解决上传图像失败，导致数据异常问题

router_users_auth.py

@@ -197,6 +197,10 @@ async def register_user(request: Request, user: UserRegister):
     new_user = user.dict()
     new_user.pop("code", None)  # 移除验证码字段，不存入数据库
     
+    # 🔒 安全防护：拒绝 base64 头像数据
+    if new_user.get("avatarDataUrl", "").startswith("data:"):
+        new_user["avatarDataUrl"] = ""
+    
     # 🔒 P0安全增强：密码哈希化存储（不再存储明文密码）
     new_user["password"] = hash_password(new_user["password"])
     

router_users_profile.py

@@ -63,6 +63,12 @@ async def get_user_profile(account: str):
     user_data["receivedFavorites"] = sum(item.get("favorites", 0) for item in user_items)
     user_data["receivedUses"] = sum(item.get("uses", 0) for item in user_items)
     
+    # 🔒 运行时自愈：如果 avatarDataUrl 是 base64，清除它并持久化修复
+    if user_data.get("avatarDataUrl", "").startswith("data:"):
+        user_data["avatarDataUrl"] = ""
+        users_db[account] = user_data
+        db.save_data("users.json", users_db)
+    
     # 返回用户数据（排除敏感的密码字段）
     return {"status": "success", "data": {k: v for k, v in user_data.items() if k != "password"}}
 
@@ -109,7 +115,13 @@ async def update_user_profile(account: str, update_data: UserUpdate):
     
     # 遍历请求中的字段，只更新非空值
     # exclude_unset=True 表示只包含请求中明确传递的字段
-    for k, v in update_data.dict(exclude_unset=True).items():
+    update_dict = update_data.dict(exclude_unset=True)
+    
+    # 🔒 安全防护：拒绝 base64 头像数据，防止 JSON 膨胀
+    if update_dict.get("avatarDataUrl", "").startswith("data:"):
+        del update_dict["avatarDataUrl"]
+    
+    for k, v in update_dict.items():
         if v is not None: 
             user[k] = v