启动模板自检 + 站长导航放行 + 统计脚本关口收紧

排查：/admin/settings 渲染到一半就断
- 现象：页面在「统计脚本」那张卡片处截断，没有保存按钮、没有 </form></html>，而 HTTP 仍是 200。
- 根因：跑的是旧二进制（改动前编译），磁盘上的模板却是新的。debug=true 下 pageSet()
  每次渲染都从磁盘重解析模板，于是新 settings.html 引用了旧 setting.Settings 里没有的
  TrackEnabled —— 执行期报错，而 render 只把错误写进日志，客户端只看到半张页面。
- 判据：strings <二进制> | grep -c cleanTrackScript（旧 0 / 新 2）。别用 strings | grep
  TrackScript —— config 里本来就有这个名字，旧二进制也命中，是个假信号。

启动自检（防复发）
- template_smoke.go：pageProbe 给 24 个页面各配一份最小可用数据，New() 里全部渲染一遍，
  任一页失败就拒绝启动。pageProbe 与 pageFiles 双向校验，新加页面必须补探针，
  漏配按失败处理（不是省事）。
- smokeOne 用 recover 兜住方法里的 panic，报「哪一页坏了」而不是崩栈。
- 实测：往 settings.html 插一个不存在的字段 → 启动即报
  「模板自检未通过…admin/settings: can't evaluate field …」，退出码 1。
- 门禁 template_smoke_test.go：一条跑全量自检，一条变异验证（探针换成字段更少的类型
  必须报错且点名该页）。

站长导航被页面开关误伤
- guardPage 只拦访客（站长始终能访问全部公开页），但导航写的是 {{if .Settings.HasPage "x"}}，
  没有 IsAdmin 分支 ⇒ 页面开关一关，站长自己也只剩「主页」一个入口 —— 能访问却点不到。
  改成 {{if or .IsAdmin (.Settings.HasPage "x")}}（map/places/timeline/stats/report 五处）。
- 门禁 nav_visibility_test.go：三向不变量（站长仍有全部入口 / 访客一个都没有 /
  全开放时访客也看得到），做过变异验证。
- 访客侧「只有主页」是按后台配置应有的状态，没有动数据。

统计脚本关口收紧（cleanTrackScript）
- src= 只在 <script …> 开标签内部找。原来对整段做 strings.Index，脚本体里一句
  `img.src=u` 就被命中、整段被判危险而清空 —— 页面照样提示「设置已保存」，站长看不出没挂上。
- 开闭标签从「只拒 shut > open」改成严格配平：末尾未闭合的 <script> 会把页面收尾整段吞进脚本。
- 不再静默：签名改成 (script, warn)，说明码经 ?warn= 回显成人话；判为危险时整段不采纳、
  库里原脚本与开关都不动（把站长手上好用的脚本一并清掉更糟）。
- 门禁 TestCleanTrackScript 重写：逐条边界 + 定义性不变量（采纳了非空结果时，
  里面开闭标签数必定相等）+ TestTrackWarnMessage（未识别码不得回显）。变异验证做过。
- 文案订正：settings.html 的「conf/app.ini 的 track_script 会作为这里的默认值」有歧义 ——
  它不回填文本框，而是「这个框留空时、注入那一刻才回落到 ini」。

其余
- bin/ 目录删除（15 个 exe / 412MB），二进制只留仓库根 rond.exe；
  技能 rond-web-verify 与 memory details 十八里 bin/rond.exe 的写法同步改掉。
- 验收：./scripts/verify.sh 全绿且 0 skip（PASS=346 FAIL=0 SKIP=0）。

internal/web/handlers_admin.go

@@ -10,6 +10,7 @@ import (
 	"log"
 	"math"
 	"net/http"
+	"net/url"
 	"os"
 	"path/filepath"
 	"strconv"
@@ -467,6 +468,7 @@ func (s *Server) settingsPage(w http.ResponseWriter, r *http.Request) {
 	d := SettingsData{Page: p, Modules: setting.AllModules, Pages: setting.AllPages,
 		MapInfo: s.mapInfo(), MapLayers: layers, S3Info: s.s3Info()}
 	d.Flash = r.URL.Query().Get("saved")
+	d.Warn = trackWarnMessage(r.URL.Query().Get("warn"))
 	s.render(w, "admin/settings", d)
 }
 
@@ -581,57 +583,105 @@ func (s *Server) settingsSubmit(w http.ResponseWriter, r *http.Request) {
 	if r.PostFormValue("regions_mode") == setting.RegionsBlacklist {
 		next.RegionsMode = setting.RegionsBlacklist
 	}
-	next.TrackScript = cleanTrackScript(r.PostFormValue("track_script"))
-	// 开关只在「勾选 + 脚本非空」时才生效：勾了但没填内容等于没开，
-	// 否则 layout 里会挂一个空 <script>，看着像开了其实什么也没统计。
-	next.TrackEnabled = r.PostFormValue("track_enabled") == "on" && next.TrackScript != ""
+	script, trackWarn := cleanTrackScript(r.PostFormValue("track_script"))
+	if trackWarnRejected(trackWarn) {
+		// 判为危险：这次改动整段不采纳，库里原有的脚本与开关都保持不动
+		// （next := cur 已经带上了它们）。把站长手上本来好用的脚本一并清掉，
+		// 比拒绝这次改动更糟。
+	} else {
+		next.TrackScript = script
+		// 开关只在「勾选 + 脚本非空」时才生效：勾了但没填内容等于没开，
+		// 否则 layout 里会挂一个空 <script>，看着像开了其实什么也没统计。
+		next.TrackEnabled = r.PostFormValue("track_enabled") == "on" && next.TrackScript != ""
+	}
 	if err := s.sets.Save(ctx, next); err != nil {
 		s.serverError(w, r, err)
 		return
 	}
-	http.Redirect(w, r, "/admin/settings?saved=1", http.StatusSeeOther)
+	dest := "/admin/settings?saved=1"
+	if trackWarn != "" {
+		dest += "&warn=" + url.QueryEscape(trackWarn)
+	}
+	http.Redirect(w, r, dest, http.StatusSeeOther)
 }
 
-// cleanTrackScript 收拾管理员粘进来的统计脚本。
+// 统计脚本没被原样采纳时的三类说明码。它们是固定常量、不是用户输入，
+// 所以可以安全地放进跳转查询串，再由 trackWarnMessage 翻成人话。
+const (
+	warnTrackTruncated  = "truncated"
+	warnTrackUnbalanced = "unbalanced"
+	warnTrackBadSrc     = "badsrc"
+)
+
+// trackWarnMessage 把说明码翻成人话；未识别的码不提示（不回显查询串原文）。
+func trackWarnMessage(code string) string {
+	switch code {
+	case warnTrackTruncated:
+		return "统计脚本超过 4096 字符，已截断保存"
+	case warnTrackUnbalanced:
+		return "统计脚本里 <script> 与 </script> 的数量不配对，本次改动已拒绝，库里原有脚本保持不变"
+	case warnTrackBadSrc:
+		return "统计脚本的 src 只接受 http://、https:// 或站内相对路径，本次改动已拒绝，库里原有脚本保持不变"
+	}
+	return ""
+}
+
+// trackWarnRejected 报告这个说明码是否代表「整段没被采纳」。
+func trackWarnRejected(code string) bool {
+	return code == warnTrackUnbalanced || code == warnTrackBadSrc
+}
+
+// cleanTrackScript 收拾管理员粘进来的统计脚本，返回采纳后的内容与一个说明码（空 = 原样通过）。
 //
 // 这段内容会被原样注入**每一个公开页面**，所以要挡住几类会伤到访客的输入。
 // 但**不能**简单地把「出现 </script 就拒」当规则：百度统计、Umami 这类服务
 // 贴进来的就是完整 HTML，一行里必然带 </script>，一拒就把正常用法挡死了。
 //
-// 真正的注入面只有一种：**未闭合的 <script> 里出现 </script> 会提前闭合**，
-// 后面的内容当正文渲染，页面布局散架。判据因此是「奇偶」：
-// 开标签数与闭合标签数不配平 ⇒ 有提前闭合 ⇒ 拒。配平则整段原样放行。
+// 两条判据：
+//   - 开闭 <script> 标签必须**严格配平**：少一个 </script> 会提前闭合、后面的内容
+//     当正文渲染（页面布局散架），多一个 <script> 则会把页面剩下的收尾整段吞进脚本。
+//   - 开标签上的 src 只放行 http(s):// 与站内相对路径，挡掉 javascript: / data: 伪协议。
 //
-// 另外挡住：javascript: / data: 这类伪协议的 src（点击即执行），
-// 以及超长内容（多半是误粘了整份 HTML 文档，截断）。
-func cleanTrackScript(v string) string {
+// src 只在**标签内部**找。以前是对整段做 strings.Index(low, "src=")，于是脚本体里
+// 一句 `img.src=u` 就会被命中、整段被判危险而清空——页面却照样提示「设置已保存」，
+// 站长根本看不出脚本没挂上（实测复现过）。
+func cleanTrackScript(v string) (script, warn string) {
 	v = strings.TrimSpace(v)
 	if v == "" {
-		return ""
+		return "", ""
 	}
 	const maxLen = 4096
 	if len(v) > maxLen {
 		v = v[:maxLen]
+		warn = warnTrackTruncated
 	}
 	low := strings.ToLower(v)
-	// 开闭标签数必须配平，否则有人能靠 </script> 提前闭合、把后面的内容
-	// 从「脚本」变成「正文」注入到页面里。
-	open := strings.Count(low, "<script")
-	// 去掉属性里的 <script 字样不算开标签（如 data-src="<script"），这里只做保守计数：
-	// 宁可多拒一次，也别放过真的注入。
-	shut := strings.Count(low, "</script")
-	if shut > open {
-		return ""
-	}
-	// src 只放行 http/https 与站内相对路径，挡掉 javascript: / data: 伪协议
-	if idx := strings.Index(low, "src="); idx >= 0 {
-		rest := strings.TrimLeft(v[idx+4:], "\"'")
-		if rest != "" && !strings.HasPrefix(rest, "http://") &&
-			!strings.HasPrefix(rest, "https://") && !strings.HasPrefix(rest, "/") {
-			return ""
+	open := 0
+	for i := 0; ; {
+		j := strings.Index(low[i:], "<script")
+		if j < 0 {
+			break
 		}
+		start := i + j
+		open++
+		end := strings.IndexByte(low[start:], '>')
+		if end < 0 {
+			break // 这个开标签没闭合，交给下面的配平判定处理
+		}
+		tag := low[start : start+end]
+		if k := strings.Index(tag, "src="); k >= 0 {
+			rest := strings.TrimLeft(tag[k+4:], "'\" \t")
+			if rest != "" && !strings.HasPrefix(rest, "http://") &&
+				!strings.HasPrefix(rest, "https://") && !strings.HasPrefix(rest, "/") {
+				return "", warnTrackBadSrc
+			}
+		}
+		i = start + end + 1
 	}
-	return v
+	if shut := strings.Count(low, "</script"); open != shut {
+		return "", warnTrackUnbalanced
+	}
+	return v, warn
 }
 
 // ---------- 修改口令 ----------

internal/web/nav_visibility_test.go

@@ -0,0 +1,59 @@
+package web
+
+import (
+	"bytes"
+	"html/template"
+	"strings"
+	"testing"
+
+	"rond-with-you/internal/auth"
+	"rond-with-you/internal/setting"
+)
+
+// TestNavShowsAllPagesToAdmin 钉住导航的显隐口径：页面开关**只管访客**。
+//
+// 站长的公开页一直是能访问的（guardPage 只拦访客），导航却没跟着放行——
+// 关掉页面开关后站长自己也只剩「主页」一个入口，明明能访问却点不到。
+// 这条口径必须和 guardPage 保持一致，所以两边都写死在这里。
+func TestNavShowsAllPagesToAdmin(t *testing.T) {
+	base, err := template.New("layout.html").Funcs(templateFuncs()).ParseFS(tmplFS, "templates/layout.html")
+	if err != nil {
+		t.Fatalf("解析 layout.html: %v", err)
+	}
+	renderNav := func(p Page) string {
+		t.Helper()
+		var buf bytes.Buffer
+		if err := base.ExecuteTemplate(&buf, "nav", p); err != nil {
+			t.Fatalf("渲染 nav: %v", err)
+		}
+		return buf.String()
+	}
+
+	links := []string{`href="/map"`, `href="/places"`, `href="/timeline"`, `href="/stats"`, `href="/report"`}
+
+	// 页面开关全关：访客点不到，站长必须照样有入口
+	closed := setting.Default()
+	closed.Pages = nil
+
+	adminNav := renderNav(Page{Nav: "home", Settings: closed, User: &auth.User{}})
+	for _, l := range links {
+		if !strings.Contains(adminNav, l) {
+			t.Errorf("站点关闭了页面开关，但站长导航少了 %s——开关只管访客", l)
+		}
+	}
+
+	visitorNav := renderNav(Page{Nav: "home", Settings: closed})
+	for _, l := range links {
+		if strings.Contains(visitorNav, l) {
+			t.Errorf("页面已对访客关闭，访客导航里不该出现 %s", l)
+		}
+	}
+
+	// 反向：全开放时访客也要看得到（防止把判据改成「只有站长」）
+	openNav := renderNav(Page{Nav: "home", Settings: setting.Default()})
+	for _, l := range links {
+		if !strings.Contains(openNav, l) {
+			t.Errorf("页面已对访客开放，访客导航里应出现 %s", l)
+		}
+	}
+}

internal/web/server.go

@@ -131,6 +131,11 @@ func New(cfg *config.Config, db *sql.DB) (*Server, error) {
 		media:      media.New(cfg),
 	}
 	s.routes()
+	// 启动自检：把每个页面各渲染一遍，任一页失败就拒绝启动。
+	// 「模板能解析」不代表「渲染得完」——字段不存在、nil 解引用都只在执行期暴露。
+	if err := s.smokeRender(); err != nil {
+		return nil, err
+	}
 	return s, nil
 }
 

internal/web/template_smoke.go

@@ -0,0 +1,99 @@
+package web
+
+import (
+	"bytes"
+	"fmt"
+	"strings"
+
+	"rond-with-you/internal/setting"
+)
+
+// 启动时的模板自检：把每个页面各用一份「最小可用数据」渲染一遍，任一页失败就拒绝启动。
+//
+// 防的是一类**只在执行期暴露**的错误：模板引用了 Go 结构体里不存在的字段
+// （典型是改了结构体却没重新编译，磁盘上的新模板被老二进制拿去渲染），
+// 或者模板里对着 nil 解引用。这类错误既不会让模板解析失败，render 又只把错误写进日志，
+// 于是线上表现成「页面渲染到一半就断了、HTTP 却仍是 200」——用户对着半张没有收尾的页面
+// 猜半天，服务端日志里只有孤零零一行。
+//
+// 2026-10-09 就是这么踩的：提交里同时改了 setting.Settings 和 settings.html，
+// 但跑的是改动前编译的二进制，debug 模式下模板走磁盘热加载 ⇒ 新模板 + 旧结构体，
+// /admin/settings 在「统计脚本」那张卡片处被截断。启动自检能把这种组合直接挡在门外。
+//
+// 探针值只求「类型对、不炸」：这些页面本来就得能渲染空数据（还没导入数据时的首页就是空的），
+// 所以空值探针是合理的下限，而不是凑数。
+var pageProbe = map[string]func() any{
+	"home":                 func() any { return HomeData{Page: probePage("home")} },
+	"map":                  func() any { return MapData{Page: probePage("map")} },
+	"places":               func() any { return PlacesData{Page: probePage("places")} },
+	"place":                func() any { return PlaceData{Page: probePage("places")} },
+	"timeline":             func() any { return TimelineData{Page: probePage("timeline")} },
+	"stats":                func() any { return StatsData{Page: probePage("stats")} },
+	"report":               func() any { return ReportData{Page: probePage("report")} },
+	"topics":               func() any { return TopicListData{Page: probePage("topics")} },
+	"topic":                func() any { return TopicData{Page: probePage("topics")} },
+	"admin/index":          func() any { return AdminData{Page: probePage("admin"), MaxSize: maxUploadBytes} },
+	"admin/password":       func() any { return PasswordData{Page: probePage("admin"), Username: "admin"} },
+	"admin/twofa":          func() any { return TwoFAData{Page: probePage("admin")} },
+	"admin/fog-mask":       func() any { return FogMaskData{Page: probePage("admin")} },
+	"admin/fog-preview":    func() any { return FogPreviewData{Page: probePage("admin")} },
+	"admin/backup-preview": func() any { return BackupDiffData{Page: probePage("admin")} },
+	"admin/baseline":       func() any { return BaselineData{Page: probePage("admin"), MaxSize: maxUploadBytes} },
+	"admin/fillup":         func() any { return FillupData{Page: probePage("admin")} },
+	"admin/notes":          func() any { return NotesData{Page: probePage("admin")} },
+	"admin/edit":           func() any { return EditData{Page: probePage("admin")} },
+	"admin/topics":         func() any { return TopicAdminData{Page: probePage("admin")} },
+	"admin/photos":         func() any { return PhotoData{Page: probePage("admin")} },
+	"admin/login":          func() any { return LoginData{Settings: setting.Default()} },
+	"admin/twofa-login":    func() any { return TwoFALoginData{Settings: setting.Default()} },
+	"admin/settings": func() any {
+		return SettingsData{Page: probePage("admin"), Modules: setting.AllModules,
+			Pages: setting.AllPages, MapLayers: []MapLayerOption{{Key: "k", Label: "l"}}}
+	},
+}
+
+// probePage 是所有探针共用的页面上下文：给足站点设置，免得模板在取值阶段就断。
+func probePage(nav string) Page {
+	return Page{Nav: nav, Title: "模板自检", Settings: setting.Default()}
+}
+
+// smokeRender 把所有页面各渲染一遍，专为触发执行期错误。
+// 任一页失败都返回错误，让 New 拒绝启动——宁可起不来，也不要起来后一半页面是残的。
+func (s *Server) smokeRender() error {
+	var failed []string
+	for key := range pageFiles {
+		probe, ok := pageProbe[key]
+		if !ok {
+			// 没有探针的页面等于没被自检覆盖。这是漏，不是省事，所以按失败处理。
+			failed = append(failed, key+": pageProbe 里没有配自检数据")
+			continue
+		}
+		if err := s.smokeOne(key, probe()); err != nil {
+			failed = append(failed, err.Error())
+		}
+	}
+	if len(failed) > 0 {
+		return fmt.Errorf("模板自检未通过，多半是 Go 结构体与模板字段不同步（改完 Go 要重新编译）:\n  %s",
+			strings.Join(failed, "\n  "))
+	}
+	return nil
+}
+
+func (s *Server) smokeOne(key string, data any) (err error) {
+	// 模板里调到的方法可能对着空数据 panic，别让它把整个启动带走——
+	// 这里要的是一个可读的「哪一页坏了」，不是一段崩栈。
+	defer func() {
+		if r := recover(); r != nil {
+			err = fmt.Errorf("%s: 渲染时 panic: %v", key, r)
+		}
+	}()
+	set, err := s.pageSet(key)
+	if err != nil {
+		return fmt.Errorf("%s: %w", key, err)
+	}
+	var buf bytes.Buffer
+	if err := set.t.ExecuteTemplate(&buf, set.entry, data); err != nil {
+		return fmt.Errorf("%s: %w", key, err)
+	}
+	return nil
+}

internal/web/template_smoke_test.go

@@ -0,0 +1,77 @@
+package web
+
+import (
+	"html/template"
+	"path/filepath"
+	"strings"
+	"testing"
+
+	"rond-with-you/internal/config"
+)
+
+// TestSmokeRenderAllPages 把启动自检搬进 go test：每个页面都要能用「最小可用数据」渲染到底。
+//
+// 比 TestPageTemplatesParse 更强的地方在于**执行**：模板能解析不代表渲染得完，
+// 「字段不存在 / 对着 nil 解引用」只在执行期暴露，而线上表现是「HTTP 200 + 半张页面」。
+// 2026-10-09 的 /admin/settings 截断就是这么来的（新模板引用了旧结构体里没有的字段）。
+func TestSmokeRenderAllPages(t *testing.T) {
+	srv := &Server{cfg: &config.Config{}}
+	pages := make(map[string]pageSet, len(pageFiles))
+	for key, def := range pageFiles {
+		tpl, err := template.New(filepath.Base(def.files[0])).Funcs(templateFuncs()).
+			ParseFS(tmplFS, def.files...)
+		if err != nil {
+			t.Fatalf("解析模板 %s 失败: %v", key, err)
+		}
+		pages[key] = pageSet{t: tpl, entry: def.entry}
+	}
+	srv.pages = pages
+
+	if err := srv.smokeRender(); err != nil {
+		t.Fatal(err)
+	}
+
+	// 定义性不变量：pageFiles 里每加一个页面，就必须在 pageProbe 里配一份自检数据，
+	// 否则那一页会悄悄逃过自检（smokeRender 会把缺项报成失败，这里再独立钉一次）。
+	for key := range pageFiles {
+		if _, ok := pageProbe[key]; !ok {
+			t.Errorf("页面 %s 没有自检数据（pageProbe 缺项）——新加页面时要一起补", key)
+		}
+	}
+	for key := range pageProbe {
+		if _, ok := pageFiles[key]; !ok {
+			t.Errorf("pageProbe 里的 %s 不是已注册页面（改名后忘了同步？）", key)
+		}
+	}
+}
+
+// TestSmokeRenderCatchesFieldDrift 变异验证：把页面数据换成**字段更少**的类型时必须报错。
+//
+// 光断言「当前代码自检通过」证明不了自检有效——它可能只是什么都没检查。
+// 这里用 Page 顶替 SettingsData（模板引用的 .Modules / .S3Info 都不在 Page 上），
+// 自检必须红，且错误信息里要能看到是哪一页。
+func TestSmokeRenderCatchesFieldDrift(t *testing.T) {
+	srv := &Server{cfg: &config.Config{}}
+	pages := make(map[string]pageSet, len(pageFiles))
+	for key, def := range pageFiles {
+		tpl, err := template.New(filepath.Base(def.files[0])).Funcs(templateFuncs()).
+			ParseFS(tmplFS, def.files...)
+		if err != nil {
+			t.Fatalf("解析模板 %s 失败: %v", key, err)
+		}
+		pages[key] = pageSet{t: tpl, entry: def.entry}
+	}
+	srv.pages = pages
+
+	orig := pageProbe["admin/settings"]
+	pageProbe["admin/settings"] = func() any { return probePage("admin") }
+	t.Cleanup(func() { pageProbe["admin/settings"] = orig })
+
+	err := srv.smokeRender()
+	if err == nil {
+		t.Fatal("页面数据缺字段时自检必须报错，否则它什么也挡不住")
+	}
+	if !strings.Contains(err.Error(), "admin/settings") {
+		t.Errorf("自检报错要指名是哪个页面，实际为：%v", err)
+	}
+}

internal/web/templates/admin/settings.html

@@ -9,6 +9,7 @@
   </div>
 
   {{if .Flash}}<div class="alert ok">设置已保存</div>{{end}}
+  {{if .Warn}}<div class="alert err">{{.Warn}}</div>{{end}}
 
   <form method="post" action="/admin/settings">
 
@@ -154,11 +155,12 @@
       <div class="muted" style="font-size:12.5px">
         <div>填一个 <span class="mono">https://…</span> 地址会包成 <span class="mono">&lt;script src=…&gt;</span>；
           需要初始化代码的服务（Umami、百度统计等）可以把整段 <span class="mono">&lt;script&gt;</span> 贴进来。</div>
-        <div>整段 <span class="mono">&lt;script&gt;</span> 需要闭合标签配对（多一个 <span class="mono">&lt;/script&gt;</span> 会被判为粘贴错误）；
+        <div>整段脚本的 <span class="mono">&lt;script&gt;</span> 与 <span class="mono">&lt;/script&gt;</span> 必须数量相同：
+          多一个 <span class="mono">&lt;/script&gt;</span> 会提前闭合、少一个会把页面收尾吞进脚本，两种情况都拒收；
           <span class="mono">src</span> 只接受 <span class="mono">https://</span>、<span class="mono">http://</span> 或以 <span class="mono">/</span> 开头的地址，
-          超过 4096 字符会被截断。填了但没勾开关不会生效。</div>
-        <div><span class="mono">conf/app.ini</span> 的 <span class="mono">track_script</span> 会作为这里的默认值——
-          它也需要开关打开才注入。</div>
+          超过 4096 字符会被截断（并给出提示）。填了但没勾开关不会生效。</div>
+        <div>这个框留空时回落到 <span class="mono">conf/app.ini</span> 的 <span class="mono">track_script</span>
+          ——它不会回填到上面这个框（改 ini 要重启）。</div>
       </div>
     </div>
 

internal/web/templates/layout.html

@@ -3,13 +3,16 @@
   <div class="nav-inner">
     <a class="brand" href="/" title="{{.Settings.SiteTitle}}"><span class="avatar">{{.Settings.OwnerAvatar}}</span><span class="t">{{.Settings.SiteTitle}}</span></a>
     <div class="nav-links">
+      {{/* 页面开关只管访客：站长登录后始终能访问全部页面（guardPage 也是这么放的），
+           导航必须跟着一起放行，否则关掉页面开关后站长自己也只剩「主页」一个入口，
+           明明能访问却点不到。 */}}
       <a href="/" class="{{if eq .Nav "home"}}on{{end}}">主页</a>
-      {{if .Settings.HasPage "map"}}<a href="/map" class="{{if eq .Nav "map"}}on{{end}}">地图</a>{{end}}
-      {{if .Settings.HasPage "places"}}<a href="/places" class="{{if eq .Nav "places"}}on{{end}}">地点</a>{{end}}
-      {{if .Settings.HasPage "timeline"}}<a href="/timeline" class="{{if eq .Nav "timeline"}}on{{end}}">时间线</a>{{end}}
-      {{if .Settings.HasPage "stats"}}<a href="/stats" class="{{if eq .Nav "stats"}}on{{end}}">统计</a>{{end}}
+      {{if or .IsAdmin (.Settings.HasPage "map")}}<a href="/map" class="{{if eq .Nav "map"}}on{{end}}">地图</a>{{end}}
+      {{if or .IsAdmin (.Settings.HasPage "places")}}<a href="/places" class="{{if eq .Nav "places"}}on{{end}}">地点</a>{{end}}
+      {{if or .IsAdmin (.Settings.HasPage "timeline")}}<a href="/timeline" class="{{if eq .Nav "timeline"}}on{{end}}">时间线</a>{{end}}
+      {{if or .IsAdmin (.Settings.HasPage "stats")}}<a href="/stats" class="{{if eq .Nav "stats"}}on{{end}}">统计</a>{{end}}
       {{if .HasTopics}}<a href="/topics" class="{{if eq .Nav "topics"}}on{{end}}">专题</a>{{end}}
-      {{if .Settings.HasPage "report"}}<a href="/report" class="{{if eq .Nav "report"}}on{{end}}">报告</a>{{end}}
+      {{if or .IsAdmin (.Settings.HasPage "report")}}<a href="/report" class="{{if eq .Nav "report"}}on{{end}}">报告</a>{{end}}
     </div>
     <div class="nav-right">
       {{if .User}}

internal/web/track_tag_test.go

@@ -37,47 +37,91 @@ func TestTrackTag(t *testing.T) {
 //
 // 这段内容会被原样注入**每一个公开页面**，因此必须挡住三类输入：
 // 提前闭合 </script>（页面布局散架）、javascript: 伪协议、超长误粘。
-// 判据写的是「危险输入一律清空」，所以这里逐条钉住放行与拒绝的边界。
+// 判据写的是「危险输入一律不收」，所以这里逐条钉住放行与拒绝的边界。
 func TestCleanTrackScript(t *testing.T) {
 	cases := []struct {
-		name string
-		in   string
-		want string
+		name     string
+		in       string
+		want     string
+		wantWarn string
 	}{
-		{"空串", "", ""},
-		{"纯空白", "   \n\t ", ""},
-		{"普通 https URL 原样保留", "https://umami.example.com/script.js", "https://umami.example.com/script.js"},
-		{"首尾空白被裁掉", "  https://a/b.js  ", "https://a/b.js"},
-		{"http 也放行", "http://a/b.js", "http://a/b.js"},
+		{"空串", "", "", ""},
+		{"纯空白", "   \n\t ", "", ""},
+		{"普通 https URL 原样保留", "https://umami.example.com/script.js", "https://umami.example.com/script.js", ""},
+		{"首尾空白被裁掉", "  https://a/b.js  ", "https://a/b.js", ""},
+		{"http 也放行", "http://a/b.js", "http://a/b.js", ""},
 		{"整段 script 原样保留（百度统计这类）",
 			`<script>var _hmt=_hmt||[];</script><script src="https://hm.baidu.com/hm.js"></script>`,
-			`<script>var _hmt=_hmt||[];</script><script src="https://hm.baidu.com/hm.js"></script>`},
+			`<script>var _hmt=_hmt||[];</script><script src="https://hm.baidu.com/hm.js"></script>`, ""},
+		{"src 指向相对路径（放行站内相对）", `<script src="/static/a.js"></script>`, `<script src="/static/a.js"></script>`, ""},
+
+		// 脚本体里的 src= **不是标签属性**：以前对整段做 strings.Index，这里会被误伤、
+		// 整段静默清空（页面还照样提示「设置已保存」）。实测复现过，钉住。
+		{"脚本体里的 src= 赋值必须放行", `<script>var i=new Image();i.src=u;</script>`,
+			`<script>var i=new Image();i.src=u;</script>`, ""},
+		{"拼出来的 src 也要放行", `<script>var s=document.createElement('script');s.src=base+"/a.js";</script>`,
+			`<script>var s=document.createElement('script');s.src=base+"/a.js";</script>`, ""},
 
 		// ↓ 必须拒的
-		{"提前闭合 script", `abc</script><img src=x onerror=alert(1)>`, ""},
-		{"大写闭合标签也挡", `abc</SCRIPT>`, ""},
-		{"大写 SRC 伪协议", `<script src="javascript:alert(1)"></script>`, ""},
-		{"data: 伪协议", `<script src="data:text/html,<script>alert(1)</script>">`, ""},
-		{"src 指向相对路径（放行站内相对）", `<script src="/static/a.js"></script>`, `<script src="/static/a.js"></script>`},
-		{"超长内容被截断到 4096", strings.Repeat("a", 5000), strings.Repeat("a", 4096)},
+		{"提前闭合 script", `abc</script><img src=x onerror=alert(1)>`, "", warnTrackUnbalanced},
+		{"大写闭合标签也挡", `abc</SCRIPT>`, "", warnTrackUnbalanced},
+		{"末尾未闭合的开标签也挡", `<script>x</script><script>y`, "", warnTrackUnbalanced},
+		{"光一个开标签也挡", `<script>y`, "", warnTrackUnbalanced},
+		{"大写 SRC 伪协议", `<script src="javascript:alert(1)"></script>`, "", warnTrackBadSrc},
+		{"data: 伪协议", `<script src="data:text/html,<script>alert(1)</script>">`, "", warnTrackBadSrc},
+		{"超长内容被截断到 4096", strings.Repeat("a", 5000), strings.Repeat("a", 4096), warnTrackTruncated},
 	}
 	for _, c := range cases {
-		if got := cleanTrackScript(c.in); got != c.want {
+		got, warn := cleanTrackScript(c.in)
+		if got != c.want {
 			t.Errorf("%s：cleanTrackScript(%q) = %q，期望 %q", c.name, c.in, got, c.want)
 		}
-	}
-	// 定义性不变量：任何输入都不许产出「含 </script 的非空结果」。
-	// 相对断言（比对某个具体长度）会被基准值一起膨胀而假绿，这里钉死语义。
-	dangerous := []string{
-		`abc</script>`, `ABC</ScRiPt>`, `<script src=javascript:alert(1)>`,
-		`<script src=data:text/html,x>`, strings.Repeat("x", 9000) + `</script>`,
-	}
-	for _, in := range dangerous {
-		if got := cleanTrackScript(in); strings.Contains(strings.ToLower(got), "</script") && got != "" {
-			t.Errorf("cleanTrackScript 放过了危险内容 %q -> %q", in, got)
+		if warn != c.wantWarn {
+			t.Errorf("%s：说明码 = %q，期望 %q", c.name, warn, c.wantWarn)
 		}
 	}
-	if len(cleanTrackScript(strings.Repeat("a", 9000))) > 4096 {
-		t.Error("超长内容没有被截断到 4096")
+
+	// 定义性不变量：只要采纳了非空结果，里面的开闭 <script> 标签数必定**相等**。
+	// 注意不是「不得含 </script」——百度统计那种整段贴进来的本来就带闭合标签，
+	// 真正的保证是「闭合数既不会多、也不会少」（多了提前闭合、少了吞掉收尾）。
+	inputs := []string{
+		`abc</script>`, `ABC</ScRiPt>`, `<script>x</script><script>y`, `<script>y`,
+		`<script src=javascript:alert(1)>`, `<script src=data:text/html,x>`,
+		strings.Repeat("x", 9000) + `</script>`,
+		`<script>a</script><script>b</script>`, `<script>var i=new Image();i.src=u;</script>`,
+	}
+	for _, in := range inputs {
+		got, _ := cleanTrackScript(in)
+		if got == "" {
+			continue
+		}
+		low := strings.ToLower(got)
+		if open, shut := strings.Count(low, "<script"), strings.Count(low, "</script"); open != shut {
+			t.Errorf("采纳了标签不配平的内容：%q -> open=%d shut=%d", in, open, shut)
+		}
+	}
+	if got, _ := cleanTrackScript(strings.Repeat("a", 9000)); len(got) > 4096 {
+		t.Errorf("超长内容没有被截断到 4096：len=%d", len(got))
+	}
+}
+
+// TestTrackWarnMessage 说明码必须是**固定文案**：它最终进跳转查询串，
+// 未识别的码一律不提示（避免把查询串原文回显到页面上）。
+func TestTrackWarnMessage(t *testing.T) {
+	for _, code := range []string{warnTrackTruncated, warnTrackUnbalanced, warnTrackBadSrc} {
+		if trackWarnMessage(code) == "" {
+			t.Errorf("说明码 %q 应有对应提示文案", code)
+		}
+	}
+	for _, code := range []string{"", "unknown", "<script>alert(1)</script>"} {
+		if msg := trackWarnMessage(code); msg != "" {
+			t.Errorf("未识别的说明码 %q 不该产出提示，得到 %q", code, msg)
+		}
+	}
+	if !trackWarnRejected(warnTrackUnbalanced) || !trackWarnRejected(warnTrackBadSrc) {
+		t.Error("被拒的两类说明码必须被 trackWarnRejected 认出来")
+	}
+	if trackWarnRejected(warnTrackTruncated) || trackWarnRejected("") {
+		t.Error("「截断」是采纳（只是改了内容），不该算作整段被拒")
 	}
 }

internal/web/view.go

@@ -1102,6 +1102,8 @@ type SettingsData struct {
 	MapLayers []MapLayerOption
 	// S3Info 是对象存储配置状态的只读说明（配没配齐、桶名、公开域名）。
 	S3Info string
+	// Warn 是统计脚本这次没被原样采纳的提示（「已截断」/「已拒绝」）。
+	Warn string
 }
 
 // MapLayerOption 是后台「默认底图」下拉的一项。