全面审查优化: 43项修复（安全/性能/可靠性）+ 文档更新

🔴 P0 安全: .env入gitignore, CSP/HSTS, Logo安全(5MB限制+SVG消毒+SHA256), middleware权限收紧(VIP不能访问admin), 发布去重, GitHub认证, 删除危险API, skill-discoverer绕过审核修复, prisma默认连接修复
🔴 P0 可靠性: deepseek/github超时重试, 脚本层DeepSeek保护, 脚本启动验证, OAuth竞态修复
🔴 P0 性能: skill-discoverer N+1优化(↓94%), 后台API分页限制, getUserStats聚合优化
🟡 P1: 分类动态加载, 星级字段统一, fetch-logos并发Bug修复, 批量发布冲突不删除, check-tools重试, 前端空指针修复(13处), logo-fetcher日志, rate-limit清理, 公开API缓存

.trae/rules/project_rules.md

@@ -8,7 +8,7 @@
 
 ## 服务器与基础设施
 - **域名**: www.zhuig.com (HTTPS，SSL证书自动续期)
-- **云服务器**: 119.45.242.239 (登录名: ubuntu, 密钥: E:\ZG_Dev\pem\zg.pem)
+- **云服务器**: 119.45.242.239 (登录名: **ubuntu**, 密钥: `Pem/zg.pem`)
 - **数据库**: 阿里云RDS MySQL — rm-0jlbgr2rv6dj3t6jngo.mysql.rds.aliyuncs.com:3306
 - **Redis**: 云服务器上已有(Docker容器redis-cache:6379)，与其他项目共用，有密码认证
 - **本地Git同步目录**: K:\git-repos
@@ -16,6 +16,9 @@
 - **部署目录**: /home/ubuntu/zhuiguang-ai
 - **访问地址**: https://www.zhuig.com (HTTP自动跳转HTTPS)
 - **注意事项**: 服务器有其他应用运行，部署时不可占用非8301-8310端口，不可影响其他服务
+- **SSH连接示例**: `ssh -i "Pem/zg.pem" ubuntu@119.45.242.239`
+- **PM2管理**: `pm2 list` / `pm2 restart zhuiguang-ai` / `pm2 save`
+- **其他应用**: agent-system, nacos, zhuiguang-quant (部署时请勿影响)
 
 ## 技术栈
 - Next.js 14 (App Router) + TypeScript
@@ -60,8 +63,8 @@
 - 批量操作: body中传 `ids` 数组
 
 ## 页面路由
-- 前台: `/`, `/tools`, `/tools/[slug]`, `/categories/[slug]`, `/skills`, `/skills/[slug]`, `/login`, `/user`, `/user/favorites`
-- 后台: `/admin/login`, `/admin/pending`, `/admin/pending-skills`, `/admin/tools`, `/admin/skills`, `/admin/categories`, `/admin/skill-categories`, `/admin/discover-tools`, `/admin/check-tools`, `/admin/discover-skills`, `/admin/update-skills`, `/admin/discover-news`, `/admin/system-config`
+- 前台: `/`, `/tools`, `/tools/[slug]`, `/categories/[slug]`, `/skills`, `/skills/[slug]`, `/login`, `/user`, `/user/favorites`, `/user/[id]`(会员空间), `/user/collections`, `/daily`, `/reviews`, `/community`, `/community/[category]`, `/community/topic/[id]`
+- 后台: `/admin/login`, `/admin/pending`, `/admin/pending-skills`, `/admin/tools`, `/admin/skills`, `/admin/categories`, `/admin/skill-categories`, `/admin/discover-tools`, `/admin/check-tools`, `/admin/discover-skills`, `/admin/update-skills`, `/admin/discover-news`, `/admin/system-config`, `/admin/tasks`, `/admin/tasks/logs`, `/admin/tasks/[taskKey]`, `/admin/reviews`
 
 ## 五大操作指令
 
@@ -169,3 +172,19 @@
 - Chart.js组件需用dynamic import + ssr: false，不支持服务端渲染
 - Prisma 7.8需通过PrismaMariaDb适配器初始化，不能直接new PrismaClient()
 - 服务器环境SSL证书问题: 运行脚本需设置$env:NODE_TLS_REJECT_UNAUTHORIZED="0"
+
+### 6. 安全原则
+- 敏感信息（密钥、密码、Token）必须使用环境变量，禁止硬编码
+- `.env` 文件已被加入 `.gitignore`，仅 `.env.example` 模板可提交
+- HTTP 响应必须包含安全头：CSP、HSTS、X-Content-Type-Options、X-Frame-Options
+- 文件上传/下载必须限制大小（最大 5MB）和类型，SVG 内容需消毒 script/iframe/on-event 标签
+- Logo 文件名使用 SHA256 哈希（不使用 MD5）
+- VIP 用户不能访问管理后台（/admin/* 和 /api/admin/*）
+
+### 7. 可靠性原则
+- 所有外部 API 调用（GitHub、DeepSeek 等）必须设置超时和重试
+- OpenAI/DeepSeek 客户端配置：`timeout: 120000`, `maxRetries: 2`
+- Octokit 配置：`request.timeout: 30000`，配合 withRetry 指数退避重试
+- 定时脚本启动时必须验证必需环境变量（DEEPSEEK_API_KEY、DATABASE_URL）
+- DeepSeek 模型名使用环境变量 `DEEPSEEK_MODEL`（默认 `deepseek-v4-pro`）
+- OAuth 用户创建需处理 P2002 唯一约束冲突竞态