feat: enforce api production safety limits

.env.example

@@ -29,6 +29,8 @@ PORT=3000
 DATABASE_URL=postgresql://postgres:postgres@127.0.0.1:54322/postgres
 DEFAULT_TENANT_SLUG=master
 CORS_ORIGIN=http://127.0.0.1:5173,http://localhost:5173
+MAX_JSON_BODY_BYTES=1048576
+MAX_IMPORT_JSON_BODY_BYTES=10485760
 
 # 认证迁移期配置：生产环境必须替换为高强度随机值
 AUTH_SMS_PROVIDER=mock