fix: remove vulnerable excel runtime dependency

docs/refactor/ai-development-guardrails.md

@@ -151,6 +151,8 @@ RPC 必须：
 preview -> job -> items -> issues -> import -> audit -> validate
 ```
 
+CSV/Excel 导入属于后端规范化能力，`.xlsx` 解析统一走 `read-excel-file`。不要把 `exceljs` 重新加入生产运行时；确需替换解析库时，必须同时证明 `npm run audit:runtime` 通过，并用 API 集成测试覆盖多 Sheet 分数线、题目、单词、知识手册和视频导入。
+
 导入不得直接从前端写正式业务表。迁移脚本若因一次性内控需要直写数据库，必须：
 
 - 保留原始 payload。
@@ -206,4 +208,3 @@ npm run check:refactor
 5. `docs/refactor/legacy-feature-gap-matrix.md`
 
 如果需求与这些文档冲突，先更新架构文档并说明原因，再改代码。
-