[nb_avatar]NB头像生成热

🔍 插件审查报告（对照《AI 开发规则》与开发者文档）

🔒 安全问题

未发现明显问题。鉴权/CSRF:nb_avatar_action(plugin.php:1863-1888) need_login+require_post;nb_avatar_admin_action(1890-1906) need_admin+require_post;均经核心 check() 的 _csrf 校验,只操作 uid(),无 IDOR。头像路由 nb_avatar_avatar(1777-1818):v 限 ^[0-9a-f]{20}$ 且 hash_equals 文件 SHA256 前 20 位(1781-1794);落盘解密校验 magic/nonce/secretbox(1312-1326);响应头 CSP sandbox+nosniff+X-Frame-Options DENY(1803-1808)。路径不可穿越:目录/文件名由 int uid 经 sha256+2 位分片生成(1281-1295)。SVG 白名单消毒(1478-1499)、颜色校验(1454)、禁外部引用;动态输出全部 h()。site.closed_allow 仅放行 nb_avatar_avatar(1820-1823),范围合理。小瑕疵:content.before_delete(1853-1861) 在核心 tx() 内删文件,unlink 失败会连带回滚用户删除(index.php:2571-2585)。

⚡ 性能问题

• 注册同步生成头像(1833):每次约 10 次 DOM 解析+gzdecode+sodium+落盘,拖慢注册。
• avatar.url 每次渲染首调 hash_file 全文件取版本(1328-1350),请求内缓存但无跨请求缓存,多用户列表页重复读文件;无 DB 查询/N+1。
• backfill 限量 50/批、游标单查询无 N+1(46、1623-1626),但单次 POST 同步生成 50 个(1642)可能超时。

🐛 功能/规范缺陷

• 标记碰撞:marker_seed 仅 dylan 的 1..48(1352-1360),核心把空 style/seed 归一化为 dylan+uid 派生 seed(index.php:1745-1746),故「标记」对所有默认用户恒真,仅靠文件存在区分,脆弱。
• 覆盖自选头像:backfill(1620-1660)与注册(1829-1837)只查文件(1637),不查已有 avatar_style/seed,mark_user(1592-1596)会把自选像素风等改成 dylan+标记。
• 跨插件 function_exists('avatar_upload_profile_html')(1910) 依赖另一插件,违反「插件间不互相调用」。
• 76 个素材以 base64+gzip var_export 内联(1167-1248),无再生成脚本,上游更新维护成本高。
• 删除/卸载只清文件,遗留空分片目录(1712-1721)。

(授权完整:MIT 全文 5-27、CC BY 4.0 署名+链接 29-33、commit 35、credits 路由 1925-1932、SVG metadata 1543;前缀/两参签名/assets/description/version 均合规。)

✅ 修复优先级

P1:生成/补生成前检查已有自选头像,避免覆盖(1620-1660、1829-1837);改用不可碰撞标记。P2:注册改懒生成/队列(1833);版本改 mtime+size 或 sidecar 缓存(1339)。P3:移除跨插件 function_exists 守卫(1910);补素材再生成脚本;按需调小 backfill 批次。