账号、限流与成本护栏

 1  // server/auth.mjs（注册校验，节选）
 2  /** 注册与登录的输入校验（前端也会校验，但服务端才是真防线） */
 3  if (typeof name !== "string" || name.trim().length < 2 || name.trim().length > 20) return "用户名需 2-20 个字符";
 4  if (typeof password !== "string" || password.length < 6) return "密码至少 6 位";
 5  
 6  // server/index.mjs（注册接口，节选）
 7  const u = await createUser({ name: name.trim(), password, roleScene, projectType });
 8  return c.json({ token: issueToken(u.id), user: { … } });
 9  
10  // server/config.mjs（护栏配置，节选）
11  // 服务端确定性护栏——主护栏。不依赖端点的用量上报
12  messagesPerDay: 80,      // 每用户每日对话轮次
13  
14  // server/db.mjs（计数，节选）
15  const { rows } = await q(`SELECT count(*) … FROM usage_log WHERE user_id = $1`, [userId]);
16  await q("INSERT INTO usage_log (user_id) VALUES ($1)", [userId]);
17  
18  // server/tutor/service.mjs（超过上限时，节选）
19  yield { type: "error", reason: quota.reason, message: `今天的对话次数已用完（${quota.limit} 次），明天再来。` … };

• 第 2 行 · 中危 · 注释说是真防线，防线只查了长度：注释写着"服务端才是真防线"，可这道防线只检查用户名 2 到 20 个字、密码至少 6 位。没有验证码、邀请码，也不按 IP 限流：注册一百个账号，和注册一个一样容易。 该问的话：注册有哪些门槛？一台机器一分钟内能注册多少个账号？
• 第 8 行 · 高危 · 注册完立刻发放登录凭证：注册成功就直接返回可用的登录凭证，每个新账号立刻拥有一份全新的"每天 80 条"。按账号计的护栏，从这一行开始就可以被批量绕过。 该问的话：一个人能不能通过批量注册，拿到多份每日额度？
• 第 12 行 · 高危 · 只有按账号的上限，没有全站总预算：上面的注释把它称作"主护栏"，可它护的是账号，不是钱。全站没有任何一个数字，会在花到某个金额时把门关上。 该问的话：全站每天最多会花多少钱？超过之后会发生什么？
• 第 16 行 · 低危 · 先查、再记，中间有空隙：检查次数和写入记录是两次独立的数据库操作。同时到达的几个请求，可能都在彼此写入之前通过了检查，一起超出上限。 该问的话：“检查次数”和“记下这一次”是在同一个事务里完成的吗？
• 第 19 行 · 中危 · 超限的消息藏在一个 200 里：超限的提示放在流式输出的内容里送回，接口状态码是 200。监控和日志统计只看状态码，看不出有多少请求被拦下。而且计数按滚动 24 小时算，"明天再来"并不准确。 该问的话：被限流的请求，返回的状态码是多少？监控能统计出来吗？