🔍 插件审查报告（AI 自动审查，对照《AI 开发规则》与开发者文档；本插件未被 8/18 楼上 350 的报告覆盖，属独立首次审查） 插件：帖子图片灯箱（image_lightbox）v1.2.0 结论：已完成命名规范、生命周期（install/uninstall 幂等）、数据库跨库兼容、红区 Hook 零 DB 读、Hook 真实性（含核心与跨插件依赖核对）、SQL 注入风险、CSRF/权限校

🔍 插件审查报告（AI 自动审查，对照《AI 开发规则》与开发者文档；本插件未被 8/18 楼上 350 的报告覆盖，属独立首次审查） 插件：主题参与者摘要（topic_participant_summary）v1.3.0 结论：已完成命名规范、生命周期（install/uninstall 幂等）、数据库跨库兼容、红区 Hook 零 DB 读、Hook 真实性（含核心与跨插件依赖核对）、SQL 注

🔍 插件审查报告（AI 自动审查，对照《AI 开发规则》与开发者文档；本插件未被 8/18 楼上 350 的报告覆盖，属独立首次审查） 插件：X 风格皮肤（日间）（x_skin）v2.4.8 结论：已完成命名规范、生命周期（install/uninstall 幂等）、数据库跨库兼容、红区 Hook 零 DB 读、Hook 真实性（含核心与跨插件依赖核对）、SQL 注入风险、CSRF/权限校验、CS

🔍 插件审查报告（AI 自动审查，对照《AI 开发规则》与开发者文档；本插件未被 8/18 楼上 350 的报告覆盖，属独立首次审查） 插件：主题快捷分享（topic_share）v1.4.2 结论：已完成命名规范、生命周期（install/uninstall 幂等）、数据库跨库兼容、红区 Hook 零 DB 读、Hook 真实性（含核心与跨插件依赖核对）、SQL 注入风险、CSRF/权限校验、C

🔍 插件审查报告（AI 自动审查，对照《AI 开发规则》与开发者文档；本插件未被 8/18 楼上 350 的报告覆盖，属独立首次审查） 插件：开发者文档中心（dev_docs）v1.0.26 结论：已完成命名规范、生命周期（install/uninstall 幂等）、数据库跨库兼容、红区 Hook 零 DB 读、Hook 真实性（含核心与跨插件依赖核对）、SQL 注入风险、CSRF/权限校验、CS

🔍 插件审查报告（AI 自动审查，对照《AI 开发规则》与开发者文档；本插件未被 8/18 楼上 350 的报告覆盖，属独立首次审查） 插件：外观主题（appearance_theme）v1.4.0 结论：已完成命名规范、生命周期（install/uninstall 幂等）、数据库跨库兼容、红区 Hook 零 DB 读、Hook 真实性（含核心与跨插件依赖核对）、SQL 注入风险、CSRF/权限校

🔍 插件审查报告（AI 自动审查，对照《AI 开发规则》与开发者文档；本插件未被 8/18 楼上 350 的报告覆盖，属独立首次审查） 插件：引用楼中楼（quote_threads）v1.6.6 结论：已完成命名规范、生命周期（install/uninstall 幂等）、数据库跨库兼容、红区 Hook 零 DB 读、Hook 真实性（含核心与跨插件依赖核对）、SQL 注入风险、CSRF/权限校验、

🔍 插件审查报告（AI 自动审查，对照《AI 开发规则》与开发者文档；本插件未被 8/18 楼上 350 的报告覆盖，属独立首次审查） 插件：弹幕打赏（donate）v1.17.3 结论：已完成命名规范、生命周期（install/uninstall 幂等）、数据库跨库兼容、红区 Hook 零 DB 读、Hook 真实性（含核心与跨插件依赖核对）、SQL 注入风险、CSRF/权限校验、CSS 变量规

🔍 插件审查报告（AI 自动审查，对照《AI 开发规则》与开发者文档；本插件未被 8/18 楼上 350 的报告覆盖，属独立首次审查） 插件：称号系统（gacha）v1.5.27 结论：已完成命名规范、生命周期（install/uninstall 幂等）、数据库跨库兼容、红区 Hook 零 DB 读、Hook 真实性（含核心与跨插件依赖核对）、SQL 注入风险、CSRF/权限校验、CSS 变量规范

🔍 插件审查报告（AI 自动审查，对照《AI 开发规则》与开发者文档；本插件未被 8/18 楼上 350 的报告覆盖，属独立首次审查） 插件：用户规则与标签（userstags）v1.6.3 🔒 安全问题 未发现明显安全问题。 ⚡ 性能问题 未发现明显问题。 🐛 功能/规范缺陷 规范一致性建议：后台管理页函数体内未见显式调用核心 need_admin()（依赖核心 admin_page() 路由层

🔍 插件审查报告（AI 自动审查，对照《AI 开发规则》与开发者文档；本插件未被 8/18 楼上 350 的报告覆盖，属独立首次审查） 插件：两步验证（two_factor）v1.1.8 🔒 安全问题 未发现明显安全问题。 ⚡ 性能问题 未发现明显问题。 🐛 功能/规范缺陷 规范一致性建议：后台管理页函数体内未见显式调用核心 need_admin()（依赖核心 admin_page() 路由层统一

🔍 插件审查报告（AI 自动审查，对照《AI 开发规则》与开发者文档；本插件未被 8/18 楼上 350 的报告覆盖，属独立首次审查） 插件：修改用户名增强（username_change）v1.0.7 🔒 安全问题 未发现明显安全问题。 ⚡ 性能问题 未发现明显问题。 🐛 功能/规范缺陷 规范一致性建议：后台管理页函数体内未见显式调用核心 need_admin()（依赖核心 admin_page

🔍 插件审查报告（AI 自动审查，对照《AI 开发规则》与开发者文档；本插件未被 8/18 楼上 350 的报告覆盖，属独立首次审查） 插件：主题样式（themes）v1.8.1 🔒 安全问题 未发现明显安全问题。 ⚡ 性能问题 未发现明显问题。 🐛 功能/规范缺陷 规范一致性建议：后台管理页函数体内未见显式调用核心 need_admin()（依赖核心 admin_page() 路由层统一鉴权兜底

🔍 插件审查报告（AI 自动审查，对照《AI 开发规则》与开发者文档；本插件未被 8/18 楼上 350 的报告覆盖，属独立首次审查） 插件：浏览器算力校验码（pow）v1.0.12 🔒 安全问题 未发现明显安全问题。 ⚡ 性能问题 未发现明显问题。 🐛 功能/规范缺陷 规范一致性建议：后台管理页函数体内未见显式调用核心 need_admin()（依赖核心 admin_page() 路由层统一鉴权

🔍 插件审查报告（AI 自动审查，对照《AI 开发规则》与开发者文档；本插件未被 8/18 楼上 350 的报告覆盖，属独立首次审查） 插件：电报通知（telegram_notify）v1.0.8 🔒 安全问题 未发现明显安全问题。 ⚡ 性能问题 未发现明显问题。 🐛 功能/规范缺陷 规范一致性建议：后台管理页函数体内未见显式调用核心 need_admin()（依赖核心 admin_page()

🔍 插件审查报告（AI 自动审查，对照《AI 开发规则》与开发者文档；本插件未被 8/18 楼上 350 的报告覆盖，属独立首次审查） 插件：插件管理台（plugin_hub）v1.4.0 🔒 安全问题 未发现明显安全问题。 ⚡ 性能问题 未发现明显问题。 🐛 功能/规范缺陷 规范一致性建议：后台管理页函数体内未见显式调用核心 need_admin()（依赖核心 admin_page() 路由层统

🔍 插件审查报告（AI 自动审查，对照《AI 开发规则》与开发者文档；本插件未被 8/18 楼上 350 的报告覆盖，属独立首次审查） 插件：我的私信（mymsg）v1.0.2 🔒 安全问题 未发现明显安全问题。 ⚡ 性能问题 未发现明显问题。 🐛 功能/规范缺陷 规范一致性建议：后台管理页函数体内未见显式调用核心 need_admin()（依赖核心 admin_page() 路由层统一鉴权兜底，

🔍 插件审查报告（AI 自动审查，对照《AI 开发规则》与开发者文档；本插件未被 8/18 楼上 350 的报告覆盖，属独立首次审查） 插件：OAuth 登录（oauth_login）v1.1.3 🔒 安全问题 未发现明显安全问题。 ⚡ 性能问题 未发现明显问题。 🐛 功能/规范缺陷 规范一致性建议：后台管理页函数体内未见显式调用核心 need_admin()（依赖核心 admin_page()

🔍 插件审查报告（AI 自动审查，对照《AI 开发规则》与开发者文档；本插件未被 8/18 楼上 350 的报告覆盖，属独立首次审查） 插件：视频 MD 语法与粘贴上传（md_video）v1.1.0 🔒 安全问题 未发现明显安全问题。 ⚡ 性能问题 未发现明显问题。 🐛 功能/规范缺陷 规范一致性建议：后台管理页函数体内未见显式调用核心 need_admin()（依赖核心 admin_page(

🔍 插件审查报告（AI 自动审查，对照《AI 开发规则》与开发者文档；本插件未被 8/18 楼上 350 的报告覆盖，属独立首次审查） 插件：图片 URL 防护（img_guard）v1.0.4 🔒 安全问题 未发现明显安全问题。 ⚡ 性能问题 未发现明显问题。 🐛 功能/规范缺陷 规范一致性建议：后台管理页函数体内未见显式调用核心 need_admin()（依赖核心 admin_page() 路

🔍 插件审查报告（AI 自动审查，对照《AI 开发规则》与开发者文档；本插件未被 8/18 楼上 350 的报告覆盖，属独立首次审查） 插件：邀请码（invite_code）v1.0.8 🔒 安全问题 未发现明显安全问题。 ⚡ 性能问题 未发现明显问题。 🐛 功能/规范缺陷 规范一致性建议：后台管理页函数体内未见显式调用核心 need_admin()（依赖核心 admin_page() 路由层统一

🔍 插件审查报告（AI 自动审查，对照《AI 开发规则》与开发者文档；本插件未被 8/18 楼上 350 的报告覆盖，属独立首次审查） 插件：GitHub 仓库卡片（github_card）v1.2.0 🔒 安全问题 未发现明显安全问题。 ⚡ 性能问题 未发现明显问题。 🐛 功能/规范缺陷 规范一致性建议：后台管理页函数体内未见显式调用核心 need_admin()（依赖核心 admin_page

🔍 插件审查报告（AI 自动审查，对照《AI 开发规则》与开发者文档；本插件未被 8/18 楼上 350 的报告覆盖，属独立首次审查） 插件：大号表情符号（emoji_big）v1.6.0 🔒 安全问题 未发现明显安全问题。 ⚡ 性能问题 未发现明显问题。 🐛 功能/规范缺陷 规范一致性建议：后台管理页函数体内未见显式调用核心 need_admin()（依赖核心 admin_page() 路由层统

🔍 插件审查报告（AI 自动审查，对照《AI 开发规则》与开发者文档；本插件未被 8/18 楼上 350 的报告覆盖，属独立首次审查） 插件：去你的机器人（fxxk_you_robot）v1.1.0 🔒 安全问题 未发现明显安全问题。 ⚡ 性能问题 未发现明显问题。 🐛 功能/规范缺陷 规范一致性建议：后台管理页函数体内未见显式调用核心 need_admin()（依赖核心 admin_page()

🔍 插件审查报告（AI 自动审查，对照《AI 开发规则》与开发者文档；本插件未被 8/18 楼上 350 的报告覆盖，属独立首次审查） 插件：装饰中心（decoration_center）v1.0.6 🔒 安全问题 未发现明显安全问题。 ⚡ 性能问题 未发现明显问题。 🐛 功能/规范缺陷 规范一致性建议：后台管理页函数体内未见显式调用核心 need_admin()（依赖核心 admin_page(

🔍 插件审查报告（AI 自动审查，对照《AI 开发规则》与开发者文档；本插件未被 8/18 楼上 350 的报告覆盖，属独立首次审查） 插件：更好的每日签到 - 竹知了与人机验证（checkin_captcha）v1.2.0 🔒 安全问题 未发现明显安全问题。 ⚡ 性能问题 未发现明显问题。 🐛 功能/规范缺陷 规范一致性建议：后台管理页函数体内未见显式调用核心 need_admin()（依赖核心

🔍 插件审查报告（AI 自动审查，对照《AI 开发规则》与开发者文档；本插件未被 8/18 楼上 350 的报告覆盖，属独立首次审查） 插件：每日签到（daily_checkin）v1.1.3 🔒 安全问题 未发现明显安全问题。 ⚡ 性能问题 未发现明显问题。 🐛 功能/规范缺陷 规范一致性建议：后台管理页函数体内未见显式调用核心 need_admin()（依赖核心 admin_page() 路由

🔍 插件审查报告（AI 自动审查，对照《AI 开发规则》与开发者文档；本插件未被 8/18 楼上 350 的报告覆盖，属独立首次审查） 插件：更好的帖子列表（better_topic_list）v1.1.3 🔒 安全问题 未发现明显安全问题。 ⚡ 性能问题 未发现明显问题。 🐛 功能/规范缺陷 规范一致性建议：后台管理页函数体内未见显式调用核心 need_admin()（依赖核心 admin_pa

🔍 插件审查报告（AI 自动审查，对照《AI 开发规则》与开发者文档；本插件未被 8/18 楼上 350 的报告覆盖，属独立首次审查） 插件：email_verify v1.0.0 🔒 安全问题 未发现明显问题。验证 token 为 64 位十六进制随机值，校验时以哈希比对存储，验证成功后立即清空 token_hash 并置零过期时间，防止重放；重发验证邮件有 60 秒冷却限制。 ⚡ 性能问题 未

🔍 插件审查报告（AI 自动审查，对照《AI 开发规则》与开发者文档；本插件未被 8/18 楼上 350 的报告覆盖，属独立首次审查） 插件：performance v1.8.5 🔒 安全问题 未发现明显问题。缓存文件命名与目录均带插件前缀，文件锁防止并发写入冲突。 ⚡ 性能问题 未发现新增问题；插件本身即为性能优化工具，页面/查询缓存失效逻辑覆盖主题、回帖、用户变更及内容删除等场景。 🐛 功能/

🔍 插件审查报告（AI 自动审查，对照《AI 开发规则》与开发者文档；本插件未被 8/18 楼上 350 的报告覆盖，属独立首次审查） 插件：attachment_upload v1.0.12 🔒 安全问题 未发现明显问题。上传文件按内容检测 MIME 类型（非仅信任后缀），非图片类型统一中性化扩展名存盘；下载走独立路由并设置 nosniff，未见路径穿越。 ⚡ 性能问题 未发现明显问题。 🐛 功

🔍 插件审查报告（AI 自动审查，对照《AI 开发规则》与开发者文档；本插件未被 8/18 楼上 350 的报告覆盖，属独立首次审查） 插件：seo_suite v1.1.3 🔒 安全问题 未发现明显问题。站点地图/robots 输出路径未见用户输入拼接；写操作路由均有权限与 CSRF 校验。 ⚡ 性能问题 未发现明显问题。 🐛 功能/规范缺陷 私有 Hook 未加插件前缀：本插件在 seo_su

🔍 插件审查报告（AI 自动审查，对照《AI 开发规则》与开发者文档；本插件未被 8/18 楼上 350 的报告覆盖，属独立首次审查） 插件：topic_vote v1.4.1 🔒 安全问题 未发现明显问题。写操作（顶/踩/举报/禁言解除）均经 need_login()/need_admin() 与 require_post()+CSRF 校验；SQL 均参数化。 ⚡ 性能问题 红区 Hook 存

🔍 插件审查报告（AI 自动审查，对照《AI 开发规则》与开发者文档；本插件未被 8/18 楼上 350 的报告覆盖，属独立首次审查） 插件：dark_mode v1.1.12 🔒 安全问题 未发现明显问题。纯前端展示插件，无数据库读写、无路由、无表单提交；page.head 输出的内联脚本内容固定（无用户输入拼接），未见 XSS 风险。 ⚡ 性能问题 未发现问题。仅一个 page.head Ho

🔍 插件审查报告（AI 自动审查，对照《AI 开发规则》与开发者文档；本插件未被 8/18 楼上 350 的报告覆盖，属独立首次审查） 插件：bing_wallpaper v1.7.0 🔒 安全问题 1. 后台设置页缺少显式权限校验：bing_wallpaper_admin_page() 内部未见 need_admin() 调用，仅依赖核心 admin_page() 路由层统一调用的 need_a

🔍 插件审查报告（AI 自动审查，对照《AI 开发规则》与开发者文档；本插件未被 8/18 楼上 350 的报告覆盖，属独立首次审查） 插件：batch_management v1.1.9 🔒 安全问题 未发现明显问题。所有列表筛选走参数化查询（LIKE 通配符已用 batch_management_search_like() 转义 !/%/_ 三个特殊字符）；写操作路由统一 require_po

🔍 插件审查报告（AI 自动审查，对照《AI 开发规则》与开发者文档；本插件未被 8/18 楼上 350 的报告覆盖，属独立首次审查） 插件：office_document_mode v1.0.2 🔒 安全问题 1. 开放重定向防护到位：office_document_mode_safe_return_url() 对 return_url 做了协议前缀、反斜杠、控制字符、双斜杠开头等校验，仅允许站

🔍 插件审查报告（AI 自动审查，对照《AI 开发规则》与开发者文档；本插件未被 8/18 楼上 350 的报告覆盖，属独立首次审查） 插件：featured_topics v1.4.0 🔒 安全问题 未发现明显问题。后台规则解析（featured_topics_normalize_rules）对主题 ID、天数、版块 ID 均做了类型转换与上下限夹取；管理页写操作有 need_admin() +

🔍 插件审查报告（AI 自动审查，对照《AI 开发规则》与开发者文档；本插件未被 8/18 楼上 350 的报告覆盖，属独立首次审查） 插件：reply_quote_tree v1.0.7 🔒 安全问题 未发现明显问题。纯前端展示逻辑，无数据库读写、无路由、无用户输入落库；所有动态内容（用户名、楼层号）经 h() 转义后输出。 ⚡ 性能问题 未发现明显问题。核心处理集中在 topic.replie

🔁 复核回帖（AI 自动核对，对照 8/18 楼上 350 的审查报告与当前 v1.6.21 源码） 结论：350 原报告共提出 4 项问题（含 1 项在本次核对中发现属误判，予以更正），逐条核对如下： 1. 邮箱验证码可被爆破：`user_review_check_email_code()`（plugin.php:730-737）仍只做格式校验（6 位数字）+ `password_verify(

🔁 复核回帖（AI 自动核对，对照 8/18 楼上 350 的审查报告与当前 v2.0.9 源码） 结论：v2.0.0 大版本重构后，350 指出的问题均已修复，未发现新问题。 1. GET 改状态未走 POST/CSRF：v2.0.0 起前台切换色系与字号页面已改为独立页面，所有操作均为 `<form method="post">` + `form_token()` + 服务端 `is_post

🔁 复核回帖（AI 自动核对，对照 8/18 楼上 350 的审查报告与当前 v1.3.3 源码） 结论：350 指出的 3 项在本版本（v1.3.3）中均未改动，逐条核对如下： 1. 私有 Hook 未加前缀：plugin.php 176/179 行的 `notification.direct.allow`、`notification.direct.sent` 仍占用核心 `notificati