）。这样不依赖
+//     PG 版本——`pg_input_is_valid` 要 PG 16+，本项目的库版本没有写死。
+//     坐标用不上 1e109 以上的写法，也不会小到 1e-100 以下。
+//
+// RawFloatPattern 是同一个正则（不带引号），给「只想判合不合法、不取数值」的地方用：
+// 光一个 `~` 判断不会抛错，所以那种地方可以直接串它。
+const RawFloatPattern = `^[+-]?([0-9]{1,10}(\.[0-9]*)?|\.[0-9]{1,10})([eE][+-]?[0-9]{1,2})?$`
+
+func RawFloat8(expr string) string {
+	return `CASE WHEN ` + expr + ` ~ '` + RawFloatPattern + `' THEN (` + expr + `)::float8 END`
+}
+
 // DiffVisits 按 UUID 对齐两边的到访。
 //
 // 真机偶尔有条目没写 UUID（实测 824 行到访里有 2 行），只按 UUID 配对会让同一条既算