diff --git a/account/views/admin.py b/account/views/admin.py
index 67b47b6..1f9b590 100644
--- a/account/views/admin.py
+++ b/account/views/admin.py
@@ -9,8 +9,8 @@ from django.http import HttpResponse
 from django.utils.crypto import get_random_string
 
 from submission.models import Submission
-from utils.api import APIView, validate_serializer
-from utils.shortcuts import rand_str
+from utils.api import APIError, APIView, validate_serializer
+from utils.shortcuts import CLASS_NAME_MAX_DIGITS, CLASS_NAME_MIN_DIGITS, is_valid_class_name, rand_str
 
 from ..decorators import super_admin_required
 from ..models import AdminType, ProblemPermission, User, UserProfile
@@ -22,12 +22,20 @@ from ..serializers import (
 )
 
 
-# ks251XXX 或者 ks2510XX 返回 251 或者 2510，其他返回 None。
-# 班级号限定 3~4 位，与前端 ButtonWithSearch 的 /^ks\d{3,4}/ 保持一致；
-# 原来的 \d+ 会贪婪吃掉后面的数字（ks251001 会返回 251001 而不是 251）。
+# ks251XXX 或者 ks2510XX 返回 251 或者 2510。
+# 不以 ks+数字 开头的（管理员、教师账号）返回 None。
+# 位数不对就直接报错，不猜——猜错会把 class_name 存歪，
+# 而剥前缀显示姓名、班级下拉、统计页都依赖它准确。
+# 这里先用 \d+ 抓全再判位数，不能直接用 CLASS_NAME_RE 匹配：
+# 那样 ks251001 会"匹配成功"并悄悄取前 4 位，正是要避免的猜测。
 def get_class_name(username):
-    result = re.match(r"ks(\d{3,4})", username)
-    return result.group(1) if result else None
+    result = re.match(r"ks(\d+)", username)
+    if not result:
+        return None
+    class_name = result.group(1)
+    if not is_valid_class_name(class_name):
+        raise APIError(f"用户名 {username} 的班级号 {class_name} 是 {len(class_name)} 位，必须是 {CLASS_NAME_MIN_DIGITS}~{CLASS_NAME_MAX_DIGITS} 位数字")
+    return class_name
 
 
 class UserAdminAPI(APIView):
diff --git a/conf/serializers.py b/conf/serializers.py
index 22fbe0d..0bcc865 100644
--- a/conf/serializers.py
+++ b/conf/serializers.py
@@ -1,4 +1,5 @@
 from utils.api import serializers
+from utils.shortcuts import CLASS_NAME_MAX_DIGITS, CLASS_NAME_MIN_DIGITS, is_valid_class_name
 
 from .models import JudgeServer
 
@@ -13,6 +14,14 @@ class CreateEditWebsiteConfigSerializer(serializers.Serializer):
     class_list = serializers.ListField(child=serializers.CharField(max_length=64))
     enable_maxkb = serializers.BooleanField()
 
+    def validate_class_list(self, value):
+        # 班级号要跟用户名里的 ks<班级号> 对得上：登录页拿它查该班学生，
+        # 位数不对只会静默查不到人，所以在这里就拦掉。
+        for item in value:
+            if not is_valid_class_name(item):
+                raise serializers.ValidationError(f"班级号 {item} 必须是 {CLASS_NAME_MIN_DIGITS}~{CLASS_NAME_MAX_DIGITS} 位数字")
+        return value
+
 
 class JudgeServerSerializer(serializers.ModelSerializer):
     status = serializers.CharField()
diff --git a/utils/shortcuts.py b/utils/shortcuts.py
index d3f3850..3efa222 100644
--- a/utils/shortcuts.py
+++ b/utils/shortcuts.py
@@ -4,6 +4,19 @@ import re
 
 from django.utils.crypto import get_random_string
 
+# 班级号的位数范围。学生用户名形如 ks<班级号><姓名>，班级号还要跟
+# SysOptions.class_list 的条目、User.class_name 字段对得上。
+# 改这里等于改全站规则，前端 ojnext/src/utils/constants.ts 里
+# CLASS_NAME_DIGITS 是同一条规则的另一份，两边要一起改。
+CLASS_NAME_MIN_DIGITS = 3
+CLASS_NAME_MAX_DIGITS = 4
+CLASS_NAME_RE = re.compile(rf"\d{{{CLASS_NAME_MIN_DIGITS},{CLASS_NAME_MAX_DIGITS}}}")
+
+
+def is_valid_class_name(class_name):
+    """班级号是否是合法位数的纯数字"""
+    return bool(CLASS_NAME_RE.fullmatch(class_name))
+
 
 def rand_str(length=32, type="lower_hex"):
     """