这次给站点主题做了一次大版本更新（Riven 2.3.3-hardened），主要三块：安全加固、友情链接系统重做、后台管理界面翻新。

一、安全加固

带互动功能的博客主题是注入与滥用的重灾区，这次把能收紧的都收紧了：

• 评论 CSRF 防护成套上线——恢复 Typecho 原生评论安全校验，评论表单携带一次性令牌，AJAX 提交同样带上，第三方站点无法再伪造评论请求；
• 隐藏内容不再泄露——「回复可见」短代码此前只要提交任意待审评论就能解锁，现收紧为仅已通过审核的普通评论；页面 SEO 描述也不会再带出隐藏内容；
• 后台与接口全面校验——配置备份、留言、点赞等写接口全部要求安全令牌，另修复多处 XSS 输出；
• 外链与更新通道——主题在线更新强制 HTTPS + 证书校验 + sha256 完整性校验；RSS 抓取加协议白名单与超时回退；音乐 API 恢复 SSL 校验，并加了缓存与限流。

二、友情链接系统：液态玻璃申请弹窗

友链申请从「跳转独立表单页」改成了点击按钮弹出液态玻璃弹窗：毛玻璃背景、漂浮色斑动效，表单 AJAX 提交免刷新，成功后自动关闭。

表单内建四重防护：一次性令牌、蜜罐陷阱、按 IP 频率限制、图形验证码——垃圾申请基本进不来了。申请提交后进入后台审核队列，站长一键「通过」即自动进入友链列表，「拒绝」留档可查。

三、后台管理界面翻新

友链管理后台原来是这样：按钮溢出卡片、无 Logo 的站点一排灰框、配色也发土——

现在换成了和前台主题同一套设计语言（奶油底 + 墨色控件 + 霞鹜文楷字体）：数字卡片总览（总数 / 启用 / 禁用 / 待审核）、首字母头像、名称描述双行、每行独立的编辑 / 启停 / 删除按钮——

四、其它修复与优化

• 修复编辑页勾选「置顶」后首页不生效的问题；
• 留言板榜单改 SQL 聚合并排除管理员、memos 预加载消除 N+1 查询，页面更快；
• 同时兼容 Typecho 1.2 / 1.3 与 MySQL / SQLite / PostgreSQL。

欢迎在评论区反馈使用问题。