安全说明

把输入验证、输出转义和明确404作为基础

本站没有数据库，也不通过外部API获取核心正文。动态文本统一转义，文章编号与搜索参数限制格式和长度，不存在的内容返回明确404页面。

输出转义

动态标题、搜索词、文章字段与导航文字在进入HTML时通过统一函数处理，降低意外标签被解释为页面结构的风险。

文章编号只接受固定格式；搜索词限制为字符串并截断过长输入。不存在的文章不会重定向到首页，而是返回404。

样式、脚本和图片均使用站内路径，不引入CDN框架、外链字体或第三方图标库，核心内容不依赖远程请求。

生产环境应关闭详细错误回显、启用HTTPS、保持PHP 8.2+更新，并根据真实服务器配置补充访问日志、备份与文件权限策略。