内容与安全原则

只展示当前数据中真实存在的页面关系，不用未知参数生成内容

安全处理从输入边界、输出转义、真实链接与最少外部依赖开始，同时保持页面在 JavaScript 失效时仍可阅读。

动态文本统一转义

搜索词、分页状态和数据条目在输出到 HTML 时统一经过转义，避免把用户输入当成页面标签执行。详情页 ID 也必须符合固定格式并能在站内数据中找到。

未知详情 ID、无效人物或无效专题不会被静默跳回首页，而是返回 404 状态并提供真实可访问的视觉内容、人物索引和搜索入口。

页面只引用规定的本地图片文件名。部署者应确保实际上传的图片拥有适当使用权限，并使图片内容与对应页面上下文一致。

没有真实数据时，不展示“刚刚更新”、在线人数、播放量、下载量、点赞数或实时榜单。静态内容的价值来自清楚分类、独立说明和可持续内部链接。

菜单、搜索弹窗和返回顶部由原生 JavaScript 提供增强，但标题、正文、列表、分页和主要链接都直接存在于 HTML 中，关闭脚本不会让核心内容消失。

源码提供基础安全头和输入边界，但服务器版本、HTTPS、文件权限、日志策略和备份仍由部署环境负责。上线时应保持 PHP 与 Web 服务器处于受支持版本。