安全说明
输入先验证，输出再转义，找不到内容就明确返回404
当前源码不使用数据库和外部内容API，核心动态入口只有站内搜索和经过白名单校验的内容ID。
输出转义
动态文本统一通过e()函数使用htmlspecialchars处理，降低把用户输入直接解释为HTML的风险。
参数验证
搜索词限制长度；内容详情页只接受data.php中真实存在的ID。无效ID会返回HTTP 404，并提供可继续浏览的导航。
依赖边界
没有数据库、Node.js、前端框架、第三方图标库或外部字体，减少不必要的运行依赖。
生产环境
部署方仍应设置PHP错误日志、文件权限、HTTPS、服务器补丁与备份策略。源码层面的基本处理不能替代服务器安全维护。