feat(server,web,shared,desktop): 上传超限正确报错 + 两个登录入口都限流 + 作业按天深链，文档与验证脚本同步

服务端加固：
- express.json 上限 2mb → 12mb：表格导入把文件以 base64 放进 JSON（约 4/3 倍），
  8MB 的声明上限原先到 1.5MB 就被拦掉；超限现在由 error 中间件映射成
  413 IMPORT_TOO_LARGE（中文提示"请拆分后分批导入"），不再落进 500 兜底分支抛英文原文；
- loginRateLimiter 同时挂 /auth/login 与 /auth/class-login（班级密码默认 123456，
  班级登录曾是唯一没有暴力破解防护的入口），两个路径共享同一计数器；
- CORS_ORIGIN=* 时启动告警（不拦截启动，避免挡住教室机 file:// 的合法部署）；
- 删除已无用的 DEFAULT_STUDENT_PASSWORD；班级 termWeeks 上限 40 → 30，
  与 MAX_TERM_WEEK / weekNumberSchema 对齐（原先对外承诺了系统兑现不了的学期长度）。

Web 端：
- 作业页 ?date= 深链在同路由再推 query 时也生效（watch route.query.date）；
- 表格导入对话框适配 8MB 上限与 413 提示。

冒烟与文档：
- 新增 scripts/lib/smoke-class.mjs：验证用临时班级，避免探针通知弹到用户自己的客户端与灵动岛；
- README 与 AGENTS.md 同步本轮全部行为变更（含 schedule source、学生账号清理、凭据门禁）。

packages/server/src/modules/imports/imports.module.ts

@@ -1,7 +1,8 @@
 import { Router } from 'express';
 import { ApiError, sendOk } from '../../lib/http.js';
+import { idParamSchema } from '../../lib/schemas.js';
 import { authenticate, getAuthUser, requireRole } from '../../middleware/auth.js';
-import { validate, validatedBody, validatedQuery } from '../../middleware/validate.js';
+import { validate, validatedBody, validatedParams, validatedQuery } from '../../middleware/validate.js';
 import { defineModule } from '../module.types.js';
 import {
   IMPORT_KINDS,
@@ -140,9 +141,10 @@ router.post('/time-layout', validate({ body: timeLayoutImportSchema }), async (r
 });
 
 /** DELETE /api/imports/time-layout/:id - 删除某份时间配置 */
-router.delete('/time-layout/:id', async (req, res) => {
-  await deleteTimeLayout(getAuthUser(req), req.params.id ?? '');
-  sendOk(res, { id: req.params.id }, '时间配置已删除');
+router.delete('/time-layout/:id', validate({ params: idParamSchema }), async (req, res) => {
+  const { id } = validatedParams<{ id: string }>(req);
+  await deleteTimeLayout(getAuthUser(req), id);
+  sendOk(res, { id }, '时间配置已删除');
 });
 
 /**

packages/server/src/modules/imports/table-import.service.ts

@@ -1,10 +1,10 @@
-import bcrypt from 'bcryptjs';
 import * as XLSX from 'xlsx';
 import { prisma } from '../../lib/db.js';
 import { env } from '../../config/env.js';
 import { ApiError } from '../../lib/http.js';
 import type { TokenPayload } from '../../lib/jwt.js';
 import { logger } from '../../lib/logger.js';
+import { hashPassword } from '../../lib/password.js';
 import { assertCanManageGrades, assertCanManageRoster } from '../../lib/access.js';
 import type { TableCommitInput, TableFileInput } from './imports.schemas.js';
 
@@ -46,9 +46,9 @@ export const IMPORT_FIELDS: Record<
     { key: 'courseName', label: '课程', required: false, synonyms: ['课程', '科目', 'course', 'courseName'] },
   ],
   students: [
+    // 学生只有名单没有账号（不能登录、无密码），模板不再有"初始密码"列
     { key: 'username', label: '用户名', required: true, synonyms: ['用户名', 'username', '学号', '账号'] },
     { key: 'name', label: '姓名', required: true, synonyms: ['姓名', 'name', '学生', '学生姓名'] },
-    { key: 'password', label: '初始密码', required: false, synonyms: ['密码', 'password', '初始密码'] },
   ],
   teachers: [
     { key: 'username', label: '用户名', required: true, synonyms: ['用户名', 'username', '工号', '账号'] },
@@ -371,7 +371,6 @@ export async function commitStudents(user: TokenPayload, input: TableCommitInput
     const rowNumber = index + 2;
     const username = cellValue(row, parsed.columns, input.mapping, 'username');
     const name = cellValue(row, parsed.columns, input.mapping, 'name');
-    const password = cellValue(row, parsed.columns, input.mapping, 'password');
 
     if (!username || !name) {
       errors.push({ row: rowNumber, message: '用户名与姓名都必须填写' });
@@ -395,14 +394,14 @@ export async function commitStudents(user: TokenPayload, input: TableCommitInput
       await prisma.user.update({ where: { id: existing.id }, data: { name, classId: classId } });
       updated += 1;
     } else {
-      const initialPassword = password || env.defaultStudentPassword;
       await prisma.user.create({
         data: {
           username,
           name,
           role: 'STUDENT',
           classId: classId,
-          passwordHash: await bcrypt.hash(initialPassword, 10),
+          // 学生不设密码（空串占位，登录 403 判定在密码校验之前），见"学生只有名单没有账号"
+          passwordHash: '',
         },
       });
       inserted += 1;
@@ -478,7 +477,7 @@ export async function commitTeachers(user: TokenPayload, input: TableCommitInput
           username,
           name,
           role: parseTeacherRole(roleCell) ?? 'TEACHER',
-          passwordHash: await bcrypt.hash(initialPassword, 10),
+          passwordHash: await hashPassword(initialPassword),
         },
       });
       inserted += 1;