发布前安全复查，我随手用 curl 伪造了一个 Host 头——接口把我 8 个 AI 会话的记录全量返回了。这篇讲这个洞怎么来的、怎么修的，以及如何用 4 条断言让它不再发生。