fix(security): 代码审查安全加固 — 三批次修复（6H/13M/12L）

第一批（快速修复）：
- H6: main.py --debug 默认值 True→False，防止 Werkzeug RCE
- M2+M3: /search 增加 validate_query + top_k 范围限制(1-50)
- M4: context_count 范围限制(0-10) + 异常捕获
- L3: assert → raise RuntimeError（生产环境 API Key 检查）
- H1: SSE 错误事件移除 traceback 字段

第二批（安全加固）：
- H2+H3: 文档接口路径遍历 realpath 校验 + 文件类型/大小限制
- H4+H5: 批量上传文件大小检查
- M6: LIKE 查询通配符转义
- M1: 37 处 str(e) 异常信息统一脱敏（6 文件）
- M5: CORS 生产环境限制来源
- M7: SESSION_MANAGER None 保护（503）
- M11: subprocess 参数注入防护（白名单 + -- 分隔符）

第三批（架构改进）：
- M8+M9: 提取 JSON 解析共享工具（extract_json_object/list）
- M10: Prompt 注入检测防御（prompt_guard.py）
- M12: 解析器文件大小限制（Excel 50MB/TXT 20MB/PDF 100MB）
- M13: 全局单例竞态条件双重检查锁定（engine/bm25/intent_analyzer）

api/image_routes.py

@@ -9,8 +9,11 @@
 """
 
 import os
+import logging
 from flask import Blueprint, send_file, jsonify, current_app
 
+logger = logging.getLogger(__name__)
+
 image_bp = Blueprint('images', __name__)
 
 
@@ -70,7 +73,8 @@ def get_image(image_id: str):
 
                 return send_file(image_path, mimetype=mimetype)
             except Exception as e:
-                return jsonify({"error": f"读取图片失败: {str(e)}"}), 500
+                logger.error(f"读取图片异常: {e}")
+                return jsonify({"error": "读取图片失败"}), 500
 
     return jsonify({"error": "图片不存在", "image_id": image_id}), 404
 
@@ -122,7 +126,8 @@ def get_image_info(image_id: str):
                     "url": f"/images/{image_id}"
                 })
             except Exception as e:
-                return jsonify({"error": f"读取图片信息失败: {str(e)}"}), 500
+                logger.error(f"读取图片信息异常: {e}")
+                return jsonify({"error": "读取图片信息失败"}), 500
 
     return jsonify({"error": "图片不存在", "image_id": image_id}), 404
 
@@ -179,7 +184,8 @@ def list_images():
         })
 
     except Exception as e:
-        return jsonify({"error": f"列出图片失败: {str(e)}"}), 500
+        logger.error(f"列出图片异常: {e}")
+        return jsonify({"error": "列出图片失败"}), 500
 
 
 @image_bp.route('/images/stats', methods=['GET'])
@@ -222,4 +228,5 @@ def image_stats():
         })
 
     except Exception as e:
-        return jsonify({"error": f"获取统计信息失败: {str(e)}"}), 500
+        logger.error(f"获取统计信息异常: {e}")
+        return jsonify({"error": "获取统计信息失败"}), 500