审计修复：后端（安全 / 数据一致性 / 性能）

audit-2026-09-21.md 里的后端条目落地。每条都配了回归守卫，并逐条做过变异验证
（注入原 bug → 确认按正确理由变红 → 还原 → 变绿）。

安全
- CSRF 只加同源 Origin/Referer 守卫（csrf.go），不动模板
- 会话 cookie 的 Secure 按请求判断；两步验证两闸（loginGuard + 验证码一次性）
- 跳转收口到 safeInternalPath；clientIP 只认 XFF 最后一段
- GPX 按属主圈定且查 RowsAffected；下载名走 downloadDisposition
- 上传口统一 MaxBytesReader；落盘后的失败路径清掉半成品

数据一致性
- 区域判定两端各过一遍再 AND（apiTrack 与 movementsWhere 对齐）
- Filter.Verdict 全域一致（下推到 visitsWhere）；聚合刷新必须返回 error
- 附属数据改挂坐标键，Go 与 SQL 两套表达式逐位一致
- 脏备份的伪时间/越界坐标不再进领域模型；rows 循环统一 drainRows
- 合并与导出：writeRawRow 上抛错误、悬空引用清理、原生列补全

性能
- placeCols 相关子查询带 dataset_id 前导列；findSourceArchive 先按大小筛
- 批量勾选改 ANY($3::bigint[])；fillupCache 加上限；同一查询不再查两遍

另：新增「全新库」冒烟测试 —— 空库跑完 Migrate 再用应用侧读查询真打一遍，
迁移块排到依赖表之前这种错只有新库会炸，老库毫无症状。

internal/web/session_cookie_test.go

@@ -0,0 +1,75 @@
+package web
+
+import (
+	"crypto/tls"
+	"net/http"
+	"net/http/httptest"
+	"net/url"
+	"strings"
+	"testing"
+)
+
+// S4 回归：https 下会话 cookie 必须带 Secure；http 下不能带 ——
+// 无条件打 Secure 会让本机 http 调试和本仓库的 CDP 验证流程直接登不进去。
+func TestSessionCookieSecureFlag(t *testing.T) {
+	f := newLoginFixture(t)
+
+	login := func(https bool, xfp string) *http.Cookie {
+		t.Helper()
+		f.srv.loginGuard.Reset()
+		id, _, err := f.srv.captcha.Issue()
+		if err != nil {
+			t.Fatalf("签发验证码失败: %v", err)
+		}
+		code, ok := f.srv.captcha.Answer(id)
+		if !ok {
+			t.Fatal("刚签发的验证码取不到答案")
+		}
+		form := url.Values{"username": {f.user}, "password": {f.pass}, "captcha": {code}}
+		r := httptest.NewRequest("POST", "/admin/login", strings.NewReader(form.Encode()))
+		r.Header.Set("Content-Type", "application/x-www-form-urlencoded")
+		if xfp != "" {
+			r.Header.Set("X-Forwarded-Proto", xfp)
+		}
+		if https {
+			r.TLS = &tls.ConnectionState{}
+		}
+		r.AddCookie(&http.Cookie{Name: captchaCookie, Value: id})
+		w := httptest.NewRecorder()
+		f.srv.loginSubmit(w, r)
+		if w.Code != http.StatusSeeOther {
+			t.Fatalf("登录应 303，实际 %d：%s", w.Code, firstLine(w.Body.String()))
+		}
+		for _, c := range w.Result().Cookies() {
+			if c.Name == f.srv.cookie {
+				return c
+			}
+		}
+		t.Fatal("登录成功却没有下发会话 cookie")
+		return nil
+	}
+
+	cases := []struct {
+		name  string
+		https bool
+		xfp   string
+		want  bool
+	}{
+		{"直连 http", false, "", false},
+		{"直连 https", true, "", true},
+		{"反代 https", false, "https", true},
+		{"反代多段取首段", false, "https, http", true},
+		{"反代 http", false, "http", false},
+	}
+	for _, c := range cases {
+		got := login(c.https, c.xfp)
+		if got.Secure != c.want {
+			t.Errorf("%s: Secure=%v，期望 %v", c.name, got.Secure, c.want)
+		}
+		// 其余属性不能被顺手改掉
+		if !got.HttpOnly || got.Path != "/" || got.SameSite != http.SameSiteLaxMode {
+			t.Errorf("%s: cookie 其它属性有变: HttpOnly=%v Path=%q SameSite=%v",
+				c.name, got.HttpOnly, got.Path, got.SameSite)
+		}
+	}
+}