fix(prod): 后端生产级 A 类硬伤全清（7 项：授权/崩溃点/全表扫/限流/鉴权/限额）

部署前生产级审计（可靠性/数据层/安全三路）后，清掉 7 处代码级硬伤：

A1 后台定时器 goroutine 无 panic recover → 单个 DB panic 崩整个 gateway。加 safeGo/
   safeCall，包住订阅/掉单补偿/微信推送/探针 goroutine，单轮 tick 再兜一层。
A2 提示词控制面(建/激活/停用，热广播全服务)只 RequireAuth → 任意登录用户改全局提示词。
   三写端点+列表挂 RequireAdmin。
A3 HITL 审批端点无角色门 → viewer 可放行烧钱执行。加 RequireTenantRole(member)。
A4 审计/护栏列表 limit 无校验，limit=-1 让 gorm 取消 LIMIT 全表扫。加 clampLimit/
   clampOffset，AdminTasks/AdminSpaces 补上界。
A5 限流 Redis 一挂就完全放行(fail-open)。加进程内固定窗口兜底(fail-safe) + 登录/注册
   按 IP 专用严限流(10/min)。
A6 公开 by-id 端点(stream/exec/report导出/kb导入流)无鉴权无租户过滤。加
   AuthFromHeaderOrQuery(从 ?token= 取 JWT) + task/report 按 owner 归属校验；桌面端
   5 处 EventSource/下载 URL 经 tokenQuery 附 JWT。
A7 文件上传无大小上限(整文件进内存 OOM 面) → 50MB 闸(KB_MAX_UPLOAD_BYTES)+ LimitReader；
   http.Server 加 ReadHeaderTimeout/ReadTimeout/MaxHeaderBytes(不设 WriteTimeout 保 SSE)。

带单测：clampLimit/safeCall/procLimiter/AuthFromHeaderOrQuery/TaskOwner。
build+vet+全量 test 绿；desktop tsc 绿。B(迁移工具/实时探针/出网韧性/登录锁定/leader选举)
与 C(TLS/PG HA/K8s/备份自动化/可观测)分期后做，参照 production_readiness.md。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

sundynix-desktop/frontend/src/lib/api.ts

@@ -375,15 +375,23 @@ export async function approveTask(taskId: string, approved: boolean, opts?: { no
   if (!res.ok) throw new Error(`approve failed: ${res.status} ${await res.text()}`);
 }
 
+// tokenQuery 给 EventSource / 下载链接这类**带不了 Authorization 头**的 URL 附上 JWT，
+// 后端 AuthFromHeaderOrQuery 从 ?token= 取它做鉴权 + 归属校验（公开 by-id 端点不再裸奔）。
+function tokenQuery(url: string): string {
+  const t = getToken();
+  if (!t) return url;
+  return url + (url.includes("?") ? "&" : "?") + "token=" + encodeURIComponent(t);
+}
+
 // streamTokens: 订阅 SSE /api/v1/tasks/:id/stream，逐 token 回调，done 收尾。
-// 返回关闭函数。注意 EventSource 无法带请求头，但流按 task_id 寻址，无需身份头。
+// 返回关闭函数。EventSource 无法带请求头，故 JWT 走 ?token=（tokenQuery）。
 export function streamTokens(
   taskId: string,
   onToken: (t: string) => void,
   onDone: () => void,
   onError?: (e: unknown) => void,
 ): () => void {
-  const es = new EventSource(`${GATEWAY}/api/v1/tasks/${taskId}/stream`);
+  const es = new EventSource(tokenQuery(`${GATEWAY}/api/v1/tasks/${taskId}/stream`));
   es.addEventListener("token", (e) => onToken((e as MessageEvent).data));
   es.addEventListener("done", () => {
     es.close();
@@ -415,7 +423,7 @@ export function streamExec(
   onDone: () => void,
   onError?: (e: unknown) => void,
 ): () => void {
-  const es = new EventSource(`${GATEWAY}/api/v1/tasks/${taskId}/exec`);
+  const es = new EventSource(tokenQuery(`${GATEWAY}/api/v1/tasks/${taskId}/exec`));
   es.addEventListener("exec", (e) => onEvent(JSON.parse((e as MessageEvent).data) as ExecEvent));
   es.addEventListener("done", () => {
     es.close();
@@ -594,7 +602,7 @@ export function streamIngest(
   onDone: () => void,
   onError?: () => void,
 ): () => void {
-  const es = new EventSource(`${GATEWAY}/api/v1/kb/ingest/${jobId}/stream`);
+  const es = new EventSource(tokenQuery(`${GATEWAY}/api/v1/kb/ingest/${jobId}/stream`));
   es.addEventListener("progress", (e) => onEvent(JSON.parse((e as MessageEvent).data) as IngestEvent));
   es.addEventListener("done", () => {
     es.close();
@@ -655,7 +663,7 @@ export async function generateReport(id: Identity, topic: string, kb?: string):
 
 // reportDownloadUrl: 渲染好的 Word(.docx) 下载地址（兼容旧入口）。
 export function reportDownloadUrl(taskId: string): string {
-  return `${GATEWAY}/api/v1/reports/${taskId}/download`;
+  return tokenQuery(`${GATEWAY}/api/v1/reports/${taskId}/download`);
 }
 
 // reportExportUrl: 按需导出报告地址（format=docx|md；后端现渲染）。PDF 由前端打印预览生成。
@@ -666,7 +674,7 @@ export function reportFilename(topic: string, id: string, ext: string): string {
 }
 
 export function reportExportUrl(taskId: string, format: "docx" | "md"): string {
-  return `${GATEWAY}/api/v1/reports/${taskId}/export?format=${format}`;
+  return tokenQuery(`${GATEWAY}/api/v1/reports/${taskId}/export?format=${format}`);
 }
 
 // setMemory: PUT /api/v1/memory，登记一条用户偏好（→ mcp-go memory_upsert）。