安全加固 + 数据管线修复 + 质量改进(第2批)

安全加固:
- /api/v1/predict 限流改用 get_client_ip 防 X-Forwarded-For 伪造
- 新增 TRUST_PROXY_HEADERS/REQUIRE_ADMIN_AUTH 配置,默认 fail-closed
- 生产环境管理接口未配置鉴权时拒绝(503),不再放行

数据管线修复:
- injuries IntegrityError 改用 begin_nested(SAVEPOINT)隔离批次
- injuries 空名单 vs 未配置语义区分(has_data 精确标记)
- bzzoiro 统计字段映射(shots/possession/cards) + 入库条件放宽
- available_at 语义收紧(回测防泄漏)
- team_names NFKD 去变音双重查找 + 补齐变体键

预测系统改进:
- multi-agent 全专家失败时 status=degraded 跳过终裁
- agent_weights 独立持久化到 predictions 表

新增迁移:
- 0014_predictions_agent_weights.py

新增测试(8个文件):
- test_ip_spoofing.py: 限流防伪造
- test_require_admin_fail_closed.py: 生产 fail-closed
- test_injuries_integrity_rollback.py: SAVEPOINT 隔离
- test_injuries_slice_semantic.py: 空名单 vs 未配置
- test_available_at.py: 回测防泄漏
- test_bzzoirot_stats.py: 统计字段映射
- test_team_names_normalize.py: NFKD 变体
- test_multi_agent_degraded.py: 全失败 degraded
- test_agent_weights_persist.py: 权重持久化

src/core/config.py

@@ -11,6 +11,9 @@ class Settings(BaseSettings):
     # --- app ---
     APP_ENV: str = "development"
     LOG_LEVEL: str = "INFO"
+    # 生产环境强制要求管理鉴权配置,即使 APP_ENV=production 也生效。
+    # True 时若 auth_configured() 为 False 则拒绝(503),development 保持 fail-open。
+    REQUIRE_ADMIN_AUTH: bool = False
 
     # --- database ---
     DATABASE_URL: str = "postgresql+asyncpg://football:football@localhost:5432/football"
@@ -30,6 +33,12 @@ class Settings(BaseSettings):
     BZZOIRO_BASE: str = "https://sports.bzzoiro.com/api/v2"
     API_FOOTBALL_KEY: str = ""
 
+    # --- 代理头信任 ---
+    # 为 True 时才解析 X-Forwarded-For,否则只用 request.client.host。
+    # 公网部署时应设为 True,并确保仅 Nginx 等可信反代能访问 API,
+    # 且 Nginx 层已覆盖真实 IP(X-Real-IP / proxy_protocol)。
+    TRUST_PROXY_HEADERS: bool = False
+
     # --- CORS ---
     CORS_ORIGINS: str = "http://localhost:5173,http://localhost:3000"
     CORS_METHODS: str = "GET,POST,PUT,DELETE,OPTIONS"