hexo-theme-stellar 1.33.0 → 1.34.0

package/CLAUDE.md

@@ -0,0 +1,217 @@
+# Stellar Theme Development
+
+这是 Hexo 主题 **Stellar** 的仓库。主题是一个独立的 npm 包，用于 [hexo-theme-stellar](https://github.com/xaoxuu/hexo-theme-stellar)。
+
+## 技术栈
+
+| 层级 | 技术 | 目录 |
+|------|------|------|
+| 模板引擎 | EJS | `layout/` |
+| CSS 预处理 | Stylus | `source/css/` |
+| 服务端 JS | CommonJS (ES5) | `scripts/` |
+| 浏览器 JS | ES5 (Babel 转译) | `source/js/` |
+| 国际化 | YAML | `languages/` |
+| 文档 | Markdown | `docs/` |
+
+## 目录结构
+
+```
+layout/                     # EJS 模板
+├── _partial/               #   可复用组件
+│   ├── main/               #     文章列表、导航、页脚
+│   ├── sidebar/            #     侧栏组件
+│   ├── cover/              #     封面
+│   ├── comments/           #     评论系统
+│   ├── widgets/            #     小部件
+│   └── scripts/            #     脚本注入
+├── _plugins/               #   可选插件片段
+├── layout.ejs              #   根布局
+├── index.ejs               #   首页
+├── page.ejs                #   通用页面
+└── archive.ejs             #   归档页
+scripts/                    # Hexo 服务端脚本
+├── tags/                   #   自定义标签 `{% tag %}`
+│   └── lib/                #     标签实现
+├── helpers/                #   EJS 辅助函数
+├── filters/                #   Hexo 过滤器
+├── generators/             #   页面生成器
+├── events/                 #   事件处理
+└── commands/               #   CLI 命令
+source/                     # 浏览器端资源
+├── css/                    #   Stylus 样式
+│   ├── _defines/           #     变量和函数
+│   ├── _common/            #     通用基础样式
+│   ├── _components/        #     组件样式
+│   └── _plugins/           #     插件样式
+└── js/                     #   浏览器 JavaScript
+    ├── plugins/            #     交互插件
+    ├── services/           #     数据服务
+    └── search/             #     搜索
+```
+
+## EJS 模板规范
+
+- `<% %>` 逻辑控制，`<%- %>` 输出非转义 HTML
+- 变量声明用 `var`（IE8 兼容）
+- 2 空格缩进，HTML 属性双引号
+- 可复用片段提取到 `_partial/`
+- 复杂逻辑提取到 `helpers/` 辅助函数
+
+```ejs
+<%
+var items = site.posts.sort('date', -1).limit(10)
+items.forEach(function(post) {
+%>
+  <article>
+    <%- partial('_partial/main/post_list/post_card', {post: post}) %>
+  </article>
+<%
+})
+%>
+```
+
+## Node.js 脚本规范
+
+- CommonJS: `require()` / `module.exports`
+- 文件头: `/* global hexo */` + `'use strict';`
+- 2 空格缩进，双引号，分号结尾
+- 标签注册: `hexo.extend.tag.register(name, handler, options)`
+- 辅助函数注册: `hexo.extend.helper.register(name, handler)`
+
+```js
+/* global hexo */
+'use strict';
+
+module.exports = function(hexo) {
+  return function(args, content) {
+    var result = '';
+    // ...
+    return result;
+  };
+};
+```
+
+## Stylus 样式规范
+
+- 文件引入顺序: `const` → `custom` → `theme_base` → `theme_colorful` → `func`
+- 类名和文件名: `kebab-case`
+- 变量在 `_defines/`，通用样式在 `_common/`，组件在 `_components/`
+- 2 空格缩进，属性后空格
+- CSS 兼容 IE8
+
+## 浏览器 JS 规范
+
+- ES5 语法（Gulp Babel 转译为 ES2015+）
+- 避免直接操作 DOM，使用主题工具函数
+- 注释: `//` 单行，`/* */` 多行
+
+## 工作流程
+
+每次修改必须遵循以下流程，产物保留在仓库中：
+
+### 1. 方案
+
+在 `docs/` 目录下创建或更新方案文档，描述：
+- 要解决的问题或新增的能力
+- 技术方案和实现思路
+- 影响范围（涉及哪些文件/模块）
+
+### 2. 执行计划
+
+方案通过后，列出具体执行步骤，记录在对应文档中：
+- 改动文件清单
+- 分步实施顺序
+- 依赖关系
+
+### 3. 测试
+
+变更完成后，在自己的 Hexo 项目中集成验证：
+- **`npm run g && npx gulp minify` 全量验证**（`scripts/` 变更必须执行：`npm run g` 发现模板渲染错误，`npx gulp minify` 发现 HTML 结构错误如多余引号等）
+- `npm run s` 启动本地服务
+- 检查涉及的所有页面类型（首页、文章页、Wiki 页等）
+- 验证浏览器兼容性
+- 测试结果记录在 `docs/` 中
+
+### 4. 文档归档
+
+- 方案、执行计划、测试记录保存在 `docs/` 目录
+- 文件命名: `docs/{YYYY-MM-DD}-{功能简称}.md`
+- 涉及逻辑变更（API、配置项、行为变化）必须同步更新仓库 Wiki
+
+### 新增功能 Checklist
+
+新增功能必须覆盖以下维度:
+
+1. `layout/` — EJS 模板
+2. `scripts/` — Hexo 标签 / 辅助函数 / 过滤器
+3. `source/css/` — Stylus 样式
+4. `source/js/` — 浏览器脚本（如需）
+5. `docs/` — 方案 + 执行计划 + 测试记录
+6. `languages/` — 国际化文案（如需新增文本）
+
+## 组件架构
+
+### 自定义标签开发
+
+1. 在 `scripts/tags/lib/` 下创建标签实现文件
+2. 在 `scripts/tags/index.js` 中注册
+3. 在 `source/css/_components/tag-plugins/` 添加对应样式
+4. 推荐使用 `hexo` 参数传入，避免 `require('hexo')`
+
+### 评论系统
+
+- 接口目录: `layout/_partial/comments/`
+- 每个评论系统提供 `layout.ejs` 和 `script.ejs`
+- 遵循现有的配置驱动模式
+
+## Git 规范
+
+```
+<type>(<scope>): <description>
+```
+
+| Type | 说明 |
+|------|------|
+| `feat` | 新功能 |
+| `fix` | Bug 修复 |
+| `refactor` | 重构 |
+| `perf` | 性能优化 |
+| `style` | CSS/样式修改 |
+| `docs` | 文档更新 |
+
+## 发版规范
+
+发版分两步：脚本完成版本号更新和推送 → CI 自动完成 npm 发布和 tag 创建。
+
+```
+npm-publish.sh → push main + npm → CI → npm publish + git tag
+```
+
+### 使用方式
+
+```bash
+# 正常发版（CI 自动处理 npm publish 和 tag）
+bash npm-publish.sh 1.33.2
+
+# 预览模式（仅显示改动，不提交/推送，执行后自动回滚）
+bash npm-publish.sh 1.33.2 --dry-run
+```
+
+### AI 调用指南
+
+1. **分析变更确定版本号**: 查看上一版本以来的 commit，按以下规则确定版本号：
+   - `x.y.z` → `x.y.(z+1)`: 仅含 fix / perf / style（修复和优化，安全升级）
+   - `x.y.z` → `x.(y+1).0`: 含 feat / refactor / breaking change（功能增减、一般重构）
+   - `x.y.z` → `(x+1).0.0`: 大型重构，用户可感知的设计调整
+   - `x.y.z` → `x.y.z-rc.N`: 测试版本
+2. **向用户确认**: 列出版本号和变更摘要，等待用户确认后再继续
+3. **dry-run 预览**: `bash npm-publish.sh <version> --dry-run` 检查变更是否正确
+4. **正式执行**: `bash npm-publish.sh <version>`
+5. **CI 自动**: 检测 `release:` commit → npm publish + tag
+
+## 约束
+
+- **修改 `scripts/` 目录下任何文件后，必须运行 `npm run g && npx gulp minify` 验证构建成功。** `npm run g` 做全量渲染发现模板错误，`npx gulp minify` 做 HTML 压缩发现结构错误（如多余引号）。`npm run s` 是按需渲染，不能替代全量验证。
+- 不引入新构建系统，保持 Hexo 原生 + Gulp 后处理
+- 不混用 EJS 和前端框架语法
+- CSS 兼容 IE8，JS 兼容 ES2015+

package/README.md

@@ -50,6 +50,8 @@ npm i hexo-theme-stellar
 
 See docs: https://xaoxuu.com/wiki/stellar/
 
+> AI docs： https://deepwiki.com/xaoxuu/hexo-theme-stellar/
+
 ## Examples
 
 https://xaoxuu.com/wiki/stellar/examples/

package/_config.yml

@@ -1,6 +1,6 @@
 ######## Stellar info ########
 stellar:
-  version: '1.33.0'
+  version: '1.34.0'
   homepage: 'https://xaoxuu.com/wiki/stellar/'
   repo: 'https://github.com/xaoxuu/hexo-theme-stellar'
   main_css: /css/main.css
@@ -9,13 +9,16 @@ stellar:
 
 ######## head tags ########
 preconnect:
-  # - https://gcore.jsdelivr.net
-  # - https://gcore.jsdelivr.net
-  # - https://unpkg.com
+  - https://gcore.jsdelivr.net
+  - https://unpkg.com
+  - https://cdn.jsdelivr.net
+  - https://cdnjs.cloudflare.com
 
 # 一旦设置源站地址，非源站地址将不会被SEO收录，并且访问时弹出提示
 # 如果访问地址不在备用站主机列表，则警告信息为非法克隆
 canonical:
+  closeEnable: true # 是否显示关闭提示按钮
+  closeText: 关闭提示 # 关闭提示按钮的文字描述
   originalHost: # 主站点域名主机，例如 xaoxuu.com
   officialHosts: # 官方主机列表，每行一个，例如 xaoxuu.vercel.app
     - localhost
@@ -311,8 +314,8 @@ comments:
   # Artalk
   # https://artalk.js.org/
   artalk:
-    css: https://unpkg.com/artalk@2.9/dist/Artalk.css
-    js: https://unpkg.com/artalk@2.9/dist/Artalk.js
+    css: https://unpkg.com/artalk@2.9/dist/artalk.css
+    js: https://unpkg.com/artalk@2.9/dist/artalk.js
     server: # 后端服务地址
     site: '' # 站点名称
     darkMode: auto # 其它模式都有问题，慎用，否则后果自负
@@ -392,12 +395,12 @@ tag_plugins:
       prefix: ph:seal-question-fill
   # {% emoji %}
   emoji:
-    default: https://gcore.jsdelivr.net/gh/cdn-x/emoji@2.1.2/qq/{name}.gif
+    default: https://gcore.jsdelivr.net/gh/cdn-x/emoticons@3.1/qq/{name}.gif
     twemoji: https://gcore.jsdelivr.net/gh/twitter/twemoji/assets/svg/{name}.svg
-    qq: https://gcore.jsdelivr.net/gh/cdn-x/emoji@2.1.2/qq/{name}.gif
-    aru: https://gcore.jsdelivr.net/gh/cdn-x/emoji@2.1.2/aru/{name}.gif
-    tieba: https://gcore.jsdelivr.net/gh/cdn-x/emoji@2.1.2/tieba/{name}.png
-    blobcat: https://gcore.jsdelivr.net/gh/cdn-x/emoji@2.1.2/blobcat/{name}.gif
+    qq: https://gcore.jsdelivr.net/gh/cdn-x/emoticons@3.1/qq/{name}.gif
+    aru: https://gcore.jsdelivr.net/gh/cdn-x/emoticons@3.1/aru/{name}.gif
+    tieba: https://gcore.jsdelivr.net/gh/cdn-x/emoticons@3.1/tieba/{name}.png
+    blobcat: https://gcore.jsdelivr.net/gh/cdn-x/emoticons@3.1/blobcat/{name}.gif
   icon:
     # 留空时，图标和文字颜色相同
     default_color: accent # theme, accent, red, orange, yellow, green, cyan, blue, purple
@@ -451,7 +454,7 @@ tag_plugins:
 
 # 基础依赖
 dependencies:
-  jquery: https://gcore.jsdelivr.net/npm/jquery@3.7/dist/jquery.min.js
+  jquery: https://gcore.jsdelivr.net/npm/jquery@3.7/dist/jquery.slim.min.js
   marked: https://gcore.jsdelivr.net/npm/marked@13.0/lib/marked.umd.min.js
   lazyload:
     js: https://gcore.jsdelivr.net/npm/vanilla-lazyload@19.1/dist/lazyload.min.js
@@ -516,7 +519,8 @@ data_services:
       '_posts/': # https://github.com/xaoxuu/xaoxuu.com/blob/main/source/_posts/
       'wiki/stellar/': https://github.com/xaoxuu/hexo-theme-stellar-docs/blob/main/
     js: /js/services/contributors.js
-
+  rss:
+    js: /js/services/rss.js
 
 # 扩展插件接入方法：(插件名下面用 #plugin# 代替)
 # 1. 在这里增加 #plugin# 配置，至少应含有 enable 字段，默认为空（不启用）
@@ -533,11 +537,19 @@ plugins:
     service: flying_pages # flying_pages
     flying_pages: https://gcore.jsdelivr.net/npm/flying-pages@2/flying-pages.min.js
 
+  # pjax - 无刷新加载
+  # 启用后点击链接将使用 AJAX 加载内容，无需整页刷新
+  pjax:
+    enable: false # 还在测试中，可能存在兼容问题
+    selectors: ['title', '#l_cover', '.l_body'] # 需要替换的元素选择器
+    timeout: 10000 # 请求超时时间（毫秒）
+    cacheBust: false # 是否添加时间戳防止缓存
+    translate-distance: 8px # 动画
+
   # https://fancyapps.com/docs/ui/fancybox/
   # available for {% image xxx %}
   fancybox:
     enable: true
-    loader: /js/plugins/fancybox-loader.js
     js: https://gcore.jsdelivr.net/npm/@fancyapps/ui@5.0/dist/fancybox/fancybox.umd.js
     css: https://gcore.jsdelivr.net/npm/@fancyapps/ui@5.0/dist/fancybox/fancybox.css
     # 让 md 语法图片支持放大可以这样写: .md-text img:not([class]), .md-text .image img
@@ -557,8 +569,8 @@ plugins:
     enable: #true # 慎用，有些时候打开页面空白
     js: https://gcore.jsdelivr.net/npm/scrollreveal@4.0/dist/scrollreveal.min.js
     distance: 8px
-    duration: 500 # ms
-    interval: 50 # ms
+    duration: 1000 # ms
+    interval: 100 # ms
     scale: 1 # 0.1~1
   
   # AI 摘要
@@ -588,12 +600,13 @@ plugins:
   katex:
     enable: #true # hexo-renderer-markdown-it-plus 默认开启 katex，此选项仅用于引入样式
     inject: |
-      <link rel="stylesheet" href="https://gcore.jsdelivr.net/npm/katex@0.16/dist/katex.min.css" integrity="sha384-vKruj+a13U8yHIkAyGgK1J3ArTLzrFGBbBc0tDp4ad/EyewESeXE/Iv67Aj8gKZ0" crossorigin="anonymous">
-  
+      <link rel="stylesheet" href="https://cdn.jsdelivr.net/npm/katex@0.16.23/dist/katex.min.css" integrity="sha384-//SZkxyB7axjCAopkAL1E1rve+ZSPKapD89Lo/lLhcsXR+zOYl5z6zJZEFXil+q0" crossorigin="anonymous">
+
   # MathJax
   # 需在Markdown文件开头加入mathjax: true
   # 推荐使用Pandoc: npm uninstall hexo-renderer-marked --save & npm install hexo-renderer-pandoc --save
   mathjax:
+    v3: false # 若使用 v3，需將 js 設置為 https://cdnjs.cloudflare.com/ajax/libs/mathjax/3.2.2/es5/tex-mml-chtml.min.js
     enable: # true # 可以在特定文章的 front-matter 中设置 mathjax: true 来开启，也可以在这里设置全局开启
     js: https://cdnjs.cloudflare.com/ajax/libs/mathjax/2.7.6/MathJax.js?config=TeX-AMS-MML_HTMLorMML
 
@@ -654,16 +667,10 @@ style:
     image: 16px # 技术类文章插图圆角
     image-s: 8px # 评论区图片圆角（部分评论支持）
   color:
-    # 动态颜色（会根据明暗主题重设明度值，只用关心色相和饱和度即可）
-    background: 'hsl(212 16% 98%)' # 浅色背景颜色
-    block: 'hsl(212 8% 95%)' # 块背景颜色
-    code: 'hsl(220 20% 10%)' # 'hsl(14 100% 48%)' # 行内代码颜色
-    text: 'hsl(0 0% 20%)' # 文本颜色
     # 主题色配置（不会根据明暗动态调整，请设置为通用的颜色）
     theme: 'hsl(192 98% 55%)' # 主题色
     accent: 'hsl(14 100% 57%)' # 强调色
     link: 'hsl(207 90% 54%)' # 超链接颜色
-    hover: 'hsl(14 100% 57%)' # 按钮高亮颜色
   animated_avatar:
     animate: auto # auto, always
     background: https://gcore.jsdelivr.net/gh/cdn-x/placeholder@1.0.12/avatar/round/rainbow64@3x.webp
@@ -677,7 +684,9 @@ style:
     start: 'linear-gradient(to right, hsl(215, 95%, 64%), hsl(195, 95%, 60%), hsl(165, 95%, 56%), hsl(165, 95%, 56%), hsl(195 95% 60%), hsl(215, 95%, 64%))'
   leftbar:
     # 可以设置：纯色/渐变色/图片作为背景
-    background-color: var(--card) # var(--block)
+    # 设置为纯色时，可以分别设置浅色和深色模式背景色
+    background-color-light: var(--card) # var(--block) #'rgb(#C3C3C3)'
+    background-color-dark: var(--card) # var(--block) #'rgb(#3C3C3C)'
     background-image: url(https://gcore.jsdelivr.net/gh/cdn-x/placeholder@1.0.13/image/sidebar-bg1@small.jpg)
     blur-px: 100px
     blur-bg: var(--bg-a60)
@@ -693,7 +702,7 @@ style:
     blur-sat: 300%
   # 技术文章内页各级标题前面的符号
   header_prefix:
-    h2: '⌘'
+    h2: '#'
     h3: '='
     h4: '|'
     h5: ':'

package/docs/audits/2026-08-08-stellar-analysis.md

@@ -0,0 +1,267 @@
+# Stellar 主题及 xaoxuu.com 项目全面分析报告
+
+> 审计日期：2026-08-08 | 版本：hexo-theme-stellar v1.33.1 | Hexo 7.0.0
+
+## 一、项目概览
+
+| 维度 | 详情 |
+|------|------|
+| **站点** | `xaoxuu.com` 个人博客，Hexo 7.0.0 |
+| **主题** | `hexo-theme-stellar` v1.33.1（Git 子模块） |
+| **部署** | GitHub Actions → gh-pages + Vercel 边缘 |
+| **模板引擎** | EJS + Stylus |
+| **内容规模** | ~100 篇文章（2013-2026），wiki 文档、笔记系统 |
+| **语言** | zh-CN / en / zh-TW 多语言 |
+
+---
+
+## 二、高优先级问题清单（按紧急程度排序）
+
+### P0 - 阻塞性/安全性问题
+
+#### 问题 1：缺少安全响应头（CSP / X-Frame-Options / X-Content-Type-Options）
+
+**场景**：当前 HTML 响应头中未设置任何安全策略头，站点对所有浏览器默认攻击面完全暴露。
+
+**影响范围**：全局，所有页面。
+
+**根因**：`layout/_partial/head.ejs` 模板中没有添加安全头部，`vercel.json` 也仅配置了缓存策略。
+
+**修复方向**：
+1. 在 `layout/_partial/head.ejs` 中添加 `<meta http-equiv>` 级别的基础安全策略（作为最低保障）
+2. 在 `vercel.json` 中添加 `Content-Security-Policy`、`X-Frame-Options: DENY`、`X-Content-Type-Options: nosniff` 响应头
+
+**复杂度**：低 | **建议时间**：1 周内
+
+---
+
+#### 问题 2：Tag 插件存在 XSS 注入风险
+
+**场景**：多个 tag 插件在渲染用户可控内容（`alt`、`title`、`url` 参数）时直接拼接到 HTML 属性中，未做转义处理。
+
+**影响范围**：所有使用 tag 插件的页面。若结合友链等用户贡献内容存在被注入风险。
+
+**具体位置**：
+
+| 文件 | 行号 | 风险参数 |
+|------|------|----------|
+| `scripts/tags/lib/image.js` | L45 | `alt` 直接拼接 |
+| `scripts/tags/lib/frame.js` | L61 | `alt` 直接拼接 |
+| `scripts/tags/lib/folding.js` | L23 | `title` 通过 markdown 渲染但未过滤 HTML 标签 |
+| `scripts/tags/lib/link.js` | L52 | `title` 直接拼接 |
+
+**修复方向**：对所有用户可控的输出进行 `escape_html` 或等效转义处理后再嵌入 HTML。
+
+**复杂度**：中 | **建议时间**：2 周内
+
+---
+
+#### 问题 3：`glob` 依赖未声明导致构建可能失败
+
+**场景**：`scripts/events/lib/get_image_ratios.js` L3 中 `require('glob')` 引入了 `glob` 包，但该包未在主题 `package.json` 或站点 `package.json` 中声明为依赖。当前能运行是因为 `gulp` 的传递依赖中存在 glob，但这是一个脆弱的巧合。
+
+**影响范围**：启用 `lazyload.fix_ratio` 功能的 `hexo server` 模式。在全新 `npm install --production` 环境下必然失败。
+
+**修复方向**：在 `themes/stellar/package.json` 的 `dependencies` 中添加 `"glob": "^10.x"`。
+
+**复杂度**：低 | **建议时间**：1 周内
+
+---
+
+### P1 - 严重影响可用性
+
+#### 问题 4：GitHub Actions 使用已弃用的 Node 16 actions
+
+**场景**：`.github/workflows/auto-deploy.yml` 中 `actions/checkout@v3` (L15) 和 `peaceiris/actions-gh-pages@v3` (L29) 均依赖 Node.js 16，GitHub 已宣布逐步弃用。
+
+**影响范围**：CI 自动部署流程将中断。
+
+**修复方向**：升级 `actions/checkout@v4` 和 `peaceiris/actions-gh-pages@v4`。
+
+**复杂度**：低 | **建议时间**：1 周内
+
+---
+
+#### 问题 5：`document.execCommand("Copy")` 已弃用
+
+**场景**：`source/js/main.js` L40 中使用 `document.execCommand("Copy")` 实现复制功能，该 API 已被 W3C 标记为废弃，主流浏览器未来版本将移除。
+
+**影响范围**：所有页面的「复制代码」功能。
+
+**修复方向**：迁移到 `navigator.clipboard.writeText()` API。
+
+**复杂度**：低 | **建议时间**：2 周内
+
+---
+
+#### 问题 6：构建后缺少 JS/CSS 压缩步骤
+
+**场景**：CI 流水线（`.github/workflows/auto-deploy.yml`）仅执行 `hexo generate`，未运行 gulpfile 中的 JS/CSS/HTML 压缩任务。而 `gulpfile.js` 配置了完整的压缩流程（babel + terser + cleanCSS + htmlmin）。
+
+**影响范围**：生产环境部署的静态资源未经压缩，JS 文件体积较大，直接影响首屏加载速度。
+
+**修复方向**：在 CI 的 "Generate Public Files" 步骤后、部署前添加 `npx gulp minify`。
+
+**复杂度**：低 | **建议时间**：1 周内
+
+---
+
+#### 问题 7：首屏加载阻塞 — jQuery 和 Marked 同步加载
+
+**场景**：CSS 采用同步 `<link>` 加载（`layout/_partial/head.ejs` L190），jQuery（3.7）和 Marked（13.0）虽然以 `defer` 方式加载（`layout/_partial/scripts.ejs` L25），但 CSS 阻塞渲染的问题仍然存在，且大量 CDN 依赖增加了网络往返次数。
+
+**影响范围**：首屏加载时间可能超过 3 秒（尤其在 CDN 网络抖动时）。
+
+**修复方向**：
+1. 将非首屏必需的 CSS 延迟加载
+2. 考虑将核心 CSS 内联到 `<head>` 中
+3. 为 CDN 资源添加 `dns-prefetch`（已部分实现 preconnect）
+
+**复杂度**：中 | **建议时间**：1 个月内
+
+---
+
+### P2 - 阻碍主题迭代
+
+#### 问题 8：无测试覆盖
+
+**场景**：主题 `package.json` 中 `"test": "echo test"`，零测试覆盖。tag 插件多达 40+ 个，任何修改都可能引入回归。
+
+**影响范围**：主题维护效率低，发布后经常出现回归问题。
+
+**修复方向**：至少为核心 tag 插件、配置合并逻辑、URL 生成逻辑添加单元测试。推荐使用 mocha + chai。
+
+**复杂度**：高 | **建议时间**：3 个月内逐步覆盖
+
+---
+
+#### 问题 9：大型内联 SVG 造成代码膨胀
+
+**场景**：`scripts/tags/lib/chat.js` 文件 ~517 行中包含大量内联 SVG 数据（浏览器图标 ~10 个、文件类型图标 ~15 个），使得 tag 插件脚本体积显著增大。
+
+**影响范围**：每次 hexo generate 时都会加载这些数据到内存，构建性能受影响。
+
+**修复方向**：将 SVG 数据外置到独立 JSON/YAML 文件，通过 `require` 引用。
+
+**复杂度**：低 | **建议时间**：1 个月内
+
+---
+
+#### 问题 10：主题内 `hexo-fs` 依赖未声明且未使用
+
+**场景**：`scripts/filters/lib/img_onerror.js` L8 中 `const fs = require('hexo-fs')` 声明了变量但未实际使用（该函数只用到 `this.theme.config.default.image`）。
+
+**影响范围**：轻微性能影响，且若 `hexo-fs` 在未来版本中行为变化可能引入问题。
+
+**修复方向**：移除未使用的 `require('hexo-fs')`。
+
+**复杂度**：低 | **建议时间**：1 周内
+
+---
+
+### P3 - 生产环境潜在风险
+
+#### 问题 11：无站点监控/告警机制
+
+**场景**：当前仅靠 GitHub Actions 构建成功后 curl 触发服务器更新。无任何可用性监控、无错误追踪、无流量异常告警。
+
+**影响范围**：站点故障时依赖用户反馈，恢复时间不可控。
+
+**修复方向**：接入 UptimeRobot 或类似免费监控服务，配置宕机告警。
+
+**复杂度**：低 | **建议时间**：2 周内
+
+---
+
+#### 问题 12：`hexo-all-minifier` 安装但未启用
+
+**场景**：站点 `package.json` 中安装了 `hexo-all-minifier`，但 `_config.yml` 中 `all_minifier: false`。如果意外启用，可能和 gulp 压缩产生冲突。
+
+**修复方向**：若已使用 gulp 替代，应移除该依赖。
+
+**复杂度**：低 | **建议时间**：按需
+
+---
+
+## 三、快速修复建议（按工作量排序）
+
+| # | 问题 | 工作量 |
+|---|------|--------|
+| 1 | 移除 `img_onerror.js` 中未使用的 `hexo-fs` require | 5 min ~~已修复~~ |
+| 2 | 添加 `glob` 到 theme package.json dependencies | 5 min ~~已修复~~ |
+| 3 | 添加安全响应头 (vercel.json) | 15 min ~~已修复~~ |
+| 4 | 升级 GitHub Actions (`checkout@v4`, `gh-pages@v4`) | 5 min ~~已修复~~ |
+| 5 | 替换 `execCommand` 为 `navigator.clipboard` | 30 min ~~已修复~~ |
+| 6 | CI 中加入 `npx gulp minify` 步骤 | 10 min ~~已修复~~ |
+| 7 | Tag 插件 HTML 转义修复 | 2-4 h ~~已修复~~ |
+
+---
+
+## 四、主题 Stellar 后续核心优化方向
+
+| 方向 | 说明 | 优先级 |
+|------|------|--------|
+| **安全加固** | 添加 CSP 头、全量审查 tag 插件 HTML 输出转义 | 高 |
+| **性能优化** | CDN 依赖瘦身、CSS/JS 代码分割、字体子集化 | 高 |
+| **测试覆盖** | 建立 CI 测试流水线、核心功能回归测试 | 高 |
+| **Hexo 7+ 适配** | 验证所有 API 在 Hexo 7.x 下的兼容性 | 中 |
+| **PJAX 稳定化** | 完成 pjax 模式的兼容性修复并正式发布 | 中 |
+| **TypeScript 迁移** | 将 scripts/ 下 JS 逐步迁移到 TS，提升可维护性 | 低 |
+| **无障碍 (a11y)** | 检查 ARIA 标签、键盘导航支持 | 低 |
+
+---
+
+## 五、技术栈与依赖清单
+
+### 站点 package.json
+
+| 依赖 | 版本 | 用途 |
+|------|------|------|
+| hexo | ^7.0.0 | 静态站点生成器 |
+| hexo-all-minifier | ^0.5.7 | 资源压缩（未启用） |
+| hexo-autonofollow | ^1.0.1 | 外链 nofollow |
+| hexo-deployer-git | ^4.0.0 | Git 部署 |
+| hexo-generator-feed | ^3.0.0 | RSS/Atom Feed |
+| hexo-generator-seo-friendly-sitemap | ^0.2.1 | SEO 站点地图 |
+| hexo-renderer-ejs | ^2.0.0 | EJS 渲染器 |
+| hexo-renderer-marked | ^6.2.0 | Markdown 渲染器 |
+| hexo-renderer-stylus | ^3.0.1 | Stylus CSS 预处理器 |
+
+### 主题 package.json
+
+| 依赖 | 版本 | 用途 |
+|------|------|------|
+| cheerio | ^1.1.0 | HTML 解析 |
+| hexo-renderer-ejs | ^2.0.0 | EJS 渲染 |
+| hexo-renderer-stylus | ^3.0.1 | Stylus 渲染 |
+| probe-image-size | ^7.2.3 | 图片尺寸探测 |
+| glob（缺失） | - | 文件匹配（get_image_ratios.js） |
+
+### 部署架构
+
+```
+GitHub Push → GitHub Actions (auto-deploy.yml)
+  ├─ checkout + submodules
+  ├─ npm i + hexo generate
+  ├─ deploy to gh-pages (peaceiris/actions-gh-pages)
+  └─ curl hook → 服务器 pull 更新
+```
+
+### CDN 资源依赖
+
+| 资源 | CDN |
+|------|-----|
+| jQuery 3.7 | gcore.jsdelivr.net |
+| Marked 13.0 | gcore.jsdelivr.net |
+| Vanilla Lazyload 19.1 | gcore.jsdelivr.net |
+| Fancybox UI 5.0 | gcore.jsdelivr.net |
+| Swiper 10.3 | unpkg.com |
+| KaTeX 0.16.23 | cdn.jsdelivr.net |
+| MathJax 2.7.6 | cdnjs.cloudflare.com |
+| Mermaid v9 | gcore.jsdelivr.net |
+| Flying Pages 2 | gcore.jsdelivr.net |
+| Highlight.js 11.9 | gcore.jsdelivr.net |
+
+---
+
+*报告生成时间：2026-08-08 | 分析工具：人工代码审查 + npm audit*