2 Commits

Include renames

Author	SHA1	Message	Date
Sakurasan	6108aca34c	缩略图懒生成 + 评论登录限流：时间线不再拉原图 ... - 新增 /uploads/thumb/{key}?w=：首访从存储端读一次原图，标准库盒均值缩放后 落盘 data/.thumbnail_cache（按内容哈希命名，天然失效）；失败写 .failed 冷却 一小时，非图片/超大一律 302 回原图，前端无感。原图路由改用 ServeContent， 补上视频拖动进度条所需的 Range 支持 - 前端 thumbURL/thumbifyHtml 接入两套 UI 的时间线配图、长文封面与短文正文， 并补 loading=lazy；详情页与灯箱仍用原图。/api/site 改为 {settings, uploads_public_base}，让前端识别哪些直链属于自家存储 - 后台登录的滑动窗口限速器抽成 internal/ratelimit 共享包（调用面不变）， 新增：读者登录失败按 IP 20 次/10 分钟、评论写入按读者 5 条/分钟 （站主豁免，且只计成功写入）	2026-09-28 13:34:19 +08:00
Sakurasan	dd2994189a	安全加固 + 结构清理：修注入/串写/竞态，DOMPurify 上线，后端补事务与 handler 测试 ... 后端： - ORDER BY 白名单（sanitizeOrder）堵住 ?order= SQL 注入，补回归测试 - 登录限速（每 IP 10 次失败/10 分钟 429）、TLS/反代下 Secure cookie、NewAPI 构造器 - Delete/setTags/MergeTags/DeleteTag 包事务；Archive 去 500 篇上限 - 列表接口裁剪：不传 content_md，长文 content_html 截 600，新增 content_len；health 探 DB 前端： - EditorView 路由复用串写修复（RouterView :key + sync watch 回写原文章） - v-html 出口统一过 DOMPurify（sanitizeHtml），stripTags 改 DOMParser - 列表竞态防护（Home/Tag/Posts 请求序号）、TagView 分页修复 - 侧栏接口 30s 缓存去重；one:unauthorized 监听器泄漏修复 - 删 styles.css 498 行重复块；移除 tailwind/marked/vue-tsc 死依赖；CommandPalette a11y 语义	2026-09-21 23:59:09 +08:00