fix(security): 消除 CodeQL 全部 10 个开放告警

- font_path 先归一 \ 与 / 分隔符再用 os.path.basename 剥目录成分，跨平台拒绝 ..\x.ttf 这类名字，修 3 处 py/path-injection
- _LINE_RE 与学年/年度清理改写为 possessive/原子组等价形式，超长行最坏耗时降到线性，修 2 处 py/polynomial-redos
- 数据集导入的边缘失败提示只回异常类型名，原文留在服务端日志，修 py/stack-trace-exposure
- _SCRIPT_RE 兼容 </script > 结束标签，修 py/bad-tag-filter
- 前端守卫测试 ../ 前缀剥离改全局替换、RegExp 转义补齐反斜杠，修 3 处 js/incomplete-sanitization

Author: magicapple123

CHANGELOG.md

@@ -433,6 +433,10 @@
 
 ### Changed
 
+### Security
+
+- **消除 CodeQL 静态扫描的全部 10 个开放告警。** 字体文件名校验改用 `os.path.basename` 并先归一 `\` / `/` 两种分隔符再剥目录成分（`..\\x.ttf` 这类跨平台写法现在一律拒收，合法字体名行为不变）；网申资料粘贴识别与经历头解析的两条正则改写为无多项式回溯的等价形式（超长行的最坏耗时从平方级降到线性，正常输入的解析结果逐字不变）；数据集导入时「全局模型配置 / 字体未能导入」的提示只回异常类型名，异常原文（可能含本机路径）只进服务端日志；导出一致性测试的 `<script>` 过滤正则兼容 `</script >` 这类带空白的结束标签；前端守卫测试里两处只替换首次出现的 `../` 改为全局替换、一处构造 `RegExp` 前的转义补齐反斜杠。
+
 ## 1.0.2 - 2026-10-18
 
 ### Added

backend/app/api/datasets.py

@@ -180,7 +180,7 @@ async def import_archive(request: Request) -> dict:
                 created["global_llm"] = merge_exported_profiles(global_payload)
         except Exception as exc:  # noqa: BLE001 - 边上信息，不能扩大失败面
             logger.warning("备份包里的全局模型配置未能导入：%s", exc)
-            created["global_llm"] = {"error": str(exc)}
+            created["global_llm"] = {"error": f"全局模型配置未能导入（{type(exc).__name__}）"}
         # 字体（格式 6）同理：属于"数据集之外"的全局资产，恢复失败**不回滚**已经落盘
         # 的数据集，只把计数与原因如实附在返回里——用户至少能看出字体没完全回来。
         try:
@@ -196,7 +196,7 @@ async def import_archive(request: Request) -> dict:
                     created["font_issues"] = fonts["issues"]
         except Exception as exc:  # noqa: BLE001 - 字体是附加物，不能扩大失败面
             logger.warning("备份包里的字体未能导入：%s", exc)
-            created["font_issues"] = [f"字体未能导入（{exc}）"]
+            created["font_issues"] = [f"字体未能导入（{type(exc).__name__}）"]
     except HTTPException:
         staging.unlink(missing_ok=True)
         raise

backend/app/services/profile_parser/entry_blocks.py

@@ -187,7 +187,7 @@ def _parse_header(line: str) -> tuple[list[str], str, str]:
     # 只摘**独立成词**的学年/年度（后面跟空白或行尾），避免误伤以这两个字
     # 开头的组织名。
     clean = re.sub(r"^(?:学年|年度)(?=\s|$)\s*+", "", clean)
-    clean = re.sub(r"\s+(?:学年|年度)$", "", clean)
+    clean = re.sub(r"\s++(?:学年|年度)$", "", clean)
     # 日期已先移除，因此此处可以兼容未加空格的 ``公司-岗位-时间`` 格式，
     # 又不会把年月中的连字符切开。宽空白/制表符也是列分隔符（截图抄录的
     # 对齐排版），每个部件再按宽空白拆开。

backend/app/services/user_fonts.py

@@ -16,6 +16,7 @@
 from __future__ import annotations
 
 import json
+import os
 from datetime import datetime
 from pathlib import Path
 from typing import Any
@@ -75,15 +76,19 @@ def _read_names() -> dict[str, str]:
 def _write_names(names: dict[str, str]) -> None:
     directory = fonts_dir()
     directory.mkdir(parents=True, exist_ok=True)
-    _names_file().write_text(
-        json.dumps(names, ensure_ascii=False, indent=2), encoding="utf-8"
-    )
+    _names_file().write_text(json.dumps(names, ensure_ascii=False, indent=2), encoding="utf-8")
 
 
 def font_path(name: str) -> Path:
-    """按文件名取字体路径（拒绝任何目录成分，调用方不必再拼路径）。"""
-    safe = Path(name).name
-    if not safe or safe != name or safe == ACTIVE_FILENAME:
+    """按文件名取字体路径（拒绝任何目录成分，调用方不必再拼路径）。
+
+    分隔符先归一再取末段（``os.path.basename`` 是 CodeQL 认可的目录成分剥离）：
+    Windows 上 ``\\`` 也是分隔符，只认 ``/`` 会把 ``..\\x.ttf`` 这类名字在 POSIX
+    上当普通文件名放过去。``safe != name`` 一道闸把任何带目录成分的名字全拒掉。
+    """
+    normalized = name.replace("\\", "/")
+    safe = os.path.basename(normalized)
+    if not safe or safe in {".", ".."} or safe != normalized or safe == ACTIVE_FILENAME:
         raise FontError("字体文件名不合法")
     path = fonts_dir() / safe
     if not path.is_file():

backend/app/services/webform/extra_profile_text.py

@@ -58,8 +58,12 @@
 # 「有没有可用的文字」的判据：归一化后还剩多少字母/数字/汉字。
 # 纯标点、「***」、「：」这类没有名字的"栏目"在界面上没法显示，也就没法勾选。
 _MEANINGFUL_RE = re.compile(r"[0-9a-z\u4e00-\u9fff]")
-# 一行一条 `标签：值`（中文冒号、英文冒号、制表符都认）。
-_LINE_RE = re.compile(r"^\s*([^:：\t]{1,80})\s*[:：\t]\s*(.+?)\s*$")
+# 一行一条 `标签：值`（中文冒号、英文冒号、制表符都认）。标签段用 possessive
+# 量词、分隔符前后空白原子化，压掉 group×`\s*` 的多项式回溯；分隔符前的原子组
+# 必须排除 `\t`（``[^\S\t]`` = 空白但非制表符）——否则制表符作分隔符时会被原子
+# 组先吞掉且不回退，整行匹配失败。尾部 ``(.*\S)`` 从右往左定位最后一个非空白，
+# 替代惰性 ``.+?`` 逐位重扫尾随空白的二次回溯。
+_LINE_RE = re.compile(r"^\s*([^:：\t]{1,80}+)(?>[^\S\t]*)[:：\t](?>\s*)(.*\S)\s*$")
 
 # 目录 label → (key, 是否属于网申资料)。**整个表单目录**都进索引，不只是 extra 那 63 项：
 # 「姓名」「手机号」这类属于**简历资料**的栏目必须被认出来并**丢掉**——它们不是"网申的新栏目"，

backend/tests/test_rich_export_consistency.py

@@ -77,7 +77,7 @@ def _pdf_text(content: bytes) -> str:
 # ===== HTML =====
 
 
-_SCRIPT_RE = re.compile(r"<script[\s\S]*?</script>", re.IGNORECASE)
+_SCRIPT_RE = re.compile(r"<script[\s\S]*?</script\s*>", re.IGNORECASE)
 
 
 @pytest.mark.parametrize("template", sorted(RESUME_TEMPLATES))

frontend/src/features/assistant/components/AssistantEmptyState.test.tsx

@@ -33,7 +33,7 @@ function renderEmptyState() {
 
 /** 从样式表源码里取某个类选择器规则的颜色声明（可能是 var() 引用）。 */
 function declaredColor(selector: string) {
-  const escaped = selector.replace(/\./g, "\\.");
+  const escaped = selector.replace(/[.*+?^${}()|[\]\\]/g, "\\$&");
   const block = accessibilityStyles.match(new RegExp(`${escaped}[^{]*\\{([^}]*)\\}`));
   const color = block?.[1].match(/color:\s*([^;]+);/);
   return color ? color[1].trim() : "";

frontend/src/theme/colorGuard.test.ts

@@ -59,7 +59,7 @@ describe("颜色守卫", () => {
         // 唯一的白字例外：`color: #fff` / `color: #ffffff`。
         if (property === "color" && /^#(fff|ffffff)$/i.test(match[2].trim())) return;
         offenders.push({
-          file: file.replace("../", ""),
+          file: file.replace(/\.\.\//g, ""),
           line: index + 1,
           text: text.trim(),
         });

frontend/src/theme/inlineColorGuard.test.ts

@@ -132,7 +132,7 @@ describe("内联样式颜色守卫", () => {
     const offenders: Offender[] = [];
 
     for (const [key, source] of Object.entries(SOURCE_FILES)) {
-      const file = key.replace("../", "");
+      const file = key.replace(/\.\.\//g, "");
       if (EXCLUDED_PATTERNS.some((pattern) => pattern.test(file))) continue;
 
       for (const region of styleRegions(source)) {