Cursor生成的代码使用bcrypt cost 12哈希密码，会话cookie设置为HttpOnly，统计笔记数时锁住用户行以防止并发绕过免费上限，数据库迁移记录在独立表中并加锁防止重复执行，webhook使用常数时间签名比对校验原始请求字节。