审计报告

date: 2026-08-29

category: 审计修复

source: 暂存20260913/插件模板内联审计报告.md

插件模板内联 CSS / JS 审计报告

审计日期：2026-08-29

审计范围：plugins//views/、plugins//hook/、插件根目录控制器/主类（含 Plugin.php）

审计方法：正则扫描视图/钩子/控制器中的 <style> 块、style="" 属性、<script> 块、on* 事件属性；排除 assets/（资源收敛目标）、data/、lang/、cli/ 目录

依据规范：《插件开发规范.md》第七节——插件样式/JS 零内联，CSS 收敛到插件自己的 assets/style.css，JS 收敛到 assets/script.js，禁止大段内联 <style>/<script>，不改核心 admin.css

一、总体统计

命中总数 85 = 高 9 + 高 9 + 中 39 + 合规 21 + 误报 1 + 其他未逐条展开的 src 引用。

二、🔴 内联 <script> 块（9 处，高优先级）

页面内直接输出 <script>...</script> 逻辑块，应收敛到插件 assets/script.js。

三、🔴 内联 on* 事件属性（9 处，高优先级）

HTML 属性中直接写 onclick/onchange，应改为 JS 端 addEventListener 绑定（同时规避 CSP 内联脚本限制）。

四、🟡 内联 style="" 属性（39 处，中优先级）

4.1 announcements（6 处）

4.2 content_review（6 处）

4.3 friend_links（6 处）

4.4 mod_system（5 处）

4.5 red_packet（4 处）

4.6 其他插件（12 处）

合规特例：medal/Plugin.php:425 的 style="--mn-medal-color:..." 是动态 CSS 变量注入，属规范认可做法，不计入违规。

五、误报说明（1 处）

六、🟢 合规实践（<script src> 外部引用，21+ 处）

以下插件的视图/钩子均通过 <script src=".../plugins/xxx/assets/script.js?v=filemtime"> 正确加载脚本，符合"JS 收敛到 assets/"规范，无需整改：

• ai_assistant：views/admin.php:579
• announcements：views/admin.php:144、hook/announcements_display.php:20
• code_audit：views/admin.php:91
• code_repo：views/file.php:37,39,42（highlight.js / marked 资源引用）
• forum_required_tag：views/admin.php:272、hook/layout_head_end.php:66
• friend_links：views/admin.php:227
• icon_generator：views/generator.php:274
• mod_system：views/_reports_panel.php:213、Plugin.php:249
• points_mall：views/admin.php:327、views/shop.php:83
• post_favorite：hook/layout_head_end.php:24
• quiz_duel：views/index.php:159
• red_packet：hook/thread_redpacket_area.php:73
• single_page：views/admin.php:152
• task_center：views/admin.php:194、views/index.php:73

七、整改建议与优先级

P0（高，安全 + 规范双重要求）

1. **消除全部 9 处内联 on* 事件属性**——改为 assets/script.js 内 addEventListener 绑定；onclick 场景优先使用 data-* 属性传参，规避 CSP script-src 内联限制与 XSS 风险面
2. 消除 9 处内联 <script> 块——逻辑迁入各插件 assets/script.js；钩子文件只输出 <script src> 引用；控制器禁止 PHP 拼接 <script>

P1（中，规范一致）

1. 清理 39 处 style="" 属性，分两类处理：

• 静态样式（边距/字号/宽度/去下划线）：收敛为插件 assets/style.css 中的 class，优先复用核心工具类（mn- 间距、mn-maxw- 宽度、text-decoration:none 等）
• 动态色值（徽章/状态/图标背景）：改为 CSS 变量 + 预定义色板 class（参考 points_mall 的 pm-badge-* 模式），或使用 --xxx-color 内联 CSS 变量（同 medal 的合规做法）
• display:none 显隐：统一改 class（如 .xxx-hidden）或 Alpine x-cloak，消除硬编码

P2（低，防御性）

1. 整改后运行发布前检查：

• grep -nE '<style|<script>|on(click|change|submit|load)=' plugins/{插件名}/views plugins/{插件名}/hook 应零命中（src 引用除外）
• 双主题（浅色 + 暗夜星辰）走查被改页面

八、审计亮点

• ✅ points_mall / task_center / single_page / post_favorite / code_audit / quiz_duel / ai_assistant 等新近插件已做到零内联（除 <script src> 引用外无违规），可作为后续整改的样式范本
• ✅ 未发现大段 <style> 块（早期审计中 announcements / friend_links / invite 曾存在，本次扫描已收敛，仅剩 style="" 属性与事件属性）
• ✅ 动态 CSS 变量注入（medal 勋章颜色）用法正确，值得推广
• ✅ 所有插件均未修改核心 admin.css，样式收敛方向正确

报告生成方式：只读正则扫描，未修改任何插件代码。如需按 P0 → P1 → P2 优先级分批整改，可另行安排。