chanjs 2.6.14 → 2.6.16

package/extend/art-template.js

@@ -1,10 +1,15 @@
 import template from "art-template";
 import dayjs from "dayjs";
+import relativeTime from "dayjs/plugin/relativeTime.js";
+import "dayjs/locale/zh-cn.js";
 import { createRequire } from 'module';
 const require = createRequire(import.meta.url);
 const { marked } = require('marked');
 
-//template.defaults.native = false; // 禁用原生模板引擎 防止模板直接调用nodejs语法
+dayjs.extend(relativeTime);
+dayjs.locale('zh-cn');
+
+template.defaults.native = false; // 禁用原生模板引擎 防止模板直接调用nodejs语法
 //template.defaults.debug = false; // 禁用调试模式
 
 
@@ -30,6 +35,18 @@ template.defaults.imports.dateFormat = function (date, format) {
     return date.format(format);
   };
 
+/**
+ * 相对时间过滤器（如"刚刚"、"5分钟前"、"3小时前"）
+ * @param {Date|string|number} date - 日期对象、日期字符串或时间戳
+ * @returns {string} 相对时间字符串
+ */
+template.defaults.imports.timeAgo = function (date) {
+    if (!date) return "";
+    const d = dayjs(date);
+    if (!d.isValid()) return "";
+    return d.fromNow();
+  };
+
 /**
  * 字符串截断过滤器
  * @param {string} str - 原始字符串
@@ -65,21 +82,48 @@ template.defaults.imports.safeStringify = (obj, keys) => {
     return JSON.stringify(obj, null, 2);
 };
 
+/**
+ * 获取对象所有key的过滤器，方便调试查看数据结构
+ * 用法：{{$data | objKeys}} 或 {{$data | objKeys ','}}
+ * @param {Object} obj - 要获取key的对象
+ * @param {string} separator - 分隔符，默认为换行
+ * @returns {string} 所有key的字符串
+ */
+template.defaults.imports.objKeys = (obj, separator) => {
+    if (!obj || typeof obj !== 'object') return '';
+    const sep = separator !== undefined ? separator : '\n';
+    return Object.keys(obj).join(sep);
+};
+
 /**
  * Markdown 渲染过滤器
  * 自动检测内容是否为 Markdown 格式，如果是则渲染为 HTML
  * @param {string} content - 文章内容
  * @returns {string} 渲染后的 HTML
  */
-template.defaults.imports.renderMarkdown = (content) => {
+template.defaults.imports.renderContent = (content, editorType = 'rich', allowScript = 0) => {
   if (!content || typeof content !== 'string') {
     return content || '';
   }
 
-  try {
-    return marked.parse(content);
-  } catch (err) {
-    console.error('[renderMarkdown] Markdown 渲染失败:', err.message);
-    return content;
+  let html = content;
+  
+  // Markdown 需要转换
+  if (editorType === 'md') {
+    try {
+      html = marked.parse(content);
+    } catch (err) {
+      console.error('[renderContent] Markdown 渲染失败:', err.message);
+      html = content;
+    }
+  }
+  
+  // 如果 allowScript !== 1，转义 script 标签
+  if (Number(allowScript) !== 1) {
+    html = html
+      .replace(/<script\b[^>]*>/gi, '&amp;lt;script&amp;gt;')
+      .replace(/<\/script>/gi, '&amp;lt;/script&amp;gt;');
   }
+  
+  return html;
 };

package/helper/html.js

@@ -1,30 +1,40 @@
 /**
- * 解码 HTML 实体字符
- * @param {string} str - 包含 HTML 实体的字符串
- * @returns {string} 解码后的字符串，如果输入为空则返回空字符串
- * @description
- * 将 HTML 实体字符转换为对应的普通字符
- * 支持的实体字符：
- * - & -> &
- * - &lt; -> <
- * - &gt; -> >
- * - &quot; -> "
- * - &apos; -> '
- * - &nbsp; -> 空格
- * @example
- * const html = '&lt;div&gt;Hello &amp; World&lt;/div&gt;';
- * const decoded = htmlDecode(html);
- * console.log(decoded); // '<div>Hello & World</div>'
+ * 标准 HTML 编码（art-template {{}} 使用）
+ */
+export function htmlEncode(str) {
+  if (typeof str !== 'string') return '';
+  return str
+    .replace(/&/g, '&amp;')
+    .replace(/</g, '&lt;')
+    .replace(/>/g, '&gt;')
+    .replace(/"/g, '&quot;')
+    .replace(/'/g, '&apos;');
+}
+
+/**
+ * 【适配 art-template {{@}}】二次转义 script 标签
+ * 必须这样写才能防 XSS！
+ */
+export const escapeScript = (str) => {
+  if (typeof str !== 'string') return '';
+  return str
+    // 二次转义 → 经过 {{@}} 解码后变成 &lt;script&gt;
+    .replace(/<script\b[^>]*>/gi, '&amp;lt;script&amp;gt;')
+    .replace(/<\/script>/gi, '&amp;lt;/script&amp;gt;');
+};
+
+/**
+ * HTML 解码
  */
 export function htmlDecode(str) {
-  if (!str) return "";
-  const htmlEntities = {
-    "&amp;": "&",
-    "&lt;": "<",
-    "&gt;": ">",
-    "&quot;": '"',
-    "&apos;": "'",
-    "&nbsp;": " ",
+  if (typeof str !== 'string') return '';
+  const entities = {
+    '&amp;': '&',
+    '&lt;': '<',
+    '&gt;': '>',
+    '&quot;': '"',
+    '&apos;': "'",
+    '&nbsp;': ' ',
   };
-  return str.replace(/&[a-z]+;/gi, (match) => htmlEntities[match] || match);
-}
+  return str.replace(/&(amp|lt|gt|quot|apos|nbsp);/g, m => entities[m]);
+}

package/helper/index.js

@@ -19,7 +19,7 @@ export {
 } from "./file.js";
 
 // HTML处理
-export { htmlDecode } from "./html.js";
+export { htmlDecode, htmlEncode,escapeScript } from "./html.js";
 
 // IP相关
 export { getIp } from "./ip.js";

package/middleware/waf.js

@@ -33,6 +33,7 @@ const WAF_PATH_WHITELIST = [
   "/.well-known/change-password", // 密码管理
   "/favicon.ico", // 浏览器自动请求
   "/robots.txt", // 搜索引擎爬虫
+  "/llms.txt", // AI引擎爬虫
   "/sitemap.xml", // 站点地图
 ];
 

package/package.json

@@ -1,7 +1,7 @@
 {
   "type": "module",
   "name": "chanjs",
-  "version": "2.6.14",
+  "version": "2.6.16",
   "description": "chanjs基于express5 纯js研发的轻量级mvc框架。",
   "main": "index.js",
   "module": "index.js",
@@ -23,15 +23,18 @@
     "body-parser": "^2.2.2",
     "cookie-parser": "^1.4.7",
     "cors": "^2.8.6",
-    "dotenv": "^17.4.2",
     "dayjs": "^1.11.20",
+    "dotenv": "^17.4.2",
     "express": "^5.2.1",
     "express-art-template": "^1.0.1",
     "ip2region": "^2.3.0",
+    "jsonwebtoken": "^9.0.3",
     "knex": "^3.2.10",
+    "marked": "^18.0.3",
     "morgan": "^1.10.1",
     "mysql2": "^3.22.3",
+    "serve-favicon": "^2.5.1",
     "sqlite3": "^6.0.1",
-    "marked": "^18.0.3"
+    "xss": "^1.0.15"
   }
 }