审计修复：后端（安全 / 数据一致性 / 性能）

audit-2026-09-21.md 里的后端条目落地。每条都配了回归守卫，并逐条做过变异验证
（注入原 bug → 确认按正确理由变红 → 还原 → 变绿）。

安全
- CSRF 只加同源 Origin/Referer 守卫（csrf.go），不动模板
- 会话 cookie 的 Secure 按请求判断；两步验证两闸（loginGuard + 验证码一次性）
- 跳转收口到 safeInternalPath；clientIP 只认 XFF 最后一段
- GPX 按属主圈定且查 RowsAffected；下载名走 downloadDisposition
- 上传口统一 MaxBytesReader；落盘后的失败路径清掉半成品

数据一致性
- 区域判定两端各过一遍再 AND（apiTrack 与 movementsWhere 对齐）
- Filter.Verdict 全域一致（下推到 visitsWhere）；聚合刷新必须返回 error
- 附属数据改挂坐标键，Go 与 SQL 两套表达式逐位一致
- 脏备份的伪时间/越界坐标不再进领域模型；rows 循环统一 drainRows
- 合并与导出：writeRawRow 上抛错误、悬空引用清理、原生列补全

性能
- placeCols 相关子查询带 dataset_id 前导列；findSourceArchive 先按大小筛
- 批量勾选改 ANY($3::bigint[])；fillupCache 加上限；同一查询不再查两遍

另：新增「全新库」冒烟测试 —— 空库跑完 Migrate 再用应用侧读查询真打一遍，
迁移块排到依赖表之前这种错只有新库会炸，老库毫无症状。

internal/web/pagelink_test.go

@@ -2,6 +2,8 @@ package web
 
 import (
 	"html/template"
+	"net/http/httptest"
+	"net/url"
 	"strings"
 	"testing"
 )
@@ -58,6 +60,50 @@ func TestMapLink(t *testing.T) {
 	}
 }
 
+// EditPlaceLink 是「在数据编辑页打开这个地点」，它把返回地址挂在 ?back= 上。
+//
+// 这里只允许编码**一次**。退回当前页时以前用的是 BackQS（已经 QueryEscape 过），
+// 再转一次就成了 %252F…，服务端解一次拿到 %2F… 不以 / 开头，被 backFromRequest
+// 当站外地址丢掉 —— 直接打开 /places/1 再点「编辑」，编辑页的返回按钮就凭空消失。
+func TestEditPlaceLinkBackIsEncodedOnce(t *testing.T) {
+	const self = "/places/1?city=河池市&sort=dwell"
+	cases := []struct {
+		name string
+		p    Page
+		want string // back 参数解码一次后的原值
+	}{
+		{"列表页给的 back", Page{
+			Back:     template.URL("/places?city=河池市"),
+			SelfPath: self,
+			BackQS:   template.URL(url.QueryEscape(self)),
+		}, "/places?city=河池市"},
+		{"back 为空时退回当前页", Page{
+			SelfPath: self,
+			BackQS:   template.URL(url.QueryEscape(self)),
+		}, self},
+	}
+	for _, c := range cases {
+		got := string(c.p.EditPlaceLink(2141))
+		i := strings.Index(got, "&back=")
+		if i < 0 {
+			t.Fatalf("%s：链接里没有 back 参数：%s", c.name, got)
+		}
+		encoded := got[i+len("&back="):]
+		raw, err := url.QueryUnescape(encoded)
+		if err != nil {
+			t.Fatalf("%s：back 值解不出来：%v", c.name, err)
+		}
+		if raw != c.want {
+			t.Errorf("%s：back 解码一次 = %q，期望 %q（链接 %s）", c.name, raw, c.want, got)
+		}
+		// 服务端真的会收这一份：解出来的必须还能通过站内校验，否则返回按钮是空的
+		r := httptest.NewRequest("GET", "/admin/edit?open=2141&back="+encoded, nil)
+		if bk := backFromRequest(r); string(bk) != c.want {
+			t.Errorf("%s：服务端解出 back=%q，期望 %q —— 返回按钮会消失", c.name, bk, c.want)
+		}
+	}
+}
+
 // 返回按钮的文案要从 back 里认出来源。踩过的坑：先取「第一个路径段」但没剥查询串，
 // 于是 `/places?city=X` 这种「带筛选、没有下级路径」的整串都是第一段，谁都匹配不上，
 // 按钮退化成光秃秃的「返回」。