v1.0.51: 批次1架构筑基 - 1)版本迁移(common/migrate.php+schema_versions+natsort迁移文件);2)登录安全(bcrypt平滑迁移login/user_add/user_update旧sha1命中自动重写+system_login_attempts限流+session加固httponly/samesite/secure);3)CSRF Token(服务端checkCsrf+auth/csrf.php登录页取token+前端common.js/login.js统一携带X-CSRF-Token);4)统一基座common/Api.php并存量强制迁移全部70个endpoint(Api::boot按public/super/module/permissions分流,写接口强制checkAjax+checkCsrf,全局异常处理);5)前端收敛(common.js新增esc转义别名);6)REV-4硬数据来源渠道可编辑(hard_update+补全弹窗下拉);7)prepared卫生(soft_update.php修复+analysis.php表名白名单REV-9)

Co-Authored-By: Claude Code <noreply@anthropic.com>

api/common/auth.php

@@ -6,13 +6,15 @@
  */
 require_once __DIR__ . '/db.php';
 require_once __DIR__ . '/response.php';
+require_once __DIR__ . '/security.php';
 
-/** 启动 Session */
+/**
+ * 启动 Session（批次1 起经 security.php 加固：httponly + samesite=Lax + HTTPS secure）
+ * 兼容既有调用方式，行为不变，仅 cookie 属性增强（REV-SEC-4/REV-8）
+ */
 function startSession()
 {
-    if (session_status() === PHP_SESSION_NONE) {
-        session_start();
-    }
+    startSessionSecure();
 }
 
 /** 校验写类接口的 Ajax 头 */