fix(security): 代码审查安全加固 — 三批次修复（6H/13M/12L）

第一批（快速修复）：
- H6: main.py --debug 默认值 True→False，防止 Werkzeug RCE
- M2+M3: /search 增加 validate_query + top_k 范围限制(1-50)
- M4: context_count 范围限制(0-10) + 异常捕获
- L3: assert → raise RuntimeError（生产环境 API Key 检查）
- H1: SSE 错误事件移除 traceback 字段

第二批（安全加固）：
- H2+H3: 文档接口路径遍历 realpath 校验 + 文件类型/大小限制
- H4+H5: 批量上传文件大小检查
- M6: LIKE 查询通配符转义
- M1: 37 处 str(e) 异常信息统一脱敏（6 文件）
- M5: CORS 生产环境限制来源
- M7: SESSION_MANAGER None 保护（503）
- M11: subprocess 参数注入防护（白名单 + -- 分隔符）

第三批（架构改进）：
- M8+M9: 提取 JSON 解析共享工具（extract_json_object/list）
- M10: Prompt 注入检测防御（prompt_guard.py）
- M12: 解析器文件大小限制（Excel 50MB/TXT 20MB/PDF 100MB）
- M13: 全局单例竞态条件双重检查锁定（engine/bm25/intent_analyzer）

api/kb_routes.py

@@ -391,10 +391,11 @@ def sync_documents() -> Tuple[Any, int]:
                 }
             })
         except Exception as e:
+            logger.error(f"知识库操作异常: {e}")
             results.append({
                 "collection": "all",
                 "status": "error",
-                "message": str(e)
+                "message": "操作失败"
             })
     else:
         # 没有 sync_service，返回提示
@@ -462,7 +463,8 @@ def debug_scan() -> Tuple[Any, int]:
             result["scanned_count"] = len(scanned)
             result["scanned_ids"] = list(scanned.keys())[:10]
         except Exception as e:
-            result["scan_error"] = str(e)
+            logger.error(f"扫描异常: {e}")
+            result["scan_error"] = "扫描失败"
 
     return jsonify(result)
 
@@ -499,9 +501,11 @@ def reindex_collection(kb_name: str) -> Tuple[Any, int]:
         from data.db import get_connection
         with get_connection("knowledge") as conn:
             cursor = conn.cursor()
+            # 转义 LIKE 通配符，防止 kb_name 中的 % 或 _ 导致非预期匹配
+            escaped_kb = kb_name.replace('%', '\\%').replace('_', '\\_')
             # 删除以 "{kb_name}/" 或 "{kb_name}\" 开头的文档哈希（兼容 Windows 和 Linux）
-            cursor.execute("DELETE FROM document_hashes WHERE document_id LIKE ? OR document_id LIKE ?",
-                           (f"{kb_name}/%", f"{kb_name}\\%"))
+            cursor.execute("DELETE FROM document_hashes WHERE document_id LIKE ? ESCAPE '\\' OR document_id LIKE ? ESCAPE '\\'",
+                           (f"{escaped_kb}/%", f"{escaped_kb}\\%"))
             deleted = cursor.rowcount
             logger.info(f"已清除 {deleted} 条哈希记录: {kb_name}")
     except Exception as e:
@@ -520,7 +524,8 @@ def reindex_collection(kb_name: str) -> Tuple[Any, int]:
                 "errors": result.errors
             })
         except Exception as e:
-            return jsonify({"error": str(e)}), 500
+            logger.error(f"reindex 异常: {e}")
+            return jsonify({"error": "操作失败，请稍后重试"}), 500
     else:
         return jsonify({"error": "同步服务不可用"}), 503
 
@@ -633,7 +638,8 @@ def deprecate_document(kb_name: str, filename: str) -> Tuple[Any, int]:
         )
         return jsonify(result)
     except Exception as e:
-        return jsonify({"success": False, "error": str(e)}), 500
+        logger.error(f"操作异常: {e}")
+        return jsonify({"success": False, "error": "操作失败，请稍后重试"}), 500
 
 
 @kb_bp.route('/collections/<kb_name>/documents/<path:filename>/restore', methods=['POST'])
@@ -664,7 +670,8 @@ def restore_document(kb_name: str, filename: str) -> Tuple[Any, int]:
         result = kb_manager.restore_document(kb_name, filename)
         return jsonify(result)
     except Exception as e:
-        return jsonify({"success": False, "error": str(e)}), 500
+        logger.error(f"操作异常: {e}")
+        return jsonify({"success": False, "error": "操作失败，请稍后重试"}), 500
 
 
 @kb_bp.route('/collections/<kb_name>/documents/<path:filename>/versions', methods=['GET'])
@@ -720,7 +727,8 @@ def get_document_versions(kb_name: str, filename: str) -> Tuple[Any, int]:
             "total": len(versions_data)
         })
     except Exception as e:
-        return jsonify({"success": False, "error": str(e)}), 500
+        logger.error(f"操作异常: {e}")
+        return jsonify({"success": False, "error": "操作失败，请稍后重试"}), 500
 
 
 @kb_bp.route('/collections/<kb_name>/update-image-descriptions', methods=['POST'])
@@ -754,7 +762,8 @@ def update_image_descriptions(kb_name: str) -> Tuple[Any, int]:
         result = kb_manager.update_image_descriptions(kb_name)
         return jsonify(result)
     except Exception as e:
-        return jsonify({"success": False, "error": str(e)}), 500
+        logger.error(f"操作异常: {e}")
+        return jsonify({"success": False, "error": "操作失败，请稍后重试"}), 500
 
 
 @kb_bp.route('/collections/sync-vlm-cache', methods=['POST'])