ccmusic-database音乐分类Web应用：Web安全防护策略
1. 当你上传一首歌时，后台到底在发生什么
打开那个简洁的音乐分类页面，拖入一首MP3，点击“开始分析”，几秒钟后屏幕上就跳出“Jazz”或“Classical”这样的结果——整个过程流畅得让人几乎忘了背后是一整套运行在服务器上的AI系统。但正是这种“无感”的体验，反而最容易掩盖潜在的风险。
这个基于ccmusic-database/music_genre镜像构建的Web应用，本质上是一个典型的“用户上传→服务处理→返回结果”闭环。它不强制注册、不收集手机号、界面干净到只有上传区和按钮，这种极简设计很讨喜，却也带来一个现实问题：越开放的入口，越需要更严密的守门人。
比如，当用户上传的不是普通MP3，而是一个精心构造的恶意文件；当有人反复提交超大音频试图耗尽内存；当一段看似正常的请求背后藏着伪造的身份信息……这些都不是理论假设。在真实部署环境中，这类试探每天都在发生。而ccmusic-database/music_genre镜像本身聚焦于模型推理与前端交互，安全防护层需要由应用层主动补位——不是“可有可无”的附加项，而是让整个系统真正能落地、敢上线的前提。
所以，我们今天不聊怎么调高准确率，也不讲ViT模型如何提取梅尔频谱特征，而是把镜头拉远一点，看看当用户点下上传按钮那一刻，系统是如何一层层设防的。这些措施不会让识别结果多出0.5%的准确率，但能让整个服务稳稳跑上三个月不被中断，也让开发者心里真正踏实。
2. 防止脚本悄悄“说话”：XSS防护不是加个过滤器那么简单
XSS（跨站脚本攻击）常被简化为“用户输入里不能有
