审计修复：后端（安全 / 数据一致性 / 性能）

audit-2026-09-21.md 里的后端条目落地。每条都配了回归守卫，并逐条做过变异验证
（注入原 bug → 确认按正确理由变红 → 还原 → 变绿）。

安全
- CSRF 只加同源 Origin/Referer 守卫（csrf.go），不动模板
- 会话 cookie 的 Secure 按请求判断；两步验证两闸（loginGuard + 验证码一次性）
- 跳转收口到 safeInternalPath；clientIP 只认 XFF 最后一段
- GPX 按属主圈定且查 RowsAffected；下载名走 downloadDisposition
- 上传口统一 MaxBytesReader；落盘后的失败路径清掉半成品

数据一致性
- 区域判定两端各过一遍再 AND（apiTrack 与 movementsWhere 对齐）
- Filter.Verdict 全域一致（下推到 visitsWhere）；聚合刷新必须返回 error
- 附属数据改挂坐标键，Go 与 SQL 两套表达式逐位一致
- 脏备份的伪时间/越界坐标不再进领域模型；rows 循环统一 drainRows
- 合并与导出：writeRawRow 上抛错误、悬空引用清理、原生列补全

性能
- placeCols 相关子查询带 dataset_id 前导列；findSourceArchive 先按大小筛
- 批量勾选改 ANY($3::bigint[])；fillupCache 加上限；同一查询不再查两遍

另：新增「全新库」冒烟测试 —— 空库跑完 Migrate 再用应用侧读查询真打一遍，
迁移块排到依赖表之前这种错只有新库会炸，老库毫无症状。

internal/web/place_image_test.go

@@ -168,6 +168,45 @@ func TestPlaceImageUploadDelete(t *testing.T) {
 	}
 }
 
+// TestPlaceImageUploadRejectsOversizedBody 上传接口必须先卡住请求体再解析 multipart。
+//
+// ParseMultipartForm 的 maxMemory 只管「内存里留多少」，超出的部分会无上限地落到
+// 临时文件；不先套 MaxBytesReader，一个大请求就能把磁盘写满。
+//
+// 判据用响应文案而不是「文件大小」：只有 ParseMultipartForm 失败那一条分支会回
+// 「可能太大」。把 MaxBytesReader 那行删掉，请求会一路解析成功、最后被 6MB 的单张
+// 上限拦成「图片超过 6MB」，这条用例就会红。
+func TestPlaceImageUploadRejectsOversizedBody(t *testing.T) {
+	f := newMovementFixture(t)
+	f.cfg.DataDir = t.TempDir()
+	setMediaBackend(t, f, "local")
+
+	var src int
+	if err := f.pg.QueryRowContext(f.ctx, `SELECT src_pk FROM places
+		WHERE dataset_id=$1 ORDER BY src_pk LIMIT 1`, f.dsID).Scan(&src); err != nil {
+		t.Fatalf("找不到地点: %v", err)
+	}
+
+	// 超出门限（imageMaxBytes + 1MB）一大截
+	raw := webpBytes(imageMaxBytes + 3<<20)
+	rec := postMultipart(t, f, f.srv.adminPlaceImageUpload,
+		map[string]string{"src_pk": fmt.Sprint(src)},
+		map[string][]byte{"file": raw})
+
+	if !strings.Contains(rec.Body.String(), "可能太大") {
+		t.Errorf("超大请求体没在解析阶段被挡下: %s", rec.Body.String())
+	}
+	// 没落库（解析阶段就失败，后面取 src_pk / 存图那几步都到不了）
+	var n int
+	if err := f.pg.QueryRowContext(f.ctx, `SELECT count(*) FROM place_images
+		WHERE dataset_id=$1 AND src_pk=$2`, f.dsID, src).Scan(&n); err != nil {
+		t.Fatal(err)
+	}
+	if n != 0 {
+		t.Errorf("被拒的上传落了库: %d 行", n)
+	}
+}
+
 // TestPhotoImportWithImage 照片导入「存图」：地点与该行图片要在一次导入里都建好，
 // 并且图片挂在正确的 src_pk 上。
 func TestPhotoImportWithImage(t *testing.T) {