安全说明

动态输入先验证，页面输出统一转义，错误地址明确返回404

站点不使用数据库，也不依赖外部API加载核心正文。安全重点放在输入范围、HTML转义、真实链接和服务器错误处理上。

输出转义

动态文本统一经过 htmlspecialchars，并使用UTF-8与ENT_QUOTES，降低把用户输入直接解释为HTML的风险。

文章ID只允许与既有数据对象匹配；搜索词限制长度并去除多余空白。不存在的文章ID不会跳回首页，而会返回404。

核心页面不使用Node.js、数据库、jQuery、Bootstrap、Tailwind、CDN框架或外链字体。这样可以减少部署依赖和第三方资源故障对正文的影响。

部署后仍应确认PHP版本、服务器目录权限、HTTPS、统计脚本真实实现和Web服务器规则是否符合运行环境。源码级检查不能替代服务器配置与持续维护。