本文由 FlintHub 开发文档归档发布。原始文档日期见标题前缀，来源：暂存20260913/plugins_audit_report.md。

插件代码审计报告

审计日期：2026-08-26

审计范围：d:\phpstudy_pro\WWW\plugins\ 下所有插件的 views/ 和 hook/ 文件

检查项：7类问题（内联CSS/JS、硬编码URL、缺少$this->e()、非法icon名、语言key格式、缺失lang文件、资源URL缺少filemtime）

1. content_review

文件：

• views/admin.php
• hook/layout_head_end.php

问题：

2. seo

文件：

• views/admin.php

问题：

3. friend_links

文件：

• views/admin.php

问题：

4. daily_checkin

文件：

• views/index.php
• hook/nav_plugin_links.php
• hook/nav_main_links.php

问题：

5. red_packet

文件：

• views/index.php
• views/detail.php

问题：

6. dice

文件：

• DiceController.php
• hook/nav_plugin_links.php
• views/index.php

问题：

注：views/index.php 中资源URL已正确使用 $this->url() + filemtime，表现良好。

7. quiz_duel

文件：

• views/index.php
• views/my.php
• views/detail.php
• views/create.php
• hook/right_sidebar_after.php

问题：

8. notifications

文件：

• hook/nav_user_menu_items.php
• hook/nav_pc_user_links.php

问题：

9. medal

文件：

• hook/nav_plugin_links.php
• views/admin.php

问题：

10. ai_assistant

文件：

• views/admin.php

问题：

11. user_profile

文件：

• views/front.php

问题：

12. mod_system

文件：

• views/_reports_panel.php
• views/_config_panel.php

问题：

13. invite

文件：

• views/index.php

问题：

各插件合规情况汇总

良好示例（供参考）

以下插件的代码实现符合规范，可作为其他插件的参考：

修复优先级建议

高优先级（安全风险）：

1. mod_system / invite / medal / user_profile — 缺少 $this->e() 转义，存在XSS风险
2. ai_assistant — 非法icon名称导致图标不显示

中优先级（功能兼容性）：

1. 所有插件的硬编码 /plugins/xxx/ URL — 影响子目录部署（BASE_PATH场景）
2. content_review / dice — 内联JS应移至 assets/ 目录

低优先级（规范性）：

1. 所有缺少 filemtime 版本参数的资源URL — 影响浏览器缓存更新
2. seo / friend_links / daily_checkin / red_packet / quiz_duel / notifications — 仅硬编码URL问题