fix(security): 修复网安扫描相关严重/高危/中危漏洞并加固学生密码重置

关闭工作流 SpEL 命令执行与社团活动 SQL 注入，补齐越权、调试接口、登录喷洒和异常回显等问题；学生密码改为随机临时密码，Web/移动端支持复制。

Constraint: 流程发起/办理接口保持仅登录校验，避免影响请假审批
Rejected: 开启验证码 | Web/移动端登录页均未实现，开启会导致无法登录
Confidence: high
Scope-risk: broad
Not-tested: 生产环境与社团社长/指导老师视角
Co-authored-by: Cursor <cursoragent@cursor.com>

问题整改/20260922-安全扫描修改.md

@@ -8,6 +8,25 @@
 | 优先级 | 项 | 处理结果 |
 |--------|----|----------|
 | P0 | `POST /rs/init/update-menu` 未授权改菜单 | **已整改** |
+| P0 | `/rs/init/menu`、`/clear` 登录即可写删菜单 | **已整改**（类级 `system:menu:edit`，见 `P0-rs-init全接口权限锁死整改说明.md`） |
+| P0 | `SysUserController` 权限注解被注释 | **已整改**（见 `P0-SysUser权限注解恢复整改说明.md`） |
+| P0 | `SysRole` / `SysTenant` 权限注解被注释 | **已整改**（见 `P0-SysRole-SysTenant权限注解恢复整改说明.md`） |
+| P0 | `SysOss` 管理越权 + 上传无白名单 | **已整改并复测通过**（见 `P0-SysOss权限与上传白名单整改说明.md`；学生角色仍误授 `system:oss:*` 属配权问题） |
+| P1 | 招生 query/myStatus IDOR + 完整 PII | **已整改**（见 `P1-招生报名查询双因子与脱敏整改说明.md`） |
+| P1 | 毕业生按学号/身份证 IDOR | **已整改**（见 `P1-毕业生信息权限恢复整改说明.md`） |
+| P1 | 学生信息 list/详情/导出垂直越权 | **已整改并复测通过**（见 `P1-学生信息权限恢复整改说明.md`；学生角色仍误授 `studentMsg:*` 属配权问题） |
+| P0 | Bucket 密码重置 + OSS 配置密钥面 | **已整改并复测通过**（见 `P0-Bucket密码与OSS配置权限恢复整改说明.md`） |
+| P0 | `SysClient` 客户端密钥面权限注释 | **已整改并复测通过**（见 `P0-SysClient权限恢复整改说明.md`） |
+| P1 | 贫困认定申请/审批垂直越权 | **已整改并复测通过**（见 `P1-贫困认定权限恢复整改说明.md`） |
+| P1 | 心理健康测评/预约垂直越权 | **已整改并复测通过**（见 `P1-心理健康权限恢复整改说明.md`） |
+| P1 | 奖助学金申请/配置垂直越权 | **已整改并复测通过**（见 `P1-奖助学金权限恢复整改说明.md`） |
+| P1 | 勤工俭学岗位/申请垂直越权 | **已整改并复测通过**（见 `P1-勤工俭学权限恢复整改说明.md`；学生角色仍误授部分 `workStudy*` 属配权问题） |
+| P1 | 出国研修/培训垂直越权 | **已整改并复测通过**（见 `P1-出国研修培训权限恢复整改说明.md`） |
+| P1 | 宿舍/假期留宿/操行分等垂直越权 | **已整改并复测通过**（见 `P1-宿舍假期留宿权限恢复整改说明.md`；学生角色仍误授大量宿舍相关权限，属配权问题） |
+| P1 | 招生就业模块（录取流程/实习等）垂直越权 | **已整改并一次复测通过**（见 `批量权限恢复与Redis清理说明.md`） |
+| P1 | 业务模块剩余注释权限（财务/物业/社团等） | **源码已清零并一次复测通过**（见 `批量权限恢复与Redis清理说明.md`） |
+| 运维 | Redis 登录 Session 坏缓存 | **已清理**（DB8 Authorization/online_tokens） |
+| 配权 | 学生角色误授管理权限 | **开发库已执行并复测通过**（删约 99 条；见 `收紧学生角色过宽权限.sql`） |
 | P0 | Swagger `/api-docs`、`/swagger-ui/**` | **已下线** |
 | P0 | Demo `/demo/mail/**`、`/demo/queue/delayed/**` | **已下线（运行包不再引入）** |
 | P0 | 招生 5 个免登接口（含扫描点名 `query`） | **已整改**（须登录） |