docs: v-html 红线细化（业务代码禁用+模板组件不喂访客数据）

Co-Authored-By: Claude Code <noreply@anthropic.com>
2026-09-15 17:38:09 +08:00
parent ab4f40ba5d
commit 3a1f0a0b19
1 changed files with 1 additions and 1 deletions
@@ -57,7 +57,7 @@ cms-cj/
 - **响应包**：所有 `/api/admin/*` 返回 `{code: 200, data: ..., message: "ok"}`（适配 Art Design Pro 拦截器默认约定）；错误 `code` 为业务码（401 未登录/403 无权/4xx 参数/500 内部）。
 - **时间**：全库 UTC 存储（`USE_TZ=True`），展示层按 `settings.TIME_ZONE='Asia/Shanghai'`。
 - **采集跨域**：SDK 用 `Content-Type: text/plain` 发 JSON（简单请求免预检），服务端用 `PlainJSONParser` 解析；`django-cors-headers` + 动态白名单（DB 中 Site.domain_whitelist，60s 缓存）回 `Access-Control-Allow-Origin`。
- **前端安全红线**：全项目禁用 `v-html`；访客来源数据（path/title/referrer/utm）不得直接绑定 `href/src`——如需渲染成链接，协议白名单仅 http/https（Vue 不拦截 `javascript:` URI）。
+- **前端安全红线**：**业务代码（views/tracker/**、api/**）禁用 v-html**；不得向模板内置 v-html 组件（ArtTextScroll/ThemeSvg/v-highlight）传访客来源数据；访客来源数据（path/title/referrer/utm）不得直接绑定 `href/src`——如需渲染成链接，协议白名单仅 http/https（Vue 不拦截 `javascript:` URI）。前端适配约定见 `admin/README-dev.md`（config-object 签名/URL 无 /api 前缀/Bearer 不手拼）。
 - **测试**：后端 `pytest`（SQLite 内存库，`pytest.ini` 指定 `--ds=config.settings_test`）；SDK `vitest` + happy-dom + fake timers。
 - **提交**：每任务一提交，`feat:/test:/chore:` 前缀。
 - **M1 明确不做**（防执行者自作主张加码）：SPA 路由、点击/滚动/表单/意图事件、客户(contact)体系、Redis、事件表分区迁移、npm 发布。