发现的问题（已去除）：
远程授权后门：themes/vic/license/ 整个模块，通过 eval + base64 + XOR 混淆执行代码，连接远程授权站 shouquan.dajuyun.com 校验，未授权直接 403 封站——这就是典型的“远程代码”
SysClient 心跳上报：每 5 分钟向管理中心上报域名，可被远程下发关站/维护指令
应用市场：后台连接远程管理中心下载/购买应用
VIC 博客全新版本｜底层优化｜含新主题 + 新插件
本次更新包含全新 Vic 主题开发、内核模块新增、存量代码改造，核心为安全体系重构 + 功能扩展。
内核新增模块
投票、短代码、封面占位、AI 问答、腾讯云 TTS、极验插件、前端模块包
安全加固（本次核心改动，修复原版薄弱安全机制）
重装劫持漏洞修复 原版判断逻辑：includes/common.php 判断配置文件、安装锁文件是否存在；锁文件丢失就会回到安装页。 新版规则：以 config.php 是否存在作为站点已安装唯一判定；锁文件丢失自动重建；拦截 install 目录访问，附带 Nginx 兜底禁止访问规则。
验证码防爆破 + 防重放改造 服务端不存储验证码明文，只存加盐 HMAC 摘要；Token 一次性生效，15 分钟过期；连续错误 3 次直接销毁 Token。
开放重定向漏洞修复 & 限流重构 增加 safe_redirect_url 跳转校验，只允许站内跳转，拦截钓鱼跳转； 限流改用 IP 文件锁计数；区分可信 IP 与展示 IP，抵御 XFF 伪造绕过。
响应头、日志、目录防护优化 统一封装 set_content_type，新增 CSP、Permissions-Policy 安全响应头； robots.txt 隐藏敏感目录，补充 htaccess 目录防护； 捕获 Throwable 全局异常，新增 security_log 安全审计日志。
新增功能模块
投票子系统：3 张数据表实现一人一票，短代码调用，列表页自动清理短代码
封面占位：无封面文章自动生成占位图，支持懒加载
AI 模块升级：文章内容问答、腾讯云 TTS 文章朗读 + 缓存
极验 4.0 插件：登录 / 注册 / 评论可独立开关，修复嵌入式交互漏洞
