Avatar 上传允许一个用户覆盖另一个用户的个人资料图像

上传头像允许一个用户覆盖另一个用户的头像图片: /member/imgaeUpload 接受 `userId` 和 `token`，但在更新 DB 记录之前从未验证该 token 是否属于该用户，因此任何经过身份验证的用户都可以更改另一个用户的头像。