fix: security improvements and error handling fixes

[hobostay]

问题概述

这个PR修复了项目中发现的多个安全问题和代码质量问题。

安全修复

1. 硬编码的SECRET_KEY - backend/app/config.py

   • 之前：使用硬编码的'mirofish-secret-key'作为默认值
   • 现在：如果未设置环境变量，会生成随机密钥并发出警告

2. DEBUG模式默认为True - backend/app/config.py

   • 之前：DEBUG默认为True
   • 现在：DEBUG默认为False，生产环境更安全

3. CORS配置允许所有来源 - backend/app/__init__.py

   • 之前：CORS(app, resources={r"/api/*": {"origins": "*"}})
   • 现在：通过环境变量CORS_ALLOWED_ORIGINS配置，默认只允许localhost

4. 错误响应泄露traceback - 所有API文件

   • 之前：所有API错误响应都包含完整的traceback
   • 现在：只在DEBUG模式下返回traceback

代码质量改进

• 新增backend/app/utils/error_handler.py - 统一的错误处理工具
• 修复file_parser.py中的空异常处理器，添加了适当的日志
• 更新.env.example添加新的安全配置选项

文件修改

.env.example                       | 11 +++++++
backend/app/__init__.py            | 18 +++++++++--
backend/app/api/graph.py           | 40 ++++++++++--------------
backend/app/api/report.py          | 34 ++++++++++----------
backend/app/api/simulation.py      | 61 ++++++++++++++++++------------------
backend/app/config.py              | 20 +++++++++---
backend/app/utils/__init__.py      |  3 +-
backend/app/utils/error_handler.py | 63 ++++++++++++++++++++++++++++++++++++++
backend/app/utils/file_parser.py   | 13 +++++---
9 files changed, 182 insertions(+), 81 deletions(-)

检查清单

• 代码遵循项目风格
• 修改已测试
• 更新了相关文档(.env.example)
• 提交信息清晰描述了变更

[JasonOA888]

代码审查反馈

优秀的PR！这些安全修复非常关键，特别是生产环境部署时。

几个建议：

1. SECRET_KEY随机生成 - 建议添加日志记录生成的key，方便调试但不要泄露到错误响应中

2. CORS配置 - 考虑添加CORS_ALLOW_METHODS和CORS_ALLOW_HEADERS配置，提供更细粒度的控制

3. error_handler.py - 建议添加自定义异常类型，让API可以抛出特定错误而不是通用Exception

4. DEBUG模式 - 建议在config.py中添加assert not (DEBUG and not os.getenv("FLASK_ENV") == "development")防止误操作

这些都是小改进，整体PR质量很高，可以直接合并！