审计修复：后端（安全 / 数据一致性 / 性能）

audit-2026-09-21.md 里的后端条目落地。每条都配了回归守卫，并逐条做过变异验证
（注入原 bug → 确认按正确理由变红 → 还原 → 变绿）。

安全
- CSRF 只加同源 Origin/Referer 守卫（csrf.go），不动模板
- 会话 cookie 的 Secure 按请求判断；两步验证两闸（loginGuard + 验证码一次性）
- 跳转收口到 safeInternalPath；clientIP 只认 XFF 最后一段
- GPX 按属主圈定且查 RowsAffected；下载名走 downloadDisposition
- 上传口统一 MaxBytesReader；落盘后的失败路径清掉半成品

数据一致性
- 区域判定两端各过一遍再 AND（apiTrack 与 movementsWhere 对齐）
- Filter.Verdict 全域一致（下推到 visitsWhere）；聚合刷新必须返回 error
- 附属数据改挂坐标键，Go 与 SQL 两套表达式逐位一致
- 脏备份的伪时间/越界坐标不再进领域模型；rows 循环统一 drainRows
- 合并与导出：writeRawRow 上抛错误、悬空引用清理、原生列补全

性能
- placeCols 相关子查询带 dataset_id 前导列；findSourceArchive 先按大小筛
- 批量勾选改 ANY($3::bigint[])；fillupCache 加上限；同一查询不再查两遍

另：新增「全新库」冒烟测试 —— 空库跑完 Migrate 再用应用侧读查询真打一遍，
迁移块排到依赖表之前这种错只有新库会炸，老库毫无症状。

internal/votes/votes.go

@@ -87,6 +87,32 @@ func (s *Store) SaveVerdict(ctx context.Context, userID, datasetID int64, srcPK,
 	return err
 }
 
+// SaveVerdictBulk 一次给多个地点设置（verdict=1/-1）或取消（verdict=0）站长结论，
+// 语义同逐条 SaveVerdict，但一条语句代替 N 次往返。
+func (s *Store) SaveVerdictBulk(ctx context.Context, userID, datasetID int64, srcPKs []int64, verdict int) error {
+	if len(srcPKs) == 0 {
+		return nil
+	}
+	if verdict == 0 {
+		_, err := s.DB.ExecContext(ctx, `DELETE FROM place_votes v USING places p
+			WHERE v.user_id=$1 AND p.dataset_id=$2 AND p.src_pk = ANY($3::bigint[])
+			  AND v.place_key = `+placeKeyExpr, userID, datasetID, srcPKs)
+		return err
+	}
+	// 先按坐标键算出每条地点该挂在哪，找不到该地点就什么也不写
+	_, err := s.DB.ExecContext(ctx, `INSERT INTO place_votes
+			(user_id, place_key, dataset_id, src_pk, verdict, updated_at)
+		SELECT $1, `+placeKeyExpr+`, $2, p.src_pk, $4, now()
+		FROM places p
+		WHERE p.dataset_id=$2 AND p.src_pk = ANY($3::bigint[])
+		  AND p.lat IS NOT NULL AND p.lon IS NOT NULL
+		ON CONFLICT (user_id, place_key) DO UPDATE SET
+			verdict=EXCLUDED.verdict, dataset_id=EXCLUDED.dataset_id,
+			src_pk=EXCLUDED.src_pk, updated_at=now()`,
+		userID, datasetID, srcPKs, verdict)
+	return err
+}
+
 // placeKeyOf 把某个数据集里的地点编号换算成坐标键——访客票也是挂在坐标上的，
 // 换数据集之后票仍然跟着同一个地点。
 func (s *Store) placeKeyOf(ctx context.Context, datasetID int64, srcPK int) (string, error) {