feat(server,web,shared,desktop): 上传超限正确报错 + 两个登录入口都限流 + 作业按天深链，文档与验证脚本同步

服务端加固：
- express.json 上限 2mb → 12mb：表格导入把文件以 base64 放进 JSON（约 4/3 倍），
  8MB 的声明上限原先到 1.5MB 就被拦掉；超限现在由 error 中间件映射成
  413 IMPORT_TOO_LARGE（中文提示"请拆分后分批导入"），不再落进 500 兜底分支抛英文原文；
- loginRateLimiter 同时挂 /auth/login 与 /auth/class-login（班级密码默认 123456，
  班级登录曾是唯一没有暴力破解防护的入口），两个路径共享同一计数器；
- CORS_ORIGIN=* 时启动告警（不拦截启动，避免挡住教室机 file:// 的合法部署）；
- 删除已无用的 DEFAULT_STUDENT_PASSWORD；班级 termWeeks 上限 40 → 30，
  与 MAX_TERM_WEEK / weekNumberSchema 对齐（原先对外承诺了系统兑现不了的学期长度）。

Web 端：
- 作业页 ?date= 深链在同路由再推 query 时也生效（watch route.query.date）；
- 表格导入对话框适配 8MB 上限与 413 提示。

冒烟与文档：
- 新增 scripts/lib/smoke-class.mjs：验证用临时班级，避免探针通知弹到用户自己的客户端与灵动岛；
- README 与 AGENTS.md 同步本轮全部行为变更（含 schedule source、学生账号清理、凭据门禁）。

packages/server/src/middleware/error.ts

@@ -40,6 +40,24 @@ export const errorHandler: ErrorRequestHandler = (error, req, res, _next) => {
     return;
   }
 
+  /**
+   * 请求体超限（body-parser 抛的 `entity.too.large`）。
+   *
+   * 必须单独处理：它带 `status: 413` 但不是 ApiError，落进下面的兜底分支会变成
+   * 「500 服务器内部错误：request entity too large」——既是错的状态码，也把英文原文抛给用户，
+   * 而用户真正需要知道的是"文件太大了、请拆分"（表格导入的 8MB 上限见 table-import.service）。
+   */
+  if ((error as { type?: string }).type === 'entity.too.large') {
+    logger.warn(`请求体超过上限：${req.method} ${req.originalUrl}`);
+    sendError(
+      res,
+      413,
+      '上传内容过大：请把文件拆分后分批导入（表格文件上限 8MB）',
+      'IMPORT_TOO_LARGE',
+    );
+    return;
+  }
+
   // Prisma 已知错误码（P2002 唯一约束 / P2025 记录不存在 / P2003 外键约束）
   const prismaCode = (error as { code?: string }).code;
   if (prismaCode === 'P2002') {