security: add request body size limit to prevent DoS attacks

- Add 10MB limit to bodyParser for JSON and URL-encoded requests
- Update security audit document to mark issue as resolved
- This prevents memory exhaustion and DoS attacks via large request bodies

Author: Rabithua

doc/develop/SECURITY-AUDIT.md

@@ -280,7 +280,7 @@ password: z
 
 ## 2. 中危漏洞
 
-### 2.1 限流器使用内存存储
+### 2.1 限流器使用内存存储 （可以忽略）
 
 **位置**: `server/middleware/limiter.ts:4-4`
 
@@ -308,7 +308,7 @@ const limiter = new RateLimiterMemory({
 
 ---
 
-### 2.2 缺少请求大小限制
+### 2.2 缺少请求大小限制 （已完成修复）
 
 **位置**: `server/server.ts:38-39`
 

server/server.ts

@@ -35,8 +35,17 @@ app.use(rateLimiterMiddleware);
 app.use(passport.initialize());
 
 // body parser
-app.use(bodyParser.urlencoded({ extended: false }));
-app.use(bodyParser.json());
+app.use(
+  bodyParser.urlencoded({
+    extended: false,
+    limit: '10mb', // 设置合理的限制，防止内存耗尽攻击
+  })
+);
+app.use(
+  bodyParser.json({
+    limit: '10mb', // 设置合理的限制，防止内存耗尽攻击
+  })
+);
 
 // CORS 配置 - 从数据库或环境变量读取 allowedOrigins
 // 当 credentials: true 时，不能使用 origin: '*'，必须明确指定允许的 origin