博客系统 v3.1 更新日志：安全加固 · 登录体系 · 评论焕新

时间跨度：2026-09-09 ~ 2026-10-04

v3.0 正式上线后的第一个月，我们把主要精力放在了「用得放心」这件事上 —— 安全、登录体系、评论互动与内容分发。以下是这段时间的完整更新。

一、安全与稳定性

• 堵住签名重放漏洞：实测发现有客户端借 15 小时前的时间戳绕过校验，现已统一拒绝过期签名，前端自动以服务端时间校准并重签重试。
• v3 正式接管主站：公网端到端验证全通过（签名四场景、禁用 TLS 1.0/1.1、危险扩展名拦截、WAF 与防盗链在位），请求体上限统一为 100MB。
• 全站HSTS强制 HTTPS：80 端口重建为纯跳转（保留完整路径与查询串），证书自动续期不受影响。
• 反克隆防护修复：蜜罐链路、自动封禁脚本三处缺陷修复，克隆站点识别集群已永久禁封。

二、LCR ID 登录体系

• 陆续接入 Gitee、飞书、GitHub、BlogsClub 四种第三方登录，一键登录 / 注册，昵称头像邮箱自动同步。(目前部分第三方登录正在调整升级中，暂不可使用。)
• 第三方邮箱自动绑定：平台已验证邮箱与站内账户一致时自动绑定登录；昵称撞车自动追加后缀；未提供邮箱则新建独立账户。
• 修复重置密码无响应问题，补全新密码输入窗口与强度校验（至少 8 位且含字母与数字）。

三、评论系统焕新

• 发表评论需登录 LCR ID：未登录点击评论框弹出快捷登录引导，已输入内容自动本地暂存，登录后无缝续写不丢失；保留「使用旧版」游客入口（二次确认）。
• 等级体系：Lv1 起每发表 5 条评论升 1 级，Lv10 封顶，每级专属配色徽标。
• 称号系统：管理员可创建称号（纯色 / 渐变，支持自绘渐变与色盘取色），可授予任意成员；成员可在个人中心自由切换展示等级或称号徽标。
• 自己设计称号：个人中心新增可视化设计器（HSV 色盘、渐变编辑器拖色标、实时预览，最长 10 字符），提交后进入管理员审核，通过后自动授予并公开到「可申请称号」列表供他人复用。
• 评论支持 Markdown：经 DOMPurify 白名单净化，阻断存储型 XSS。
• 评论图片上传接入自建 ALTCHA 人机验证（无感 Proof-of-Work，零三方请求），并按文件真实内容校验格式。
• 博主评论自动佩戴「博主」徽章，跳过 AI 审核与敏感词检测。

四、搜索与内容分发

• 全站搜索扩展：新增覆盖媒体库、音乐库、评论三大内容源，输入联想同步扩展；点击结果可精准跳转并定位（媒体打开灯箱、音乐直接播放）。
• SEO 与收录治理：57 篇文章补齐 SEO 关键词；IndexNow 支持按内容类型单独推送并可在后台查看历史；站点地图动态化（266 条 URL 实时收录）；robots.txt 为 Bingbot 单独分组解除限速；英文站正式下线并整站 301 回主站，消除收录分裂。
• 文章发布页新增「加入 RSS」勾选，保存即生效。

五、主题、插件与页面托管

• 主题系统运行时解析：按 theme.json 切换主题立即生效，无需重建；后台可视化启用，并按主题声明自动渲染配置表单。
• 插件系统：后台可视化管理 + 四个页面插槽（site.head / site.footer / 导航栏后 / 正文后），装完在前台立即可见。
• 静态页托管：上传 .html 或粘贴代码即部署到 /pages/自定义路径，支持在线编辑、更换路径、启停用，附访问统计与空间监控。

六、其他改进

• 站点通知体系：友链申请、新用户注册、称号申请、版权举报四类事件实时邮件通知博主，处理完成后自动回信申请人。
• 友链动态聚合 /feed 上线：类朋友圈时间线聚合展示友链网站最新文章，支持按站点筛选与无限滚动，后台可自动探测 RSS 地址、每 30 分钟自动抓取。
• 媒体库与动态图片上传新增 SHA-256 重复检测，可一键跳过或复用。
• AI 目录改为缓存制，只在文章更新或手动刷新时重新生成，不再重复消耗额度。
• 服务器软件全面升级（Node.js 20 → 22、nginx 1.30.4），并重新编译全部站点原生模块。

这一阶段的更新到此为止 —— v3.1 把「安全、登录、评论、搜索」这四块地基打牢了。下一篇我们将介绍 10 月上旬在性能和 AI 上的大幅改进。