Function validate_session_id 

pub fn validate_session_id(id: &str) -> bool

session ID 合法性：纯数字（与 unique_id 生成器一致）。 read API 的 /sessions/:id 直接 root.join(id)，未校验可被 ../ 跨租户逃逸。 多租户（P9）下这是必校验项；单租户也应校验。