通过检查未通过的文件 ID 在检索 API 中泄露跨用户的私有文件内容（Supabase RLS 绕过）