阶段性修改

yelaymaths_api/tools/legacy/transform.ts

@@ -11,6 +11,15 @@ export const SOURCE_ORDER = 1;
 export const SOURCE_LEGACY = 2;
 export const SOURCE_MANUAL = 3;
 
+/**
+ * 合法 openid 的形态：字母、数字、下划线、中划线，20-64 位。
+ *
+ * 为什么要校验：旧版接口把前端传来的 openid 直接拼进 SQL 插入，对取值形态毫无约束。
+ * 实测线上库 284 行里有 95 行是自动化安全扫描留下的探针记录（SQL 注入、Log4Shell JNDI、
+ * 时间盲注），集中在 3 天内批量出现，并非真实用户。真实用户是 189 行。
+ */
+export const OPENID_RE = /^[A-Za-z0-9_-]{20,64}$/;
+
 /** 旧库时间的时区。旧数据由服务器本地 NOW() 写入，服务器在中国大陆。 */
 const LEGACY_UTC_OFFSET = process.env.LEGACY_UTC_OFFSET ?? '+08:00';