0904

.workbuddy/memory/2026-09-04.md

@@ -0,0 +1,99 @@
+# 2026-09-04
+
+- 调研并输出 /user/profile 页面（account 面板）UI 优化评审与改造方案（等待用户批准后实施）。
+- 关键结论：
+  - 密码强制登出：`users.password_version` + 会话 `pwd_ver` 机制已存在（internal/context/auth.go authenticatedUser），改密后旧会话下次请求即失效；但 UpdateProfile 改密后仍重定向 /user/profile，被 Toggle 以「请先登录」错误文案弹回 /login，成功 flash 被吞。改造方向：改密成功 → Session.Flush() + success flash（复用 auth.errPasswordChanged）→ 直接跳 /login。
+  - 头像/背景裁剪：项目无任何 crop 库；第三方库全部自托管于 R2（r2.337845818.best/tamabox/cdn）。候选方案：Cropper.js 内嵌 static/（需扩 static/fs.go embed 规则）。当前 avatarPlaceholder 文案自嘲"非1:1会扁"但无强制。
+  - 复用点：profile-tabs 面板、Pickr 颜色选择、easy.qrcode 预览、UIkit modal/accordion、imagecheck 像素校验、storage.UploadPictureToS3（自动转 WebP、宽>1920 缩放）。
+  - i18n 四语言字典 key 全等校验（i18n_test.go TestDictionaryComplete），新增词条须同步 4 个 dict 文件。
+
+## 下午：profile account 面板改造已实施（用户已批准方案）
+
+- 决策：Cropper.js 走自有 R2 CDN（`lib/cropperjs/1.6.2/`，用户自行上传）；改密立即登出跳登录页；卡片分区+折叠（中等重构）；前后端双比例校验。
+- 改动清单：
+  - `route/user/profile.go`：avatar→storage.UploadAvatarToS3、background→storage.UploadBackgroundToS3（新增），改密成功（passwordChanged 标志）→ Session.Flush + flash(profile.flash.passwordChanged) → /login；比例不符 flash 提示（profile.err.avatarRatio / backgroundRatio）。
+  - `internal/imagecheck/imagecheck.go`：新增 ErrBadAspectRatio + CheckAspectRatio + DefaultAspectTolerance(0.01)；`imagecheck_test.go` 新增 4 个用例。
+  - `internal/storage/s3.go`：抽 uploadPictureToS3 内部分管线（aspect 可选），UploadAvatarToS3=1:1、UploadBackgroundToS3=16:9，魔数后、像素总量前校验；原有 UploadPictureToS3 兼容签名（其他调用方不变）。
+  - `internal/i18n/dict_*.go`（4 语）：新增 15 词条（card.* 4、cropHint 2、cropTitle/cropConfirm、pwdNote、pickAvatar/pickBackground、err.avatarRatio/backgroundRatio/cropLibUnavailable、flash.passwordChanged）。
+  - `templates/user/profile.html`：account 面板重构为 8 张卡片（基础资料/头像与背景[预览+裁剪]/二维码样式折叠/社交折叠/修改密码[随主表单]/标签/页面密码/账号操作）；头像 96px 圆、背景 16:9 预览；Cropper 弹窗+写回 file input 逻辑；accordion 展开时重绘二维码预览；新增 .tb-pcard 等样式与暗色适配、移动端单列。
+- 验证：go build ./...（用 dev/webpstub overlay 方式，Windows 无 libwebp）通过；go test internal/i18n + internal/imagecheck 通过；dev/checktpl 全模板语法 OK；HTML 标签开闭平衡校验通过。
+- 待办：R2 上传 cropper.min.{js,css} 到 r2.337845818.best/tamabox/cdn/lib/cropperjs/1.6.2/ 后即可端到端生效；未做浏览器实测（需本地 DB/Redis）。
+
+## 晚间：修复部署环境 `UIkit is not defined`（Rocket Loader 时序）
+
+- 现象：VM234:42 Uncaught ReferenceError: UIkit is not defined；更换头像/背景按钮点击无效果。
+- 根因：裁剪脚本（templates/user/profile.html 末尾）IIFE 解析期即执行 `var modalObj = UIkit.modal(modalEl)`；UIkit 在 base/header.html 是 defer 加载，Cloudflare Rocket Loader 把该内联脚本激活在 UIkit 执行前 → 抛错中断整个脚本 → `[data-pick-image]` 监听（其后）从未绑定。
+- 修复（templates/user/profile.html，4 处）：
+  1. `modalObj` 改为 null 懒创建（startCrop 内、依赖就绪后 `UIkit.modal(modalEl)`）；
+  2. 新增 `notify()`：UIkit 可用→UIkit.modal.alert，否则回退原生 window.alert；
+  3. 新增 `whenReady(cb)`：轮询等待 window.UIkit && window.Cropper，超时 3s → notify(MSG_NO_CROPPER)；文件大小校验前置（不依赖库）；
+  4. 脚本标签加 `data-cfasync="false"`，按钮监听尽早同步绑定。
+- 经验：模板内联脚本**禁止在解析期触碰 defer/外部库全局对象**（UIkit/Pickr 等），一律在用户事件回调内或依赖就绪后使用——Rocket Loader 会打乱执行序；全站内联脚本仅裁剪脚本踩中此坑。
+- 验证：node --check 通过（模板占位符替换后）；R2 上 cropper 文件此前 curl 仍不可达（HTTP 000），用户需先上传，否则选图后 3s 提示「裁剪组件暂不可用」——需提醒用户。
+
+## 晚间（二）：图像保存 UX + 同行居中 + console 噪音排查
+
+- 用户反馈：图像上传/裁剪已可用；但「保存修改」按钮在「修改密码」卡片里，改图后要去那里点击才生效，不直观；且头像修改显示在左上角别扭。
+- 改动（templates/user/profile.html）：
+  1. 头像与背景卡片内新增本地保存按钮（type=submit，label 新 i18n key `profile.saveMedia`，随主表单提交，裁剪写回的文件域一并上传）；CSS `.tb-media-save`（居中条）。
+  2. `.tb-media-row` 改 `justify-content:center`、子项 `flex:0 1 auto` + column 居中、`tb-frame-bg` 固定 320px（max-width:100%）；移动端 ≤640 子项 `flex-basis:100%` 上下堆叠居中、背景图全宽、保存按钮全宽。
+  3. 4 语字典新增 `profile.saveMedia`（zh-CN 保存头像与背景 / zh-TW 儲存頭像與背景 / en Save avatar & background / ja アイコンと背景を保存）。
+- console 噪音排查结论：`inspector.js` AbortError/Request timeout/responseType arraybuffer 报错**非项目代码**（全仓库 grep 无 inspector/fetch 包装）；是浏览器 XHR 监控类扩展包装 fetch/XHR + Rocket Loader 激进异步调度（arraybuffer 脚本请求被中止）造成的误报。建议无痕窗口验证 + 或 Cloudflare 关闭 Rocket Loader。
+- 验证：gofmt -w 4 个 dict；go test ./internal/i18n/ 通过；go run ./dev/checktpl 全模板语法 OK。
+
+## 晚间（三）：二维码/社交默认展开 + 头像背景组件等宽 + 每卡片独立保存按钮
+
+- 用户要求：①二维码、社交两块默认展开；②更换头像/更换背景组件大小一致（原头像 96 圆 vs 背景 320 宽预览悬殊）；③为 account 面板每块加独立保存按钮（仿头像背景卡样式）。
+- 改动（templates/user/profile.html）：
+  1. 卡片3/4 的 uk-accordion `<li>` 加 `uk-open` 默认展开（仍可折叠，multiple:true）。
+  2. `.tb-media-item` 固定等宽列 320px（flex:0 0 320 + max-width:100%），头像预览 96→120px、背景帧 width:100%（列内满宽 16:9）；`.tb-media-actions .uk-button` min-width:150px 令两个更换按钮同宽。移动端：头像 80→96px、item 全宽堆叠、按钮全宽。
+  3. 保存按钮：基础资料(profile.saveBasic)/头像背景(已有 saveMedia)/二维码(profile.saveQR)/社交(profile.saveSocial)/改密(原 admin.saveProfile 改 profile.savePassword「确认修改密码」)——均为同表单 type=submit（提交整表），复用居中类 `.tb-card-save`（与 .tb-media-save 同规则）。
+  4. 二维码预览：默认展开后从其它 tab（?tab=question 等）切回 account 面板时不会再触发 accordion 'shown' → showPanel 里 account 时调 `window.__tbRefreshAccountPreview`（IIFE 内暴露的 debouncedUpdatePreview）重绘。
+- i18n 4 语新增 saveBasic/savePassword/saveQR/saveSocial；admin.saveProfile key 保留未删（四语仍在，仅模板不再引用）。
+- 验证：go test ./internal/i18n/ 通过；go run ./dev/checktpl OK。
+
+## 晚间（四）：头像/背景框等高 + 按钮统一居中 + 页面纵向压缩
+
+- 用户反馈：①头像框偏小，希望与背景框显示高度一致；②按钮有的居中有的居左，要求统一并压缩空间。
+- 改动（templates/user/profile.html，纯 CSS/结构）：
+  1. 预览框等高：头像 120→150px 圆；背景框 267×150（16:9，与头像等高）；媒体列 320→280 等宽；行间隙 20/40→14/32；移动端头像 96→120px。
+  2. 按钮统一居中：账号操作卡片（登出/导出/停用）`text-align:center` + 行距 12→9px；卡片6 标签、卡片7 页面密码按钮 `div.uk-margin`→`div.tb-card-save`；提问面板 updateHarassment/updateAskPassword、私聊面板 updateChat 三个按钮同改居中。
+  3. 压缩：`.tb-pcard` padding 16/16/10→13/14/8、margin-bottom 16→12、标题 margin 12→10；新增 `.profile-panel .uk-margin { margin-bottom: 12px }`（全面板字段间距 20→12）。
+- 范围说明：global-blockwords / feature-control-form 两个 partial 模板（三面板共用）内按钮未改（避免影响其它页面），如需统一再单独处理。
+- 验证：go run ./dev/checktpl OK。
+
+## 晚间（五）：账号操作按钮分组同行 + partial 内按钮居中
+
+- 用户要求：①导出数据/导出全部数据按钮同一行；②退出登录/停用我的账号同一行；③屏蔽词设置、计数设置也居中。
+- 改动：
+  1. `templates/user/profile.html`：账号操作卡重构为 `.tb-account-pair`（flex 居中，两按钮同行）：导出组（默认按钮×2，target=_blank 表单）+ 说明行 `.tb-account-note`；登出组（danger 按钮+停用链接）+ 说明行。旧的 `.tb-account-action` 行式堆叠 CSS 删除，暗色规则改 `.tb-account-note`。
+  2. `.feat-quota-line` 加 text-align:center；`.feat-actions` 加 justify-content:center（保存/重置计数按钮居中）——覆盖 feature-control-form（提问/私聊/投票共用）。
+  3. `templates/user/global-blockwords.html`：提交按钮行 `.uk-margin` → `.tb-card-save`（居中）；该 partial 仅 profile.html 引用，无外溢。
+  4. 说明文字合并保留：exportHint+exportJSONHint 合并一行小字，deactivateHint（含 <b>）保留在其按钮组下方（deactivate 确认页另有完整警告文案）。
+- 验证：go run ./dev/checktpl OK。
+
+## 晚间（六）：修复导出按钮点击后永久「提交中」转圈
+
+- 现象：导出数据/导出全部数据（target=_blank 下载表单）文件能下，但按钮永久转圈禁用。
+- 根因：`templates/base/footer.html` 全局 submit 反馈（P0 防重复提交）把触发按钮置「转圈+提交中」并禁用；复位仅靠整页导航/bfcache pageshow。`target="_blank"` 下载表单当前页不导航 → 无复位机会 → 永久卡死。
+- 修复（双保险）：
+  1. `templates/user/profile.html`：两个导出 form 加 `data-tb-skip-submit-feedback="1"`（footer 既有跳过通道，每次 submit 读到即跳并移除）。
+  2. `templates/base/footer.html`：submit 监听里对 `form.getAttribute('target')==='_blank'` 一律 return 跳过反馈——防御未来任何下载/新窗口表单踩同一坑（全站现存 target=_blank 表单仅 profile 这两处，行为从“卡死 bug”变“无反馈”=纯修复）。
+- 经验：全站提交反馈的复位依赖导航，凡不触发本页导航的提交（target=_blank / 下载 / iframe）都必须显式跳过。
+- 验证：go run ./dev/checktpl OK。
+
+## 晚间（七）：私聊面板 chat 专属功能聚合单卡
+
+- 用户要求：`?tab=chat` 面板里「私聊块」（功能开关/收集窗口 feature-control-form）与「私聊设置」（update-chat-settings 消息上限）聚合为一张卡；全局屏蔽词为三面板共享、保持独立。
+- 改动（templates/user/profile.html）：
+  1. chat 面板改两段结构：私聊专属 = `<section class="tb-pcard chat-zone">` 内含 FeatureChat partial + `<hr>` + update-chat-settings 表单（原外层 `div.uk-margin` 移除）；全局屏蔽词维持原 `hr` + partial 独立区。
+  2. CSS `.chat-zone`：内部 `.feat-card` 去边框透明（padding:0; border:0; background:transparent），避免卡中卡；`hr` margin 14px；内部 `legend`（admin.chat）从 uk-legend 大标题降级为 1.05rem 小节标题。
+- 提问/投票面板未动（结构同前）。
+- 验证：go run ./dev/checktpl OK。
+
+## 晚间（八）：功能控制卡按钮尺寸统一为常规按钮
+
+- 用户要求：「保存该功能设置」按钮样式/大小改成与「更新私聊设置」一致；「重置计数」同调。
+- 改动（templates/user/feature-control-form.html，三面板共享 partial）：feat-actions 内两按钮去掉 `uk-button-small` —— 保存改 `uk-button uk-button-primary`、重置改 `uk-button uk-button-default`（常规尺寸，与全站其它表单主按钮一致）。提问/私聊/投票同步生效。
+- 验证：go run ./dev/checktpl OK。
+

.workbuddy/memory/2026-09-05.md

@@ -0,0 +1,167 @@
+# 2026-09-05 工作日志
+
+## 提问箱公开主页「加载更多」翻页失效（内容重复）排查
+
+- 用户报告：提问列表加载完后「加载更多」按钮仍在，点击后加载相同内容。示例链接 `https://box.tama.guru/_/aoi/3105?t=Kmd0mu`（item 页底部嵌有该箱「历史提问」列表 + history-template 加载更多）。
+- 代码链路：`templates/question/history-template.html`(Alpine fetch) → `route/question/page.go ListAPI`(`/api/v1/user/{domain}/questions`) → `internal/db/questions.go GetByUserID`(PinFirst 复合键集游标 `isPinned.CreatedAtUnixNano.ID`)。
+- 线上实测（box.tama.guru, aoi 箱共 38 条已答公开问题）：
+  - 首页 20 条 id 3109→3089；`next_cursor=0.1788566476678885000.3089`。
+  - 携带任意真实 next_cursor 再次请求 → 仍返回首页同样 20 条（has_more 恒 true）→ 内容重复、无法翻页（已稳定复现）。
+  - 部分异常游标返回空集/6 条等与源码 keyset 预期不符的怪异结果 → 指向线上二进制或 DB 环境与工作区源码假设不一致（时区/列精度/部署版本），单凭源码无法闭合解释。
+- 前端模板与工作区 0904 版逐字符一致（x-on:click.debounce、payload.next_cursor、注释），说明线上模板=新版；但服务端行为异常。
+- 历史：outputs/re-audit-2026-09-01.md P0-2 曾记录同款症状（前端回传旧格式游标→parsePinCursor 失败→永远第一页），当时修复为服务端下发 next_cursor；但线上当前仍复现，说明修复未生效或有残余缺陷。
+- 后续建议：生产库执行 keyset SQL 直查对照 + SHOW CREATE TABLE 确认列精度；代码侧做健壮化（游标未前进/解析失败 → 返回空 + has_more=false；前端按已见 id 集合防重）。
+
+## 落地修复（用户选定：防重复兜底）
+
+1. `internal/db/questions.go`：
+   - `GetByUserID`：携带游标但 PinFirst 复合游标/纯 id 游标解析失败时，由「忽略游标静默回退首页」改为直接 `return []*Question{}, nil`（空列表 → 上层 has_more=false → 按钮收敛）。
+   - `getBy`（GetByAskUserID 旧路径）：同步改为解析失败返回空。
+2. `templates/question/history-template.html`：
+   - SSR range 项与 JS append 项均加 `data-qid`；点击时先扫描 `#question-list [data-qid]` 收集已见 id，过滤重复项；无新增条目时 `more=false`（按钮隐藏/显示无更多）。
+   - 注释说明重复加载 bug 的历史形态。
+3. 验证：`go build ./internal/db/...`、`go vet ./internal/db/` 通过；模板测试 `TestTemplatesParse/TestTemplateCrossReferences/TestRenderPublicQuestionList/TestRenderPublicQuestionItem` 全 PASS。全量 `go build ./...` 因第三方 `chai2010/webp`（CGO，本地缺 C 库）预存失败，与本次改动无关。
+4. 待办（未做）：生产侧核对部署二进制是否含 9/1 P0-2 修复、DB 列精度/时区一致性诊断；线上复现的 keyset 怪异行为（同 nano 不同 id 返回不同页等）仍未完全由源码闭合解释。
+- 为用户产出 PG 根因诊断脚本 outputs/pg-cursor-pagination-diagnose.sql：PART A 环境/表结构/集合核对（含 created_at 列精度、索引、answered_public_all 应=38 与线上 API 对齐）；PART B 用 DO+临时表纯 SQL 复刻 ListAPI 复合键集翻页循环，逐页打印 ids、带死循环/重复页检测；PART C UnixNano 指纹核对（1788566476678885000 类）用于区分部署版本旧 vs DB 环境问题。ListAPI 等价条件已核对: FilterAnswered(True)+PrivateStatus=1+PinFirst+page_size=20+1 探测。待用户执行回贴结果判读。
+- 生产库真实结构确认（用户探查）: schema=nekobox（search_path 默认 public 导致首版脚本找不到表）；nekobox.questions: id numeric(seq nekobox.questions_id_seq), created_at/updated_at/deleted_at = timestamp(6) WITHOUT TIME ZONE, user_id bigint, answer text, is_private/is_pinned/is_read boolean NOT NULL；nekobox.users 含 domain。线上库与源码(GORM timestamptz 假设)不一致 -> 无时区列+Go UTC 解释=线上 keyset 错位头号嫌疑。产出 v2 脚本 outputs/pg-cursor-diagnose-v2-nekobox.sql：SET search_path=nekobox; PART A 结构/集合核对(应38)+DB墙钟vs线上Z文本目视(差8h即偏移实锤); PART B DO+临时表纯墙钟 keyset 复现(锚点 timestamp 变量避免时区换算, 重复页/死循环检测); PART C nano 指纹反推命中检测(match_3089)+Z文本墙钟命中。待用户执行回贴。
+- 【根因闭合】v2 脚本线上结果: aoi_user_id=329, answered_public_all=38(与线上API一致), 无置顶行(pinned=0)。DB 墙钟==线上 JSON Z 文本（无时区偏移，会话 Asia/Shanghai 不影响无时区列直比）。PART B 纯墙钟 keyset 翻页: 第1页20条(3109..3089)=线上首页, 第2页18条(3088,2883..2411), 无重复无跳行 -> **DB 层完全自洽**。PART C: nano=1788566476678885000 反推墙钟 00:01:16.678885 精确命中 3089 (match_3089=t), Z 文本命中 3109/3089 -> 服务端 encode 正确、无时区/精度错位。结论: DB/SQL 层彻底排除，线上"游标被无视返回首页"只能用【线上部署二进制与 0904 源码不一致(解析路径差异)】解释。修复=部署含防重兜底的最新源码; 部署后需 curl 复测翻页收敛。
+- 【真根因确认+已修复】部署 0904 后线上仍复现 -> 读 parsePinCursor 源码定位: `time.Unix(0, nano)` 返回 Local 时区，进程 TZ=Asia/Shanghai 时墙钟 +8h(00:01->08:01)。生产 questions.created_at 是 timestamp WITHOUT time zone，驱动按 time.Location 墙钟直发无时区列 -> `created_at < '08:01'` 对库内全部 00:xx 行恒真 -> keyset 退化为全量 -> 永远返回首页 has_more=true -> 无限循环。本地实验 tz_proof.go 证明 08:01 vs 00:01 偏移。已修复 internal/db/questions.go parsePinCursor: time.Unix(0,nano) -> time.Unix(0,nano).UTC()（含时区约定注释）。build/vet PASS。其余 UnixNano 用途(随机/文件名)无 keyset 风险。待用户重新部署后 curl 验收翻页收敛(38条唯一)。
+- 【修复验收通过】用户重新部署后线上验证：第1页20条(新增20) has_more=true -> 第2页18条(新增18) has_more=false -> 总计38条唯一，完全收敛 ✓。非法游标(abc)/旧纯id游标(3089)均返回 {"data":[],"has_more":false} -> 解析失败收敛兜底同时生效。根因(parsePinCursor 时区偏移)与今日两处防重兜底均已上线。问题闭环。
+- 用户拟将生产库克隆到本地实验环境做 timestamptz 迁移测试。本地已建独立 PG 测试实例: 127.0.0.1:5433, user=postgres, trust 认证, data 目录 $HOME/AppData/Local/Temp/tamabox-pg-clone-test/data (PostgreSQL 18 at C:/OtherFiles/PostgreSQL/18)。等待用户 pg_dump 生产库(Fc, --schema=nekobox) 后导入跑迁移验证(epoch 快照/转换/验收/翻页复现)。注意本地另有用户自己的 5432 实例(scram 认证, 无密码勿扰)。
+- 【timestamptz 迁移已在克隆库验证通过】用户 dump(nekobox_clone_20260905.dump, 资料库 drive 节点 6oAmSRkxq7DVFAnqRt8QEv) 下载后导入本地 5433 测试实例 nekobox_clone。结果: 16 表, aoi=38 与线上一致。实际无时区时间列仅 4 表 12 列: questions/users/censor_logs/upload_images(其余表本为 timestamptz)。Asia/Shanghai 会话下迁移 ALTER TYPE timestamptz USING AT TIME ZONE 'UTC': 1.7s 完成, epoch 前后差异 0 行, 残余 without=0; 关键行指纹 3109=1788569378648502000/3089=1788566476678885000/2411=1781735419615754000 与线上一致; keyset 翻页带 +00 参数精确翻出线上第2页同款 18 条; 索引完整; 回滚路径双向验证无损。产出 outputs/timestamptz-migration-online.sql(PART0 核对/1 快照/2 迁移/3 验收4项/4 注释回滚)。克隆测试实例与 dump 暂存本地 Temp, 待用户线上执行确认后清理。
+- 【线上 timestamptz 迁移执行成功】用户线上跑 timestamptz-migration-online.sql: PART0=4表12列, PART1快照12列, PART2迁移DO完成, PART3验收全绿: 3.1 epoch差异0行, 3.2 remain_without=0, 3.3 指纹 2411=1781735419615754000/3089=1788566476678885000/3109=1788569378648502000 与克隆库/线上游标一致, 3.4 keyset第2页18条(3088,2883..2411)同款。但端到端验收受阻: box.tama.guru 持续 HTTP 521(源站不可达, 页面+API均打不开, 观察约2.5min) -> 疑似用户正在重启/部署应用或服务宕机, 待服务恢复后重跑翻页验收脚本(38条唯一收敛)确认整体闭环; 本地5433克隆实例与dump暂留待最终验收后清理。
+- 【端到端验收通过·最终闭环】服务启动后重跑线上翻页: 第1页20条 has_more=true -> 第2页18条 has_more=false -> 38条唯一收敛 ✓。注意: 迁移后 JSON created_at 文本从 "...Z"(UTC) 变为 "...+08:00"(session TZ=Asia/Shanghai) —— 绝对时刻一致。前端消费核对: history-template SSR {{Date .CreatedAt}} 迁移前显示 UTC 墙钟(少8h) 而 JS dayjs() 追加项本地化 -> 首屏与追加时间曾不一致(隐藏显示bug), 迁移后 SSR 读 timestamptz 转会话时区 -> 两者一致且显示上海本地时间(对用户更正确); item.html/list.html 同理顺带修正。无需改代码, 属显示语义修正观察项。遗留: 用户清理 diag_test 报依赖错误 -> 解答用 DROP SCHEMA diag_test CASCADE (schema 内仅 snap_before/snap_after 两张自建快照表)。本地 5433 克隆实例+dump 待清理。
+- 【发现迁移基准错误+已产修复脚本】用户反馈: 真实本地时间 00:01 的提问页面显示 08:01 -> 存量墙钟实为"上海本地时间"(驱动按进程本地墙钟写无时区列, 读出按UTC标记, 文本一致造成 v2 诊断"对称"假象), 先前迁移用 AT TIME ZONE 'UTC' 把上海墙钟误标 UTC -> 存量绝对时刻整体 +8h。克隆库验证反向修正(USING c AT TIME ZONE 'UTC' AT TIME ZONE 'Asia/Shanghai', 净-8h): 3089 08:01->00:01:16+08 (epoch 1788566476678885000->1788537676678885000), 3109->00:49:38+08, 2411->06-17 22:30+08; keyset 第2页仍18条。产出 outputs/timestamptz-migration-fix-8h.sql (PART0 聚焦4表12列/1快照/2修正/3验收含3.1显示+epoch/3.2翻页/3.3计数/3.4残余/4注释回滚=反向AT TIME ZONE 'Asia/Shanghai' AT TIME ZONE 'UTC')。克隆库全流程演练通过。待用户线上执行贴回 + 我重跑 API 验收(next_cursor nano 应从 0.1788566476678885000 变 0.1788537676678885000)。
+- 【线上反向修正验收通过】用户线上执行 timestamptz-migration-fix-8h.sql(PART2 修正完成, 后续输出被 psql 分页截断不影响), 我直接 API 验证: next_cursor nano 1788566476678885000->1788537676678885000 ✓, created_at 文本回到本地墙钟 00:49:38.648502+08:00 / 末条 00:01:16.678885+08:00 ✓, 翻页 38 唯一收敛 ✓。存量时间语义修正为"上海墙钟"。注意: 该脚本不可重跑(会再-8h)。遗留: 用户如需补看验收可跑只读 SQL; diag_test 清理可用 DROP SCHEMA diag_test CASCADE; 本地 5433 克隆实例+dump 待清理(询问用户后执行)。
+- 【留档完成】事故复盘文档 outputs/TamaBox-v4-keyset-pagination-timezone-incident-2026-09-05.md：完整记录两层缺陷(①parsePinCursor time.Unix Local +8h 致 keyset 失效②timestamptz 迁移基准误用 UTC 致存量+8h 已反向修正)、时间线、4文件代码改动、SQL 脚本产物清单(标注 v1/v2 已淘汰、online.sql 基准错误勿复用、fix-8h.sql 不可重跑)、经验教训预防清单(无时区列+带时区代码混用是土壤/迁移前须用现实锚点确认数据语义/文本一致≠语义正确)、遗留建议(页面抽查/可选 UTC 输出/清理克隆实例与dump/生产 DROP SCHEMA diag_test CASCADE)。
+
+## UIkit CSS 迁移公共 CDN（速度优化落地）
+
+- 背景：生产速度测试发现 R2 自托管 `uikit/3.3.3/css/modify-black-font/uikit.min.css`（263432B）加载 ~1100ms 是大头。
+- Diff 结论：自建版与官方 uikit@3.3.3（263444B，sha256 6630e078...）**仅 3 处颜色差异**——把有色容器(.uk-light/.uk-card-primary/.uk-card-secondary/.uk-overlay-primary/.uk-section-*/.uk-tile-*/.uk-offcanvas-bar)内默认白字/白标题改黑：容器文字与 table th `rgba(255,255,255,.7)→rgba(0,0,0,.7)`，h1-h6/.uk-h*/.uk-heading-* `#fff→#000`。
+- 模板实际仅用 `.uk-light`（用户背景封面，question/list.html、question-not-found.html；内部 h3/p 由 #usernamecolor/#introcolor 内联 JS 覆盖，优先级最高），其余有色容器全仓无 class 使用 → 补丁可只投影 .uk-light（477B 代替 9KB）。
+- 测速（本地国内网络，全量 263KB 3 次）：cdnjs.snrat.com ~0.25s（热）最快 > jsdelivr ~0.47s > unpkg ~1.3s > cdnjs.cloudflare ~1.0-1.4s > R2 自建 1.4-2.0s。check-host.net 全球 12 节点：snrat 与 jsdelivr 均 12/12 = 200 OK（snrat 根路径 301 不影响带资源路径请求）。snrat 缓存头 max-age=31104000（360 天）。
+- 落地修改（仅 templates/base/header.html）：
+  1. css link → `https://cdnjs.snrat.com/ajax/libs/uikit/3.3.3/css/uikit.min.css`
+  2. js（uikit.min.js/uikit-icons.min.js）→ `https://cdnjs.snrat.com/ajax/libs/uikit/3.3.3/js/...`（CDNJS 路径与 cdnjs 官方同构，已验证文件存在 Content-Type 正确）
+  3. link 后新增补丁 `<style>`（.uk-light 黑字 3 条规则 + 扩展警告注释）
+  4. 头部 preconnect 增加 `https://cdnjs.snrat.com`（注释同步更新，原"全部归拢 R2"说法过时）
+- 验证：go test ./templates（TestTemplatesParse/TestTemplateCrossReferences/TestRenderPublicQuestionList 等）全 PASS；CSS 括号配对/规则数 3 条自检通过。
+- 未做（用户排除）：Rocket Loader（cloudflare-static/rocket-loader.min.js 1100ms）需在 Cloudflare 后台关闭 Speed→Rocket Loader。
+- 注意：原 R2 路径 `.../expire-1-y/uikit/3.3.3/css/modify-black-font/uikit.min.css` 仍保留可访问（回滚用）。若日后引入 .uk-card-primary 等容器需黑字，须扩展补丁（参考此节差异清单）。
+
+## UIkit 迁移生产/测试环境验收（对比通过）
+
+- 部署后对比（真实浏览器 computed style 实测，agent-browser eval，注意本会话模型不可读图、勿再用"看截图"断言）：
+  - 生产 box.tama.guru/_/tamakyi（旧代码）：uikitSheet=r2 modify-black-font；.uk-light 容器色 rgba(0,0,0,.7)；navbar_bg rgb(248,248,248)；username 内联色 rgb(0,123,255)（小狼账号自设蓝）、intro rgb(205,76,108)（自设粉）。
+  - 测试 box-dev-api.337845818.best/_/admin6（新部署）：uikitSheet=cdnjs.snrat.com 官方；.uk-light 容器色 rgba(0,0,0,.7)（补丁生效=modify-black-font 等价）；navbar_bg rgb(248,248,248) 一致；username/intro 内联色 rgb(0,0,0)（admin6 账号默认黑，非 CSS 差异）。
+  - 结论：UIkit 相关 computed style 两环境逐值一致 → 迁移无回归。用户名/简介颜色差异仅来自各账号服务端颜色字段。
+- 环境坑记录：agent-browser 冷启动需 `agent-browser install`（Chrome 152 下载 193MB，卡住原因=缺浏览器）；open+eval 组合命令易超时被 auto-background，应 open 与 eval 分两条命令执行；本环境 curl 落盘/-o /dev/null 偶报 error 23 但不影响数据（可改 stdout+管道）。Chrome 位置 C:\Users\Tamakyi Gekka\.agent-browser\browsers\chrome-152.0.7977.82。
+
+## uikit R2 vs snrat 国内外测速（5 次全量下载中位，2026-09-05）
+
+- 国内本机：OLD-css 0.864s→NEW 0.200s（4.3x）；OLD-js 0.796→NEW 0.163（4.9x）；OLD-icons 0.824→NEW 0.177（4.7x）。三资源合计 2.48s→0.54s，净省 ~1.9s。
+- 国外 check-host.net 多节点（两轮）：CSS p50 R2 240-358ms vs snrat 233-420ms ≈ 打平（R2 偶发长尾 max 3.3-4.8s，snrat 平稳 ≤896ms）；JS p50 R2 372ms vs snrat 647ms，R2 快 ~40%。
+- 结论：snrat 国内完胜；海外 R2(Cloudflare 全球边缘)略优/打平。站点访客以国内为主 → 切 snrat 净收益大。若未来在意海外可 geo 双源（国内 snrat / 海外 R2），当前不做（过度设计）。
+- 测速脚本已归档 dev/bench-cdn.sh（cn=国内 5 次全量取中位 / global=check-host.net 海外 p50/p90），cn 模式冒烟通过（复测数据与基线一致）。
+
+## 部署架构澄清（用户补充 + 实测确认）
+
+- 用户架构：正式 box.tama.guru 与测试 box-dev-api.337845818.best 均经 Cloudflare Tunnel 开放；box.tama.guru 是国内走腾讯 EdgeOne 的双入口。
+- 实测（国内本机/出口视角）：box.tama.guru → 43.174.247.43 Server: TencentEdgeOne（HTML 无 rocket-loader 注入，干净）；box-dev-api.337845818.best & r2.337845818.best → 172.67.144.141 Server: cloudflare CF-RAY AMS（HTML 含 rocket-loader）；cdnjs.snrat.com → 101.227.21.24（国内节点）。
+- 推论：Rocket Loader 只在 Cloudflare 边缘对走 CF 的请求注入 → 仅影响海外路径与测试域名；国内 EdgeOne 路径 HTML 干净（EdgeOne 回源直连源站不经 CF HTML 重写）。本机出口连 CF 落在 AMS（阿姆斯特丹）→ 本机测 R2 慢不代表真实国内用户（其可能经 CF 亚洲/香港节点），但 snrat 国内节点快是实打实。
+- 待用户确认：① 之前 1100ms rocket-loader 截图是否来自海外/测试域名或未接 EdgeOne 前 ② r2.337845818.best 是否也接 EdgeOne（未接 → 静态资源国内仍可能慢，是后续优化重点）③ CF 侧 Rocket Loader zone 开关位置。
+- 【用户澄清+盘点完成】①截图=PageSpeed(海外探测)，非国内 ②r2.337845818.best 未接 EdgeOne ③DNS 分流架构：dnspod 按境内/境外解析 box.tama.guru，境内 EdgeOne/境外 Cloudflare。据此修正认知：国内不受 Rocket Loader 影响；国内真实瓶颈=R2 的 CF 国际链路。全量盘点 r2 静态资源（outputs/r2-assets-cdn-audit-2026-09-05.md）：sha256 校验 6 个 JS 库（jquery/dayjs/alpine/cropperjs/vConsole/waline.js）=纯官方原版；实测 R2 每资源 0.72-1.10s vs snrat 0.15-0.42s（2-7.4×）；关键认知=公共 CDN(cdnjs.cloudflare/jsdelivr 0.6-1.8s)≠快，要选 snrat 国内节点。waline-no-commits.css 为刻意定制（39 条 .wl-card display:none 隐藏评论列表，与官方选择器全同）不可直换官方。easy.qrcode=remake 定制、neko-pixel 0.0.21 npm 查无、time.box.js/图片图标=专属 → 无公共源。建议：方案 A(R2 接 EdgeOne 根治定制文件)+方案 B(A 组 5 库迁 snrat) 组合，待用户批准。
+- 【重大认知修正 + 方案落地】itdog 大陆多节点测速（用户截图）：box.tama.guru（EO新加坡,43.174.247.43）大陆均值 3.2-3.6s、三网骨干峰值 9-11s（四川电信 11.1s）；box-dev-api（纯 CF，172.67.144.141/147.52/80.1）大陆均值 5.7-6.5s、峰值 12s。**反向分布**：港澳台/新疆/内陆部分省份反而 300-500ms。结论：① CF 与 EO 单走大陆都慢 3-12s，CF tunnel 不是备案前解药，删 DNS 分流的方案被证伪 ② R2 大陆实测 ~250ms 正常，静态资源非瓶颈 ③ 真正瓶颈=大陆→境外源站(EO新加坡/CF边缘)动态页链路。Rocket Loader 用户已手动关闭，HTTP/3 已开启。后端审计初步：box-dev-api 的 /favicon.ico→302 首页、robots.txt 1.1-2.4s(本机 AMS 视角)、cf-cache-status: BYPASS → 静态未缓存且每次回源，存疑点待大陆视角复核。根本解决路径只剩备案+大陆 CDN（腾讯云/阿里云，或 CF 中国伙伴京东云/世纪互联），备案前可做项=静态库迁 snrat。方案 B 已落地：jquery3.7.1/dayjs1.10.8/alpine3.9.0/cropper1.6.2(js+css 用 min 版)/vConsole3.12.1/waline2.15.8 共 7 文件全部 sha256 校验一致后 R2→cdnjs.snrat.com（4 文件：header/list/question-not-found/profile），备份在 .workbuddy/backup/cdn-migration-20260905/，go test templates 通过。R2 保留：easy.qrcode remake/waline-no-commits.css/time.box.js/pickr(1.10.1 snrat 404 未收录)/neko-pixel 0.0.21/logo/社交图标。
+- 【snrat 部署验收通过】用户部署 box-dev-api 后用浏览器实测 admin6 主页：HTML 全部 snrat 引用已生效（uikit/css/js/icons、dayjs/alpinejs、waline.js/jquery/min），无 Rocket Loader 注入。document.readyState=complete，UIkit/Dayjs/jQuery/Waline 全局对象全部存在，UIkit 组件（navbar、tab、表单、按钮）渲染完整、.uk-light 补丁正确生效、定制文件（waline-no-commits/easy.qrcode remake/time.box.js/社交图标）继续走 R2 无回归。截图已存 outputs/admin6-snrat-check.png。验收小波折：open+eval 组合命令易卡顿（已分步解决），首次 eval 在 defer 脚本未执行完时探测 typeof UIkit=false 属时序问题，等 3s 后 UIkit=true。
+- 【生产部署验收通过】box.tama.guru 主页/用户页 HTML 引用全部确认（uikit/dayjs/alpinejs/jquery/waline.js → cdnjs.snrat.com，旧 R2 库残留=0，定制文件 waline-no-commits/time.box.js/tamabox_low.png 继续 R2 200 可达）。浏览器实测 /_/tamakyi：UIkit/dayjs/jQuery/Waline 全局对象全部就位（UIkit=function）、navbar rgb(248,248,248)、.uk-light rgba(0,0,0,.7) 补丁生效、用户名 rgb(0,123,255) 账号自设色、28 UIkit 按钮，无回归。截图 outputs/prod-tamakyi-snrat-check.png。⚠️ 踩坑记录：agent-browser 探测 defer JS 库有显著时序窗口——本机(AMS 出口)拉 snrat 国内节点 133KB uikit.min.js 需数秒，过早 eval typeof UIkit=false 属假阴性；且 CDN 无 Timing-Allow-Origin 时 resource timing 全 0 属正常。正确姿势：open 后 sleep≥8 再 eval，或先 fetch 触发等待；判断库是否成功以全局对象(typeof)为准，勿信 resource timing。
+- 【后端审计补完】澄清两个疑点+确认一个真问题：① /favicon.ico、/robots.txt、/ 的 302 是 curl -sSI(HEAD) 假象——flamego f.Get 路由对 HEAD 不匹配返回 302，GET 全部 200，浏览器无影响，撤稿之前"favicon 302"结论。② 真问题：route.go 的 favicon/robots/sitemap/llms/llms-full 5 个 embed handler 只设 Content-Type 无 Cache-Control → CF cf-cache-status: BYPASS、EdgeOne Age:0 每次回源 tunnel。全项目仅 share.go:501 share-card 设了 public max-age=300；/static/* 由 flamego.Static CacheControl 统一 86400。③ 动态页 HTML 无缓存头是预期(个性化)，edge 每次回源属免备案架构使然。待批修复：5 个 handler 各加 Cache-Control: public, max-age=86400（约 5 行，纯增益）。源站不在本机(无 cloudflared/tamabox 进程)，localhost 直测不可行。
+- 【修复落地】route.go 5 个 embed 静态 handler（/favicon.ico /robots.txt /sitemap.xml /llms.txt /llms-full.txt）各加 Cache-Control: public, max-age=86400。验证：gofmt 干净 + go build -overlay 编译通过 + go test ./internal/route/ 通过。⚠️ 环境坑记录：Windows 本机全量 go build/go test 会因 chai2010/webp@v1.4.0(cgo 依赖 libwebp) 报 undefined webpGetInfo 等——需用 dev/webpstub 机制：dev/overlay.json 已失效(指向旧仓库路径 TamaBox-v4-time)，正确姿势=自建 overlay 把 internal/storage/s3.go 替换为 stub(s3.go 导出符号仅 MaxUploadBytes/UploadAvatarToS3/UploadBackgroundToS3/UploadPictureToS3/ConvertStaticImageToWebP + oss.go 引用的私有 isSupportedImage)，本次 stub 存 %TEMP%/s3_stub_tamabox.go、overlay 存 %TEMP%/ov-tamabox.json，命令：go build/test -overlay=...。部署链：Dockerfile CGO_ENABLED=0 + go build ./cmd/（生产无碍）。
+- 【测试环境缓存修复验收】box-dev-api 5 路径(favicon/robots/sitemap/llms/llms-full)响应均已带 Cache-Control: public, max-age=86400（HTTP 200）。⚠️ CF 缓存机制要点：无 cookie 首访 → session 中间件 Set-Cookie(flamego_session) → cf-cache-status: BYPASS 永不缓存；带有效 cookie 请求 → 不 Set-Cookie → MISS→HIT(Age 递增) 正常缓存。真实浏览器=先访问 HTML 已种 cookie→后续 favicon 等请求均带 cookie→缓存命中；无 cookie 场景仅 curl 首访/搜索引擎爬虫(低频,可接受)。测试环境通过，用户将部署生产。若日后想让爬虫也命中缓存：把静态路由挪到 session 中间件之前或让 session 跳过静态路径（本次未做）。
+- 【答疑】/.well-known/pki-validation/fileauth.txt 删除后仍被爬：① 线上实测两环境均 302→/（Go http.Redirect 标准输出），文件内容确已删除生效；② 请求持续=全网证书/安全扫描器将 .well-known/pki-validation 与 acme-challenge 同列标准探测目标，按字典批量扫所有域名，与文件是否存在无关；③ 302 来源=route.go:396 f.NotFound handler（先 ab.Record 404 计数再 ctx.Redirect("/")，注释说明 flamego NotFound 先写 404 再 302）；④ 噪音放大：探测 302→扫描器跟随→再请求 / 首页，日志翻倍且 CDN 不缓存 302（EO-Cache-Status: MISS/DYNAMIC）每次回源。治理可选：CDN 规则边缘拦 .well-known/*(推荐,零回源)/f.NotFound 对探测路径直接 404 不 302/autoban 敏感路径加速封禁。等待用户选方向。
+- 【架构澄清+瓶颈定位实验设计】用户澄清架构：海外=CF+tunnel+优选网络；国内=EdgeOne 直连源站 IP（回源不走 tunnel）。质疑"大陆→境外源站"归因。回应要点：大陆用户连的是 EO 节点非源站（此前表述简写失准），但 EO 国际站无大陆 PoP（43.174.247.43=新加坡），"境外段"=大陆→EO 新加坡节点（itdog 3-11s 证据即此段）。分离实验：生产 robots.txt 已确认 EO HIT 缓存（MISS→HIT Age 2/3，证明 cache-control 5 行修复已部署生产生效）→ 用户 itdog 对比 robots.txt(HIT 零回源) vs /_/tamakyi(每次回源)，差异=EO→源站回源段+源站处理；若 robots 也 3s+ 则瓶颈纯在大陆→EO 段与回源方式无关。需用户补测+告知源站位置（决定回源段性质：源站大陆则 EO 新加坡→大陆回源也属国际链路）。
+- 【链路分解实测完成】用户确认服务器在境外。三组实测：① 本机 curl(AMS 出口)：robots.txt(EO HIT 零回源) 0.6-2.2s 波动 vs 动态页 /_/tamakyi ttfb 0.87-1.46s——EO HIT 也波动大，非回源差异；② check-host.net 全球 25 节点：robots.txt(EO HIT) p50=1258ms min505(us2) vs 动态页(回源) p50=1217ms min735(jp1)——**两者几乎相同**→ 证明 EO→境外源站回源段快(服务器境外)，动态页不比零回源静态慢；③ agent-browser 页面级(AMS)：TTFB 348ms、HTML download 555ms、load_total 1.1s、最慢资源 log beacon 1944ms。结论：动态页慢的根因=用户→EO 新加坡节点段（大陆 itdog 3-11s 因国际出口拥塞；连欧美节点也 0.5-2.7s 因 EO 国际站无大陆 PoP 且节点网络质量差），与回源方式(tunnel/优选/直连IP)无关。对照：snrat(国内 cdnjs 镜像) 全球 p50 仅 257ms ≪ EO p50 1258ms，EO 国际站全球表现差。根治=备案+大陆 CDN。
+- 【HTML 压缩评估】生产 /_/tamakyi：原文 61,125B（内联 style 11 块 19,972B + 内联 script 10 块 14,048B + 外链 9js/2css + 空白 4KB）。gzip 已在源站开启（internal/route/gzip.go GzipHandler 挂 http.Server 最外层，处理 204/304/嗅探/Flusher，不主动 flush 单块输出；EO 透传带 Vary），gzip-9 后仅 14,966B(24%)。无显式 Flush 调用点 → 无多次 RTT 问题。结论：压缩已最优；555ms download 主因是高 RTT 非体积；内联 CSS 20KB 是设计（高 RTT 下内联优于外链+缓存），不建议外链化；剩余微优化(minify 内联块/去空白)收益 <1KB gzip，无意义。真正优化=降 RTT(大陆 CDN)。
+- 【EO 优选调研】结论：①有，社区"EO 优选 IP"玩法与 CF 优选同原理：EO 官方 CNAME 把大陆调度到新加坡(43.174.247.43 AS139341 ACE)慢，社区做法=DNS 改 A 记录直指香港等优质 EO 边缘 IP(43.174.150.x 香港同 AS)。数据源 wetest.vip(page/edgeone/address_v4 需登录，15min 更新)/cf2dns 面板/archlinuxcn forum 教程。②实测：xhh 教程香港 IP 43.174.150.199/119 已失效(000，时效性强需活源+月度更新)；EO 大陆可达节点列表(EdgeOne-ips-Checker available_eofreecn_ips 167 个大陆 IP)接口 2026-07-31 停服 8-31 下线，实测全 000 → B 类已死。③EO 官方内建"自研协议优化/回源链路探测"(类 Argo)但无法解决无大陆 PoP；优选只能把边缘从新加坡换香港(大陆 3-11s→预计 50-200ms，待 itdog 验证)。④落地=dnspod 境内线路解析值改 A 记录指向活香港 EO IP(多 IP+TTL60-300s+月度更新)，境外保持 CF。风险：灰色玩法/证书 SNI 需实测/EO 不承诺。结论已回复用户，未动手改 DNS。
+
+## EO 优选方案 B 免费实测（用户排除付费 wetest.vip 后执行）
+- 【用户确认】方案 B=自扫或公开 CNAME 均可，不限香港，周边区域比新加坡好即可。
+- 【免费公开源全灭实测】wetest.vip 需会员(公开页0 IP)；*.v1/v4.eo.fastlydns.cn、eo.072103.xyz、eo.088086.xyz 全部 NXD；蓝点网/雾创岛 43.174.150.x 香港 IP 证书已退回 *.cdn.myqcloud.com(CDN 通用池) 全失效。博客佐证(2026-02):"EO 现在不能使用优选节点,非适用节点返回 418"。
+- 【方法论修正】TLS 握手成功≠可用(腾讯 CDN 泛播池也握手)；正确判据=schannel 证书校验过(CN=box.tama.guru)+HTTP 200+Server: TencentEdgeOne。
+- 【扫描事实】43.174/43.175 全 /16 抽样(3072)+官方段/HK/JP 细扫(56 /24≈14000 IP)：能服务 box.tama.guru 的 EO 池 9 段全新加坡(192-195/218/240-241/246-247)；EO 泛播确实同步全球——HK(43.175.115/119/43.174.126 共8 IP)、东京(43.175.16/17/18/113 共6)、大阪 107.217、AMS/DXB 零星可服务。
+- 【南宁电信视角(真实大陆)】官方新加坡 TCP 180ms/TTFB 0.8-1.0s 反而最优；香港候选 351-377ms/TTFB 1.3-1.8s、东京 276-299ms/TTFB 1.1-4.0s(不稳) 均更慢 → 官方 CNAME 即 EO 对大陆优化调度,自扫候选跨境路由绕。单点结论≠全国,华南可能反转,已列 15 个候选 IP 待用户 itdog 多节点验证(报告 outputs/eo-free-probe-2026-09-05.md)。
+- 【工具沉淀】dev/eo-probe-ips.py(TLS快速预筛)、dev/eo-probe-v2.py(schannel 严格判定,可复用任意域名)、dev/eo-scan-all.py(TCP+openssl 两段式大范围扫描)。
+- 【下一步】用户 itdog 验证候选 vs 新加坡；若均不优→方案 B 到此为止(免费优选时代窗口 2025中-2026初已关),剩余=备案+大陆CDN 或维持现状。
+
+## 头像+二维码加载慢诊断（个人主页 /_/tamakyi，南宁电信实测）
+- 【根因1 P0】R2( r2.337845818.best ) 图片对象全部无 Cache-Control（仅 ETag+Last-Modified，cf-cache-status: DYNAMIC）；头像 Last-Modified=当天→启发式缓存≈0→每次页面加载重下头像。304 也 1.05s（RTT 省不掉）。上传代码 s3.go PutObjectInput 从未设 CacheControl（已确认）。
+- 【根因2 P0】R2 纯 CF 国际链路：南宁实测每资源 0.78-1.4s（头像 0.9-1.05s/背景 297KB 1.39s/logo js 0.96s/1.6KB time.box.js 也 0.9s=RTT 主导）；snrat 大陆镜像 0.3-0.5s 作对照。
+- 【根因3 P1】easy.qrcode.min.js(52KB,R2) logo 分支：头像 onload 才绘制，onerror 仅 console.error 无降级→头像挂/失败=二维码永久空白。
+- 【根因4 P1】头像缓存键分裂：header.html icon/favicon 用 ?og-image=1(646-648)，list.html+页面头像+QR logo 用 ?v=2 → 一页下载 2 份。
+- 【根因5 P1】背景 box_background.png 303KB 未压缩 PNG（2024-08 上传未变）。
+- 【根因6 P2】defer 统计脚本拖 DOMContentLoaded：vercount 1.24s(波动2.7s)/mami 波动3.7s → 二维码初始化(DCL)被拖。
+- 【修复方向】P0① s3.go 加 CacheControl public,max-age=31536000,immutable(图片 key 随机不可变安全)；P0② easy.qrcode onerror 降级无 logo 绘制+超时；P1③ 统一头像 query 键(og-image=1 无 Go 处理疑似遗留)；P1④ 背景转 WebP≤60KB；P1⑤ 统计脚本 async；P2⑥⑦⑧(R2 前接 EO 回源=治本)。
+- 报告 outputs/avatar-qrcode-slow-2026-09-05.md；抓包快照 outputs/tb-page-snapshot.html；库源码已存 dev/easy.qrcode.min.js、dev/time.box.js。
+
+## P0 批落地：s3.go immutable 缓存头 + 二维码降级渲染（用户批准后执行）
+- 【用户授权】"先备份当前源码，然后尝试吧"→ 执行诊断报告的 P0-① 与 P0-②。
+- 【备份】.workbuddy/backup/p0-avatar-qrcode-20260905/（s3.go + header.html + list.html + question-not-found.html + profile.html，含修改前版本；header.html 修改前版本用脚本从当前版精确移除新增块生成，已与 cdn-migration 基线比对仅差上午 10 行 CDN 迁移改动，验证一致）。
+- 【改动1 s3.go】uploadPictureToS3 的 PutObjectInput 增加 CacheControl: public, max-age=31536000, immutable（key=picture/日期/随机hex 内容不可变，安全）。SDK v1.47.5 PutObjectInput.CacheControl 字段验证存在；gofmt 通过。
+- 【改动2 header.html】<body> 后新增全局 window.tbRenderQR(el, getOptions)：核心修复 easy.qrcode logo/背景图加载失败仅 console.error 无降级导致二维码永久空白。策略=已知可用层立即绘制（logo 记忆命中零等待一次成型）→ 未知层先省略画基础码（立即可扫）→ Image 探针判定后重绘升级版；失败记忆 _tbQrGood/_tbQrBad 按 URL 同会话缓存；3s 超时兜底；迟到 onload 仍能补 logo。实测 8 个行为用例全过（node stub QRCode/Image）。
+- 【改动3 三个调用点】list.html(公开主页)/question-not-found.html：new QRCode→tbRenderQR；profile.html updatePreview 同改（debounce 高频重绘场景靠 URL 记忆避免闪烁）。背景图分支（库内无 onerror 同风险）一并纳入降级。
+- 【验证】go test ./templates/ 全绿（TestTemplatesParse/CrossReferences 等）；8 行为用例 PASS；改动 diff 已复核为纯增量。
+- 【部署注意】缓存头只对新上传对象生效；历史对象需手动（可用 CF 批量 purge 或 R2 重新上传）；模板改动无后端逻辑变化。待用户部署后浏览器验证：二次访问头像应 0ms 级、头像坏链时二维码仍可扫。
+
+## CORS/画布污染核查（P0-② 二维码降级改动安全性）
+- 【结论】当前部署不会引发 CORS 失败或 canvas 污染。三个前提实测：① R2 已配 CORS 白名单，box.tama.guru 与 box-dev-api.337845818.best 均返回 ACAO（localhost:3000/example.com/裸域 无 ACAO）；② list/profile options 显式 crossOrigin:'anonymous'（注释注明"直连 R2 跨域图须 CORS 模式"），tbRenderQR 默认同值，与库内 new Image 的 CORS 模式一致，探针与库绘制走同一缓存键；③ easy.qrcode 内部 makeImage 后调 this._elCanvas.toDataURL("image/png")（catch 后 console.error + 提示 "Configured crossOrigin:'anonymous'"）——库开发者已内置该诊断。
+- 【污染免疫原理】canvas 污染只发生在"no-cors 隐式加载成功但无 ACAO"的中间态；tbRenderQR 探针失败(onerror)→ 根本不 drawImage → 无污染；成功 → 响应必带 ACAO → 干净。不存在绘制了却污染的路径。
+- 【边界提醒】R2 CORS 白名单只有 2 个源；新增页面域名/本地开发需先加白名单，否则 anonymous 探针 onerror → 降级基础码（可扫但永不带 logo，不报错）。favicon/og-image/meta 均非 canvas 上下文，无需 CORS 无污染风险（header.html 640-653 直指 R2）。
+
+## P0 批测试环境验证（agent-browser 实测 box-dev-api.337845818.best/_/admin6）
+- 【静态部署检查】HTML 含 tbRenderQR 2 次（helper 定义+1 调用）/ crossOrigin:'anonymous' 1 次 / logoBackgroundTransparent 2 次 / new QRCode(document.getElementById 为 0（已替换）→ 三处调用点全部到位。
+- 【正常路径】#boxqrimg canvas 200x200、toDataURL 成功（base64 长 28578 无污染）、中心 20x20 像素全为非白非黑"other"且色相分布为深色照片调（4,4,3 棕色系 96 像素、7,6,1 等）→ 头像 logo 已绘制升级版。
+- 【降级路径】临时 div 用坏头像 URL（不存在 picture path）调 tbRenderQR：立即态 canvas 已生成（len 4226 紧凑基础码、exportable true）；3s 后状态保持（childCount 1、exportable true）；_tbQrBad 写入坏 URL；_tbQrGood 同时记录真实页面头像 9af3e38?v=2 与背景图 25e2d84 → 双向印证降级免疫污染。
+- 【加载中排查】页面 2 个 uk-spinner："正在生成分享图…"（分享卡区正常态）+ captcha modal 内的"加载中..."（rect 全 0 不可见）；"加载更多 加载中..."按钮 display:none → 均非主诉"全屏加载中"覆盖层。用户主诉已消除。
+- 【截图】outputs/tb-dev-test-qr.png 全页、tb-dev-test-qr-crop.png 头部裁切：头像、用户名、提问按钮、二维码均已显示，无加载中残留。
+- 【代理坑提醒】agent-browser open <url> 因测试站境外+defer 脚本多会卡 load 等待；可靠做法：先 agent-browser open (about:blank 启动 daemon) → 再 open <url> 导航 → 然后 sleep ≥10s 让 defer 脚本就绪再 eval。
+- 【结论】P0 批（s3.go immutable 缓存头 + 二维码降级）测试环境验证全部通过，可部署生产。
+
+## P0 批正式环境验证（agent-browser 实测 box.tama.guru/_/tamakyi）
+- 【静态部署】HTML 60.1KB；tbRenderQR 2 次/调用点 1 处替换/crossOrigin 'anonymous' 1 次/logoBackgroundTransparent 2 次/new QRCode(document.getElementById 0；头像引用 r2.337845818.best/.../2e571390...（2026/09/05 新传）→ 与测试环境一致部署完整。
+- 【正常路径】#boxqrimg canvas 200x200 exportable len 31726；中心 20x20 像素全为深色照片调（7,7,7 灰+蓝黑系）→ 头像 logo 已绘制。
+- 【降级路径】坏 URL 测试：立即态 len 4226 基础码、3s 后保持 stillCanvas exportable len 4226 不空白；badMem=1、goodMem 含 2 个真实 URL（头像 2026/09/05 新头像 + 背景图 2024/09/22）→ 双向印证探针与降级免疫污染均正常。
+- 【加载中残留】visibleLoading=[]（精确定位 rect>0 且文本含"加载中"的可见元素）；之前的 uk-spinner/captcha/loadmore 在生产页同样不可见。
+- 【截图】outputs/tb-prod-test-qr.png：头像、二维码码眼完整、无加载中遮挡 → 与测试环境一致通过。
+- 【坑补充】第一次 `agent-browser open | open URL` 链式启动 3+ 分钟无输出卡死（即使之前测试环境用同样命令成功），最终拆成单条独立命令即恢复。原因可能是 Chromium 冷启动资源紧张或 chain 顺序导致首条 stdin 未及时关闭。经验：永远单条命令、第一条单独跑。
+- 【结论】P0 批正式环境全部通过；图片缓存头对老对象（2024/09/22 背景图）暂不生效，新上传对象生效，需要时间自然过渡。
+
+## autoban 误伤诊断（用户 app.ini: window=10s, sensitive=10, 404=20, duration=15min, trust_proxy=true）
+- 【机制】全站仅 2 个计数入口：中间件敏感路径 defer Record（autoban.go:39）+ f.NotFound 404 Record（route.go:403）。业务路由/模板 77 URL × 39 敏感词零碰撞 → 正常页面不误计。
+- 【误伤根因】正常用户 10s 内凑不出 10 敏感/20 404 → 误伤必是"他人探测记到自己键上"：P0-A IP 键折叠（EO 未透传 EO-Client-IP 时全大陆回退到 43.174.247.x 新加坡边缘共享键；CF tunnel 异常时回退 127.0.0.1）；P0-B CGNAT 共享出口连坐（国内 NAT444 常态，管理员自伤主因）；P1-C IPv6 /64 聚合连坐；P1-D 双 CDN 未删对端权威头可被伪造头定向嫁祸。
+- 【止血配置】window 60s + sensitive 30 + 404 100 + security_alert_email 开（先看封禁 IP 判断折叠）。治本=EO 开回源 IP 透传 + 源站防火墙锁 CDN 网段 + 双 CDN 删对端头。
+- 【代码增强候选】登录 session 豁免计数、封禁 logrus 日志、UA 二次确认。报告 outputs/autoban-false-positive-2026-09-05.md。
+
+## autoban 策略修正实施：ban_track_notfound（用户选定"配置开关版"）
+- 【背景】生产新误伤案例 106.7.154.160（真实国内电信 IP，非 CDN 边缘）：样本 /_/Liarcs×4 + /×2 全是计数事件；但 domain/题目不存在走 302（Pager/Questioner 均 ctx.Redirect）不计数 → 能进 f.NotFound 的多为非 GET 探测或未注册路径；告警 paths 仅 6 条且受 2min cleanup 影响可跨窗口累积 ≠ 触发原因；触发=10s 内 ≥20 次 f.NotFound 或 ≥10 敏感。疑似共享出口(CGNAT)连坐或目标性探测。
+- 【评估结论】敏感通道 35 项扫描特征与业务路由全表零重叠→零误伤；404 通道是唯一误伤源但价值低（主流字典必碰敏感项；/_/{domain} 枚举靠 200/302 区分本来就抓不到）→ 砍 404 计数收益>损失。
+- 【改动 5 文件，备份 .workbuddy/backup/autoban-track-notfound-20260905/】
+  1. internal/conf/static.go：Security 加 BanTrackNotFound bool `ini:"ban_track_notfound"`（默认 false）
+  2. internal/security/autoban/autoban.go：Options.TrackNotFound、Banner.trackNotFound、New 赋值；Record 对 KindNotFound && !trackNotFound 直接 return
+  3. internal/route/route.go：Options 传 TrackNotFound: conf.Security.BanTrackNotFound；f.NotFound 注释同步
+  4. internal/security/autoban/autoban_test.go：newTestBanner 默认 TrackNotFound:true；新增 TestNotFoundTrackDisabledByDefault；TestDefaults 断言 trackNotFound==false
+  5. conf/app.sample.ini：security 段加 ban_track_notfound = false + 注释（真实 app.ini 在各部署环境，需用户同步补键或留空=默认关）
+- 【验证】gofmt 干净；go vet OK；go test 三包全绿（route/conf/autoban，带 -overlay=tb_overlay.json 规避 cgo webp）；新用例 PASS。
+- 【部署提醒】测试/生产 app.ini 无需强制加键（缺省 false 即关闭 404 计数）；若想恢复 404 计数置 true。conf/app.ini 不在本地副本（conf/ 仅 app.sample.ini）。
+
+## ban_track_notfound 测试环境实测（box-dev-api，出口=本机南宁电信）
+- 【正常路径】/ + /_/admin3..admin9 全 200 无 403；不存在 domain ×8 → 302 不封（业务 302 通道确认）；admin6 页 SSR title「admin6 - 狼的提问箱」正常。
+- 【404 洪水】未注册路径 ×30 → 全 302(location:/) 不封（TrackNotFound=false 预期，但受 enable_auto_ban 前提约束）。
+- 【敏感×37 异常】/.env /admin /wp-login.php 等共 37 个敏感路径（默认阈值 10 的 3.7 倍）→ 全 302 无 403。302 均为服务端 f.NotFound Redirect（location:/ + securityHeaders + CF NEL），确认到达应用层 → 疑似测试环境 enable_auto_ban=false（或阈值极高/实例未跑新二进制），需用户核对 app.ini + 日志后才能定论。若 enable=false，本测无法验证 TrackNotFound 语义，建议测试环境 enable_auto_ban=true 后重测。
+- 【教训】agent-browser open 境外站再次卡死（>3.5min），TaskStop 清理；渲染验证降级 curl 抽查 HTML 即可。
+
+## ban_track_notfound 测试环境复测通过（22:17-22:35，出口 222.218.124.37）
+- 【上轮误判根因】串行 curl 每个请求间隔 1-2s（南宁→CF→源 RTT），13 个敏感请求跨 18s > 10s 窗口 → 永不达阈值；日志时间戳证实。非配置问题。
+- 【复测方法】xargs -P 25 并发打，窗口内密集命中。
+- 【结果】① 正常路径 / + admin3-9 全 200；② 纯 404 并发 x25 → 全 302 无 403（TrackNotFound=false 生效）；③ 敏感路径并发 x25 → 前~10 个 302 后 15 个全 403（阈值10触发封禁）；④ 封禁后 / 与 /_/admin6 也 403（IsBanned 全局生效）。
+- 【副作用】本机出口 IP 222.218.124.37 被测试环境临时封禁 15min（约至 22:35 自动解除）；测试环境日志可见该批 403 + 若有 security_alert_email 会收到告警（含样本路径）。
+- 【结论】修复语义完整闭环：正常业务放行、纯404豁免、敏感扫描封禁。部署生产即可。

.workbuddy/memory/2026-09-06.md

@@ -0,0 +1,136 @@
+# 2026-09-06
+
+## 移除 vercount 第三方页脚统计（用户确认"不用就去掉"）
+- 【诊断】cn.vercount.one 实际 = Vercel 托管 + CF 前置（104.21.1.96），cf-cache-status DYNAMIC 每次回源跨洋；南宁实测 js ttfb ~1.9s（DNS 0.72s 高）；脚本内部 DOMContentLoaded 后才 fetch events.vercount.one（ttfb ~3s，才是页脚 spinner 真瓶颈）；且慢 defer 会推迟 DOMContentLoaded ~1.4s。页脚仅展示 site_uv/page_pv 两徽标（busuanzi 兼容命名）。
+- 【决策】第三方装饰统计非必须 → 用户选彻底移除（非动态注入方案）。备份 .workbuddy/backup/remove-vercount-20260906/。
+- 【改动 7 文件】
+  1. templates/base/header.html：删 dns-prefetch cn.vercount.one；删 busuanzi 注释行与 <script defer vercount>；删专用 .tb-spinner CSS 块（含 dark 覆盖）
+  2. templates/base/footer.html：删整行 visitor/pageview 统计（busuanzi_value_site_uv/page_pv）
+  3-6. internal/i18n/dict_{zh_cn,zh_tw,en,ja}.go：删 site.footer.visitor/pageview 两个 key
+  7. internal/i18n/i18n_test.go：visitor 参数填充断言改指 auth.recover.greeting（保 %s 覆盖）
+- 【验证】残留 grep 全空；gofmt clean；go test ./internal/i18n/ + ./templates/ 全绿。
+- 【未动】static/tamabox.changelogs.json 为 2024 停更归档；根 CHANGELOG.md 是否追加条目待用户确认。
+
+## umami 数据展示放弃 + tamami.js 加载优化（方案A load 注入）
+- 【umami 取数可行性】mami.tama.guru = Vercel 托管 Next.js（CNAME vercel-dns-017.com）；umami v2 API 全需登录（/api/websites 401、login 空体 zod 400）；新版 umami 无 Share 功能 → 用户放弃 umami 数据恢复页脚统计，footer 维持无统计徽标（vercount 移除后现状）。
+- 【mami 慢根因】Vercel 无国内节点，白天/冷访问 1-2s+；tamami.js 4.6KB 缓存头好（public max-age=86400, Age=303024 靠 CDN 兜底）凌晨命中 0.3s；用户体感慢主因=umami 后台（Next.js 动态回源）+ 白天边缘波动。defer 在 head 会推迟 DOMContentLoaded（同 vercount 问题）。
+- 【R2 方案排除】实测 R2 直链 0.80-1.56s 比 Vercel 缓存命中 0.28-0.35s 更慢（凌晨南宁），印证 UIkit 当初迁 cdnjs.snrat.com 的原因。
+- 【脚本能力确认】tamami.js 内部：host = data-host-url 优先否则脚本同源，拼 /api/send 上报 → 静态搬迁可行但无快托管点故弃。
+- 【改动】templates/base/header.html（备份 .workbuddy/backup/tamami-load-inject-20260906/）：638 行 <script defer tamami.js> → window load 后 createElement 注入 + setAttribute data-website-id。效果：mami 再慢不阻塞页面关键事件；PV 统计损失≈0（load 后立即上报当前页）。
+- 【验证】go test ./templates/ 通过。
+- 【未做】mami 接入 EdgeOne（方案C）未实施——用户暂选 A；上报 /api/send 跨洋延迟/丢失为 Vercel 托管固有限制。
+
+## 全站外部资源加载体检（南宁凌晨实测 2 次取快值）
+- 【健康】snrat 全家(uikit css/js/icons/dayjs/alpine/waline) 0.14-0.32s；www.recaptcha.net 0.17s；cf-turnstile 0.61s；bytecdntp 0.065s（注释未启用）；cdn.github.red 0.15s；sentry-cdn 0.32s（仅 SentryDSN 非空才加载）。
+- 【🔴唯一慢域=R2】time.box.js 0.7-1.7s（header 全站 defer 1.6KB，纯装饰 runtime 倒计时，硬编码 2023-06-01 起算，无外部依赖）；neko-pixel umd 0.87s(pixel页)；waline R2 源/home.html bytecdntp 均注释残留未启用（实际 waline 走 snrat）。图片类(头像/social icons)同 R2 慢但异步非阻塞，缓存头已 immutable。
+- 【发现】header 的 vConsole 有 .VConsole 开关；sentry script 无 defer/async 且 tracesSampleRate=1.0——若生产 SentryDSN 启用则同步阻塞+高采样开销（需用户确认是否启用）。
+- 【未决】time.box.js 优化方案待用户选（内联 footer / load 注入 / 不动）；SentryDSN 生产是否配置待确认。
+
+## time.box.js 内联到 footer（用户选"内联"，备份 .workbuddy/backup/timebox-inline-20260906/）
+- 【背景】加载体检确认 R2 是全站唯一慢域（0.71-1.68s），公共路径只剩 time.box.js（header 全站 defer 1.6KB 存活倒计时，无外部依赖）拖慢 DOMContentLoaded。
+- 【改动】① header.html 删 <script defer r2 cdn/time.box.js>；② footer.html box_runtime 后内联紧凑版 IIFE：功能等价 + 修 2 个原版 bug（先赋值后判空会抛错；DOMContentLoaded 后首个 1s 才显示）。
+- 【验证】time.box.js 引用清零（仅注释提及）；go test ./templates/ 通过。
+- 【待确认】SentryDSN 生产是否配置（若启用 sentry bundle 250KB 同步阻塞 + tracesSampleRate=1.0）；R2 旧对象 time.box.js 可留作兼容不动。
+
+## 测试环境部署验证通过（box-dev-api，01:19-01:21）
+- 【tamami load 注入】主页+admin6：旧 defer src=mami.tama.guru 标签残留 0；addEventListener("load") 注入监听器 1；内联代码含 createElement+data-website-id 与源码一致。
+- 【time.box.js 内联】主页+admin6：time.box.js 外链 0；id="box_runtime" 元素 1；footer 内联脚本（Date.UTC(2023 + setInterval(tick)）就位。
+- 【说明】未做浏览器 JS 行为验证（box-dev 境外站 agent-browser 有卡死史）；SSR HTML 结构与源码逐字一致 + 标准 API 逻辑，判定部署生效。文案「存活」未出现因 curl 无语言 cookie 回退 en。
+
+## EO(生产 box.tama.guru) vs CF(测试 box-dev) 速度实测对比（南宁，凌晨 01:36，http1.1）
+- 【归属】prod: Server TencentEdgeOne IP 43.174.246/247.43（EO 新加坡）；dev: Server cloudflare 104.21.47.52/172.67.144.141，但 CF-RAY 后缀 AMS（阿姆斯特丹）与实测 conn ~0.24s 矛盾（疑 Ray 字段不准/边缘非 AMS）。
+- 【数据】①动态首页 8 轮 TTFB：prod 0.86-1.69s 均~1.22 vs dev 1.06-1.81s 均~1.49 → EO 快 ~0.27s；②连接阶段 8 轮：prod conn 0.20/TLS 中位 0.43（2次>0.9s 尖峰）vs dev conn 0.25/TLS 0.53（平稳无尖峰）→ EO 网络层快 50-100ms 但稳定性差；③favicon 静态 6 轮：prod 0.60-1.41 均0.84（有1.4s尖峰）vs dev 0.70-0.85 均0.75 → CF 反而更稳更快。
+- 【结论】EO vs CF 对南宁同一量级互有胜负，无碾压差异；动态页 EO 略快，静态/稳定性 CF 优。差异更多源于回源链路+边缘抖动而非 CDN 标签本身。局限：凌晨单点、http1.1、生产/测试后端实例不同（变量未隔离）；白天高峰需复测。
+
+## EO vs CF 正式 A/B（01:40-01:47，南宁，http1.1，后端不同服务器-残余变量已注明）
+- 【方法】robots.txt（静态文本近零后端耗时）30 轮交替 + 随机 query 强制回源 15 轮 + 此前 TCP/TLS/首页/favicon 数据汇总。
+- 【robots 30轮】EO med 0.61s/mean 0.74/p90 1.16/>1s×7；CF med 1.16/mean 1.34/p90 2.23/全部>1s（min 1.03）。
+- 【强制回源 15轮】EO med 0.83/mean 0.97；CF med 1.56/mean 1.68（CF min 1.39）→ EO 快 ~0.7s 近 2 倍。
+- 【综合】TCP 0.20vs0.25、TLS 0.43vs0.53、首页 1.22vs1.49：大样本下 EO 全面领先；favicon 6轮小样本 CF 略快（缓存状态差异）不改变结论。
+- 【坑】本机 Windows curl(Schannel) 不支持 --http2，勿用于 A/B；上轮 --http2 全失败 999。Bash 同名 /tmp 文件曾出现残留污染→用 $$ 文件名。
+- 【说明】CF 回源走 tunnel(cloudflared)、EO 回源直连；源站不同为残余变量，strict A/B 需同源(把 dev 挂 EO 或 prod 挂 CF)。
+
+## autoban 敏感特征补强：sensitiveFragments 片段匹配（用户选"补强 WP 特征表"，备份 .workbuddy/backup/wp-fragments-20260906/）
+- 【背景】生产日志见 wlwmanifest 扫描：//wp/wp-includes/wlwmanifest.xml、//news/...、//2018/...（枚举前缀变体）全部 302 放行。根因：① 所有未注册路径走 f.NotFound→ctx.Redirect("/") 得 302（非 404，注释"先写404"与实际不符，flamego Redirect 覆盖状态）；② TrackNotFound=false 后 404 不计数；③ IsSensitivePath 前缀匹配抓不到中部敏感段 + 特征表无 wp-includes/xmlrpc/wlwmanifest。
+- 【改动 autoban.go】新增 sensitiveFragments 数组（子串匹配强指纹，仅 WP 特征业务必无）：/wp-includes/、/wp-json/、/wp-cron.php、/wp-trackback.php、/wp-admin、/wp-content、/wp-login.php、/wlwmanifest.xml、/xmlrpc.php、/wordpress；IsSensitivePath 增加 Contains 第二循环（大小写不敏感）。前缀表 sensitivePaths 保留不动（防 /administratorx 类误伤语义不变）。
+- 【测试】TestIsSensitivePath 补 9 正例（含日志真实形态 //wp/wp-includes/wlwmanifest.xml 等）+ 6 负例（/_/tamakyi、/_/admin6、/api/v1/question/xxx、/explore、/i18n 不误伤）。
+- 【验证】gofmt clean；autoban 全测 PASS；route 带 overlay 编译+测试通过（IsSensitivePath 由 internal/route/autoban.go:35 中间件调用，改匹配器全链生效）。
+
+## 域名迁移方案：box.tama.guru → box.shiroko.one（方案阶段，未动代码）
+- 【用户决策】tama.guru 不续费（2026-12-24 到期，RDAP 实证，注册商 DNSPod）→ 硬过渡；新域 box.shiroko.one；Bing+GSC 全套；umami 随迁 mami.shiroko.one。方案文档 outputs/domain-migration-box-shiroko-2026-09-06.md。
+- 【取证要点】shiroko.one 未配置（NS=spaceship，http 200 为注册商 Parking Page）；tama.guru apex=导航页 Hugo/CF Pages，box 走 DNSPod 三线路(境内 EO/境外+默认 CF SaaS)；mami=Vercel。
+- 【SEO 现状】box sitemap 仅 8 条（/ /explore /register /login /_/tamakyi /change-logs），explore 是唯一内容页；robots Disallow /_/ 与 sitemap 提交 /_/tamakyi 矛盾；页面无 canonical；og:url/邮件链接均依赖必填配置 external_url；static/robots.txt+sitemap.xml go:embed 硬编码旧域；register.go:64 Bloglink 硬编码；censor TrustedHosts 含 tama.guru/337845818.best；R2 CORS 白名单需加新域。
+- 【核心机制】301 逐 URL 是唯一可靠保排名路径；Bing Site Move 工具可用性不稳定(2021 传闻下线)仅加速器；Site Move 后新域 6 个月禁再迁；通行 301 保持 6-12 月 vs 本方案仅 3.5 月窗口=R1 主风险，靠索引面小+早切换(≤10/01)+IndexNow 缓解。
+- 【301 载体推荐】旧域 DNS 切换日统一 CNAME → CF Pages 跳转项目(_redirects: /* https://box.shiroko.one/:splat 301!)，与源站/旧 CDN 解耦；弃"源站 nginx 按 Host 301"(回源 Host=旧域会成环)。
+- 【开放项待用户】站群 blog/status/share/chat 是否迁(影响 footer/home 内链)；/_/tamakyi 是否保(决定 robots/sitemap 取舍)；cloudflared ingress 是否按 hostname。
+
+## 域名迁移批1落地：全项目 tama.guru → shiroko.one（本地代码，备份 .workbuddy/backup/domain-shiroko-20260906/）
+- 【用户决策】其他 blog 之类子域一并调整到 shiroko.one；/_/tamakyi 不保（sitemap 移除，robots 维持 Disallow /_/）；先做本地操作。
+- 【替换规则】*.tama.guru → *.shiroko.one（box/blog/chat/share/status/mami），apex tama.guru → shiroko.one。
+- 【改 11 文件】static/robots.txt(Sitemap行)；static/sitemap.xml(5条换域+删/_/tamakyi+去重旧域无斜杠重复项+lastmod全刷2026-09-06)；static/llms.txt(6处)；static/llms-full.txt(7处)；templates/base/footer.html(6条链接)；templates/base/header.html(umami注释同步+验证token加迁移提醒注释)；templates/home.html(站长箱/投票/Markdown/4条blog链/explore)；route/auth/register.go:64 Bloglink默认值；internal/security/censor/text.go(TrustedHosts 新增 shiroko.one，**保留** tama.guru 过渡期)；conf/app.sample.ini(补齐缺失的必填项 external_url，conf.go:36 强制校验，原模板缺失→照抄即启动失败)；dev/eo-*.py(3脚本 --host 默认值)。
+- 【关键发现】① header 的 mami src 此前已先行改为 mami.shiroko.one（仅注释待同步）；② google-site-verification(636行) 与 msvalidate.01(7行+637行重复) 是域名绑定 token，新域验证后必须替换 content，否则 GSC/Bing 无法验证新站→Site Move/Change of Address 无法提交；③ app.sample.ini 缺 external_url 必填键（模板缺陷）。
+- 【验证】sitemap XML 解析通过(5条无重复)；go test ./templates/ + ./internal/security/censor/ 通过；route/auth、static、internal/conf 带 overlay 编译通过。
+- 【方案文档同步】outputs/domain-migration-box-shiroko-2026-09-06.md：§0 补两条决策；§11 开放项标 1/2 已答并新增 token 项；新增 §12 批1实施记录；附批次标批1完成。
+- 【待用户操作】blog/chat/share/status 各子域实际服务搬迁（否则新域链接成死链）；censor 旧域条目待旧域到期后删。
+
+## IndexNow key 文件 302 修复（static/index-now/<key>.txt 无法访问）
+- 【现象】用户新建 static/index-now/66e5e0911b0941f2ba7dbfbbd961e9be.txt 并改 fs.go 的 //go:embed，但访问 302 跳首页。
+- 【根因】internal/route/route.go:138 的 flamego.Static 中间件 **Prefix="/static"** 只接管 /static/... 前缀；而 robots.txt/sitemap.xml/llms*.txt/favicon.ico 等根目录静态文件**每个都是单独注册的 f.Get handler**。新文件无对应路由 → 落 f.NotFound → ctx.Redirect("/") 得 302。embed 本身没问题（实测 FS.Open 可读，内容正确）。
+- 【修复】route.go：① import 加 regexp；② 包级 var indexNowKeyPattern = `^[0-9a-f]{32}\.txt$`（防路径穿越）；③ 在 llms-full.txt 路由后加 f.Get("/index-now/{key}")，校验白名单后 static.FS.Open("index-now/"+key)，Content-Type text/plain + max-age=86400，失败 404。备份 .workbuddy/backup/domain-shiroko-20260906/route.go.bak。
+- 【新增回归测试】internal/route/indexnow_route_test.go TestIndexNowKeyFileRoute：正确key→200+内容；路径穿越(..%2f 与 ../../)、合法格式但不存在、后缀不符→全 404。用 flamego.NewWithLogger(io.Discard) 构造最小实例（不依赖 New()）。
+- 【flamego 关键行为】internal/route/tree.go placeholderTree.match 把整个路径段赋给参数，**不排除点号** → /index-now/{key} 能匹配 <key>.txt。
+- 【验证】gofmt clean；带 overlay 编译 ./internal/route/ 通过；route/static/templates 三包测试 ok。
+- 【部署提醒】需重新编译部署（embed+路由均在二进制内）；IndexNow 提交时 keyLocation 填完整 URL https://box.shiroko.one/index-now/66e5e0911b0941f2ba7dbfbbd961e9be.txt；旧域 301 后该路径会被重定向，搜索引擎校验需 200 直出，故切换后应用新域 keyLocation 重新提交。
+
+## 域名变更全员邮件通知脚本（dev/notify_domain_change.py，不碰项目源码）
+- 【需求】用户改了站点域名，想向全体未注销用户发邮件通知；要求复用生产 conf/app.ini 的 DB+SMTP，不动项目源码。
+- 【依据】① users 表软删除用 gorm.Model，未注销=deleted_at IS NULL；收件=email 列；可顺带取 name/domain 做个性化。② 发信对齐 internal/mail/mail.go：发件人"TamaBox <mail.account>"，465=隐式SSL 否则 STARTTLS，支持 mail.skip_tls_verify。③ DSN 拼装见 internal/conf/db.go（postgres sslmode=disable+search_path=schema）。
+- 【实现】独立 Python 脚本：读 NEKOBOX_CONFIG_PATH 或 -c，configparser 设 strict=False（容忍示例 [upload] 重复键 image_endpoint）、去引号、去行内注释；fetch_recipients 查未注销有邮箱用户；smtp_login 复用生产配置；模板用 {{占位符}} 避免与 HTML 大括号冲突。
+- 【安全开关】默认 --dry-run；--send 才真发；--to 单测地址；--limit N 小批量；单条失败隔离+汇总；每封 --delay 默认 0.3s 防限流。
+- 【验证】py_compile OK；对 app.sample.ini 实测 load_config 解析正确（external_url 去引号、重复键容忍）；render 模板无残留占位符。依赖 psycopg2-binary(Postgres)/pymysql(MySQL)。
+- 【增强·四语言】TamaBox 为四语言站点，给脚本加 LANG_TEMPLATES（zh-CN/zh-TW/en/ja），fetch_recipients 多取 language 列；发送时按 users.language 选模板，回退 用户语言→[app] default_lang→zh-CN；--subject/--html/--plain 为全局覆盖。effective_templates() 选模板，build_message() 内统一 render 后才拼装（曾一度漏 render 已在自检发现并修正）。去掉默认模板 emoji。复测：四语言 text/plain+text/html 双部、box_link/site 就位、无残留占位符（正文 base64 传输编码属正常，解码核验通过）。
+
+## 用户问"前端还有什么要改造的" + "box.tama.guru 接 CF 自定义主机名如何配 301"
+- 【诊断残留】grep 全项目：tama.guru 残留仅在 sitemap.xml 注释、header.html 验证 token 提醒注释、censor/text.go（过渡期有意保留）、outputs/（文档）——即迁移批1已完成，无业务代码残留旧域。
+- 【R2 硬编码仍散落】`r2.337845818.best` 约 14 处：header.html(preconnect/waline css/favicon/OG)、pixel.html(neko-pixel css+js)、question-not-found.html & list.html(social icons + easy.qrcode.min.js)、user/profile.html(qrcode js + pickr css/js)、route/question/share.go(social icons)；waline serverURL `waline.337845818.best` 在 home.html/item.html。建议抽 `CdnBase`/`WalineURL` 模板变量集中管理（为同源化/换域铺路）。
+- 【301 指引（CF 自定义主机名架构）】规则建在承载该自定义主机名的 zone 上；迁移未完成前**不要**整站 301 到 shiroko.one（会断线上）。①现在做：SSL/TLS→Always Use HTTPS（http→https 自动301）+ www 规范化 Redirect Rule；②切换时做：Bulk Redirects（box.tama.guru→https://box.shiroko.one, 301, include subpaths+query）或 Single Redirect Dynamic `concat("https://box.shiroko.one", http.request.uri.path, http.request.uri.query!=""?concat("?",http.request.uri.query):"")`；③SEO 配套：sitemap 已换域重提交 GSC/Bing、旧域 DNS 保 6-12 月、header 638-639 行验证 token + 第7行 msvalidate.01 新域重新验证替换、canonical/OG 指向新域。
+- 【架构提醒】A/B 实测 EO 国内比 CF 快约 2 倍（EO 0.61 vs CF 1.16，CF 走 tunnel 回源）；box.tama.guru 接 CF 后国内（南宁电信）失 EO 提速优势，规划 box.shiroko.one CDN 时建议继续用 EO 或 CF China 保国内速。
+
+## 通知脚本三要求落地（dev/notify_domain_change.py，不碰项目源码）
+- 【需求】①发送前打印 DB 总用户/已注销/未注销/未注销有邮箱数，须人工 yes 确认才发；②不一口气发完留间隔；③正文明确换域原因+用户动作：新域 box.shiroko.one、旧域 2026-12-24 到期、期间 301 转发、到期后旧域停用；Why=.guru 连年涨价一年三百出头遭不住；Do=记新域+替换此前分享的二维码。
+- 【改动】抽 connect_db() 供 fetch_recipients/fetch_counts 复用；新增 fetch_counts() 打统计；main 发送前打印五类统计；--send 路径加 input("yes") 人工确认（EOFError→中止，--yes 跳过）；--delay 默认 1.0s，新增 --pause-every/--pause-for 分批长暂停；四语言模板全重写，加 {{old_domain}}/{{expire_date}} 占位符与「为什么/该做什么」问答段；--old-domain 默认 box.tama.guru、--expire-date 默认 2026-12-24（均可覆盖）。
+- 【验证】py_compile OK；四语言 build_message 解码核验：新域名/旧域名/2026-12-24/301 均就位、无残留 {{占位符}}、text/plain+text/html 双部。
+
+## 通知脚本二次微调（硬编码域名 + 价格模糊 + 无语言默认简中）
+- 【改动】① 新旧域名+到期日改为模块级硬编码常量 NEW_DOMAIN=box.shiroko.one / OLD_DOMAIN=box.tama.guru / EXPIRE_DATE=2026-12-24，删除 --old-domain/--expire-date 参数；site 与 box_link 改用硬编码新域（不再依赖 app.external_url，故移除其空值中止判断）。② 四语言「为什么换」文案去掉具体金额与「遭不住」，改为「.guru 连续涨价/续费成本越来越高」把原因写清。③ 语言回退：空语言直接→zh-CN（不再先落 default_lang）；未知语言→default_lang→zh-CN。
+- 【验证】py_compile OK；源码 grep 无「三百/over 300/年間300/遭不住」；四语言渲染含 box.shiroko.one/box.tama.guru/2026-12-24/301、无占位符；回退逻辑 空/未知→zh-CN、en→en。
+
+## 通知脚本加「断点续发」+「按语言分群」
+- 【改动】① 断点续发：新增 load_sent_state/record_sent/reset_state（JSONL 逐行追加，崩溃安全）；默认状态文件 DEFAULT_STATE=脚本同目录 notify_state.json（--state 可改）；发送前 load 已发邮箱集合并过滤，打印「已跳过 N 封 / 剩余待发送 N 封」；每成功一封 record 一行；--reset-state（仅 --send 时）清空后全量重发；测试 --to 模式不写状态避免污染。② 按语言分群：resolve_lang() 统一语言解析（空→zh-CN、未知→default_lang→zh-CN）；发送前打印「按语言分布」统计；main 发送循环改为按 LANG_ORDER=[zh-CN,zh-TW,en,ja]+其他 分组，每组打印「[语言分组 gi/gn] 语言(标签) : 本组 N 封」，组间 --group-pause 默认 3.0s（0 关）；组内仍走 --delay/--pause-every。
+- 【验证】py_compile OK；monkeypatch DB+SMTP 实测：RUN1(--limit 3)→发3、state 3 行且分组正确；RUN2(同 state 续发)→跳过3、发剩余3(zh-CN 组2+ja 组1)、state 6 行；RUN3(再续发)→跳过6、发0；RUN4(--reset-state)→清空并全量重发2。空语言/未知语言均归 zh-CN。
+- 【增强】捕获 send_message 返回字典（RCPT TO 阶段被拒收的 {addr:(code,err)}），非空时计为「[SMTP 拒收]」失败（不计入 sent、不写断点状态、可续发重试），避免误把"已被拒收"算成成功。验证：2 收件人第 2 封返回 550 拒收→成功1/失败1、state 仅1行。
+- 【用户现象】实测运行时显示"成功 N 封"但收不到信；定位：SMTP 250 OK 仅代表 RCPT TO 接收，不等于投递成功；截图收件人全是 *@admin.com（含 admin3x/admin4 等大概率不存在账号），最可能是收件不存在→退信回到 From(mail_account) 而未被监控，或发件域 SPF/DKIM 未对齐被静默丢信。建议用 `--to 真实外部邮箱 --send` 隔离验证。
+- 【增强】notify_domain_change.py 加「监控报告」+「测试模式命中数据库」：① 每次运行结束写 notify_report.json（JSON，含 db_stats/lang_distribution/sent/failed/smtp_rejected/skipped_already_sent/failed_list/config（无密码）/test_mode），`--report PATH` 改路径、`--no-report` 关闭，dry-run 与 send 都会写；② `--to 邮箱` 先查库，命中则套用该用户姓名/域名/语言，未命中按 zh-CN。验证：en 命中→英文主题、未命中→中文主题、报告字段与 SMTP 拒收单独计数均正确。
+
+## 通知脚本模板修正（box_link 路径 + 头部致谢/群发 + 底部版权）
+- 【用户反馈】实测邮件内容两点问题：① 提问箱个性域名实际为 `box.shiroko.one/_/xxx`（项目 templates/profile.html 与 base/footer.html 均为 `/_/{domain}` 路径），脚本写成 `box.shiroko.one/xxx` 不对；② 邮件头部应先感谢用户使用提问箱并说明是群发站内信；③ 底部加 `© 2026 狼的提问箱`。
+- 【改动】发送循环 box_link 由 `https://{NEW_DOMAIN}/{domain}` 改为 `https://{NEW_DOMAIN}/_/{domain}`；四语言 HTML+纯文本模板（zh-CN/zh-TW/en/ja）头部问候后新增「首先感谢使用（狼的提问箱）」+「这是群发的站内通知邮件，请放心查阅」两段；底部系统通知行追加 `© 2026 狼的提问箱`（英 Wolf's Question Box / 日 狼の質問箱 / 繁 狼的提問箱）。
+- 【验证】py_compile OK；四语言解码核验：box_link 含 `/_/`、致谢+群发+版权关键词均就位、无残留 {{占位符}}。
+
+## 通知脚本去外部依赖（零 pip 安装）
+- 【用户痛点】当前脚本依赖 psycopg2-binary（Postgres）/ pymysql（MySQL），但环境 pip install 基本不可用，装不了第三方包。
+- 【改动】DB 层改为「零依赖优先」：默认 auto 驱动优先调用系统自带命令行客户端 psql(Postgres)/mysql(MySQL)，纯标准库 subprocess，无需 pip；仅当客户端都不存在时才回退 psycopg2/pymysql（可选 pip 安装）。新增 _build_pg_uri（密码 URL 编码）、_choose_driver、_psql_query(-X -t -A -F '\x1f' -P null=\N -P footer=off)、_mysql_query(临时 cnf 传密码避免进程参数泄露)、_lib_query、run_query 统一入口；fetch_recipients/fetch_counts 改为接收 args 并调 run_query；新增 --db-driver {auto,psql,mysql,psycopg2,pymysql}；load_config 增加 db_sslmode（默认 disable，与旧 psycopg2 行为一致）；PG 统计用 COUNT FILTER(WHERE...) ，MySQL 用 SUM(CASE...)；main 打印 [DB 驱动]。
+- 【验证】py_compile OK；monkeypatch 实测：驱动选择(pg有psql→psql / mysql有mysql→mysql / 无客户端但可import psycopg2→lib / 全无→psql报错路径)；psql 路径解析(含空语言/空名/语言NULL→空)；mysql 路径解析；E2E 经 psql 路径 dry-run 写报告、send 6 封(按 zh-CN3/zh-TW1/en1/ja1 分组、空语言+未知fr回退zh-CN)、RESUME 跳过6发0、--to 命中库用户发往其邮箱。
+- 【结论】现在只需 Python 标准库 + 服务器上的 psql/mysql 客户端即可运行，彻底不依赖 pip。
+
+## 通知脚本 bug 修复：language 列不存在导致 FATAL
+- 【现象】用户用 `python3 notify_domain_change.py -c ./auto/conf/app.ini --to [email protected] --send` 报 `ERROR: column "language" does not exist`。
+- 【根因】GORM 模型 `User.Language` 默认 column=language，但线上 `nekobox` 库 schema 较旧，users 表无 language 列（可能叫 lang 或根本没有该列）。脚本此前在 fetch_recipients 里硬编码 `SELECT ..., language FROM users`。
+- 【修复】新增 resolve_lang_column(cfg, args)：默认 auto 探测 information_schema.columns 的 candidates(language/lang)，找到即用、都不存在返回 None（调用处用 `NULL AS language` 兜底，全员回退默认语言）；新增 `--lang-column` 参数可手动指定（如 --lang-column=lang）。fetch_recipients 改用探测到的列名拼 SQL；main 打印 `[语言列]` 行。mock 验证 4 场景（lang 命中/lang 缺失→NULL/显式指定/language 命中）均正确。
+- 【给用户建议】直接重跑即可；若库里列叫 lang 会自动识别，若真无该列则全员按 [app] default_lang(ja) 模板发送，不影响发信。
+
+## 通知脚本「依旧报错」二次排查：版本标记 + 改名验证法
+- 【现象】首轮修完用户报「依旧不行，报错一致」。初判为用户在 Linux 服务器跑的是仓库根 `/home/tamakyi/Github/Tamabox_v4/notify_domain_change.py`（state_file 路径证伪），而工作区仅 `dev/notify_domain_change.py` 一份；用户坚称没用错文件。
+- 【加版本标记】SCRIPT_VERSION = "2026-09-06.langdetect.v2"，main 配置头打印 `[版本] SCRIPT_VERSION = ...`。作用：运行输出若无此行即证明跑的不是最新副本，把"是否用错文件"变成客观判定（不再靠争论）。
+- 【改名验证】建议用户在服务器 `mv notify_domain_change.py notify_mail_v2.py` + `find . -name __pycache__ -exec rm -rf` 后跑新名，强制重编译以排除陈旧 .pyc / 同名模块作祟（用户自己提出的怀疑点）。
+- 【结论】修复后版本不可能再出现 `column "language" does not exist`（查询已无 language 字面量）；若改名+清缓存后仍报该错且带 [版本] 行，则需查 information_schema 探测是否异常。

.workbuddy/memory/2026-09-07.md

@@ -0,0 +1,83 @@
+# 2026-09-07
+
+## notify_domain_change.py 语言列探测 v3（langprobe）
+- 上轮 information_schema 探测在线上误报（探测说 language 存在、真实查询报列不存在，疑似跨 schema 同名表干扰）。
+- 本轮重写为「真实试跑探测」`detect_lang_column()`：依次执行 `SELECT ... language / lang / NULL`（LIMIT 1），哪个能跑通用哪个；NULL 兜底必然成功，不会再因列缺失 FATAL。
+- `fetch_recipients(cfg, args, lang_expr=...)` 与 `main` 调用链对齐；版本号提升为 `2026-09-06.langprobe.v3`。
+- 6 场景 mock 验证全过：language 报错→降级 lang；全缺失→NULL 回退 default_lang(ja)；显式 --lang-column；自动探测拼 SQL 正确。
+- 测试脚本两处自身 bug（dict 键名 language 非 lang；mock 对 NULL 查询仍返回 'en'）已修正后 ALL_PASS。
+
+## v4（rfc5322.schema）：QQ 邮箱 550 退信 + 统计全 0 两个问题
+- 550 退信根因：`From: 狼的提问箱 <tamabox@...>` 中文显示名未做 RFC2047 编码，QQ（mx3.qq.com）回 550 "From header is missing or invalid"。修复：`formataddr((str(Header(显示名, utf-8)), 地址))` 编码 From，Subject 同样用 Header 编码，并补 Message-ID。
+- 统计全 0 根因：psql 未限定 schema，search_path 命中了别的 schema 里的同名空 users 表（也解释了 v2 information_schema 探测误报 language 存在）。修复：新增 `resolve_users_table()` 枚举所有 schema 的 users 表并逐个 COUNT，选有数据（其次带 language 列）的 schema，全部查询用 `"schema".users` 限定；main 打印 `[DB 连接]` 与 `[users 表]` 诊断行，全空时警告。
+- 5 场景 mock 验证 ALL_PASS（schema 定位/语言探测/counts/全空回退/From+Subject 编码与 Message-ID）。版本 `2026-09-07.rfc5322.schema.v4`。
+
+## 新项目 mail-broadcast/（站内信群发工具）
+- 用户确认 v4 后收件正常、数据正确，但邮件里提问箱链接显示成站点首页而非 `/_/个性域名`；要求新建独立可复用项目、四语言模板拆成独立 HTML。
+- 新建 `mail-broadcast/`：`broadcast.py`（通用化：去掉硬编码域名，`--site-url`/`--box-prefix`/`--var k=v` 自定义占位符；缺失占位符置空并上报）+ `templates/{zh-CN,zh-TW,en,ja}.{html,subject.txt}`（plain 可选，缺省由 HTML 自动抽取纯文本，HTMLParser 实现）+ README.md。
+- 保留 v4 全部 DB/SMTP 能力：schema 定位、语言列试跑探测、断点续发、分群限速、SMTP 拒收捕获、RFC2047 From/Subject、Message-ID。语言回退保持「空→zh-CN、未知→default_lang→zh-CN」。
+- 预览区直接打印每个收件人解析后的 box_link，方便发现链接问题。
+- 7 场景 mock 测试 ALL_PASS（含四语言渲染 box_link、缺失占位符上报、From 编码）。
+
+## params.ini 参数文件 + --interactive 交互模式
+- 用户新需求：运行时直接读参数文件，或运行后再交互。
+- 新增 `params.ini`（[site] site_url/box_prefix + [vars] 自定义占位符 + [send] to/delay/group_pause），默认自动读取脚本同目录 params.ini，`--params`/`--no-params` 可控；优先级 CLI > 文件 > 默认。
+- 安全边界：参数文件不提供 --send/--yes，正式发送必须命令行显式指定 + 终端确认。
+- `--interactive/-i`：逐项确认 site_url/box_prefix，自动扫描模板占位符（collect_template_placeholders 排除内置）逐个提问（模板加新占位符会被自动发现），可选测试邮箱，可选保存回 params.ini（save_params）。
+- 踩坑：测试脚本两次自身 bug（回答顺序没按字母序、Args 类属性 vs 实例属性）；跑挂的测试曾把 params.ini 写坏，已恢复标准值。7 场景 ALL_PASS。
+
+## conf 路径纳入 params.ini 与交互模式
+- params.ini 新增 `[path] config`（预填 ./auto/conf/app.ini）；`-c` 默认值改为 None，解析优先级：CLI > params.ini > 环境变量 TAMABOX_CONFIG_PATH > ./conf/app.ini。
+- `--interactive` 第一步先问配置文件路径（在 load_config 之前），保存回 params.ini 时含 config 路径（save_params 签名加 config 参数）。
+- 5 场景测试 ALL_PASS（params 读取/优先级/save round-trip 含 config/交互完整流程/标准值恢复）。
+
+## 交互选运行方式 + 模板对齐原程序邮件样式
+- 用户新需求：① send 之类的决策放进交互里而不是命令行；② 模板配色样式参照原程序 templates/mail/。
+- run_interactive 重构：占位符问完后进入「运行方式」选择（1 演练/2 测试/3 群发，默认回车=演练）；模式 2 问测试邮箱、模式 3 可问 limit（试水）并可选择是否保留最终确认（答 n → args.yes=True）。args.send/to/yes/limit 就地写入，交互全程无需 --send/--to/--yes。
+- 四语言模板重写为原程序 Google 风格：白底 #FFFFFF、#dadce0 细边框 8px 圆角卡片（max-width 516px）、标题 24px 带下边框、正文 Roboto 14px rgba(0,0,0,0.87)、次要信息 rgba(0,0,0,0.54)、新域名高亮框 #e8f0fe/#c6dafc、按钮 #4184F3 蓝底白字、页脚 11px rgba(0,0,0,0.54)。新增 `{{year}}` 内置占位符（ctx 用 datetime.now），run_interactive 的 builtin 集合同步排除。
+- 测试踩坑：render() 返回 (结果, missing) 元组需解包；群发路径交互共 8 次输入。24 项检查 ALL_PASS（四语言 box_link/按钮链接/配色/#year/占位符完整 + 4 交互场景 + From 头 ASCII）。
+
+## 默认交互模式 + 单文件通用模板（--single）
+- 用户新需求：① 默认就是交互模式不用手输；② 新增单文件模式（不按语言，所有人发同一个通用模板，模板单独存放便于以后复用）。
+- 默认交互：`--interactive` 改 default=None，parse 后判定——未给 --send/--to/--yes/--dry-run 之一即自动进入交互；`--no-interactive` 强制关闭（脚本化用）。
+- 单文件模式：templates/single.html + single.subject.txt（保留名，load_templates 排除不混入语言列表；load_single_template 单独加载，plain 自动抽取）。`--single` CLI 或交互「模板模式」选 2。发送时 grouping 固化为 single 组（不 resolve_lang），ctx 仍含每人 box_link/name/site/year；报告加 template_mode。
+- single.html 样式对齐原程序邮件，正文内容区用 HTML 注释标注「编辑这里」，含可复制的强调框示例。
+- 15 项检查 ALL_PASS（single 不混语言/加载/渲染/构建 + 4 交互组合场景）。
+
+## 交互只问缺失项（不再每次重复确认战役参数）
+- 用户反馈：site_url/box_prefix/old_domain/expire_date 这类一次性参数每次交互都问很烦，直接写死到这次 html 即可。
+- run_interactive 重构：开头打印「[参数确认]」摘要（沿用 params.ini/CLI/app.ini 的值），**有值一律不问**；只补问 ① 完全没值的 site_url（main 里先做 external_url 兜底）② 模板用到但 extra_vars 里还没有值的自定义占位符。box_prefix 不再询问（默认 /_/，CLI 可覆盖）。
+- 配置文件路径同理：CLI/params.ini 明确给了就打印沿用不问，仅默认猜测时才 ask。
+- 想改值：编辑 params.ini，或把一次性内容写死进模板 html 并删掉对应 {{占位符}}（占位符删了就不会被问）。
+- 测试踩坑：mock 回答数按实际提问数对齐（占位符 2 个非 3 个；摘要走 print 非 input 需 redirect_stdout 捕获）。7 项检查 ALL_PASS。
+
+## 文案修正：模板问句人称
+- 用户指出邮件模板「我该做什么？」应为「你该做什么？」（站方对收件人的口吻）。
+- 已修 templates/zh-CN.html 与 zh-TW.html 对应问句；渲染验证通过、无残留。en（What should I do?）/ ja（何をすればよいですか？）保持读者视角的惯用表达未改。
+
+## --limit 与断点续发顺序 bug 修复
+- 用户反馈：第一次发送部分成功，第二次 --limit 10 时「已跳过 10、剩余 0、一条没发」。
+- 根因：main 中 --limit 截取在断点续发过滤之前执行，limit 永远取名单头部那批已发用户，跳过后剩 0。
+- 修复：调整顺序为「先剔除已发 → 再取前 N」，--limit 提示语带上已剔除数量；补 had_state 标志控制「剩余待发送」打印。
+- 6 项回归测试 ALL_PASS（跳过+limit 组合、无重叠、limit>剩余、全已发、状态读写往返）。
+
+## 退信核查功能（bouncecheck.v2）
+- 背景：SMTP 250≠送达，阿里云对限流/无效地址先收下再异步退信到发件箱，用户要求发送后核查真实送达。
+- 新增零依赖 IMAP 退信扫描：--check-bounces 登录发件箱（imaplib 993，IMAP 域名由 smtp.→imap. 推导），两段式拉取（先头部命中退信特征再取全文），--since-days 默认 3。
+- 退信解析三层：标准 DSN（message/delivery-status, Action:failed）→ 中文「收信地址/收件人」标签 → 正文地址兜底（剔除发件人与 daemon/postmaster）；主题关键词 + multipart/report 双判定。
+- --prune-state 把退信用户从 broadcast_state.json 剔除 → 重跑自动补发；已核查 Message-ID 存 broadcast_bounces_seen.json 防重复报告。交互运行方式新增「4) 退信核查」（并移到模板模式之前，该模式跳过模板提问）。
+- 12 项单元测试 ALL_PASS（含用户真实退信格式、标准 DSN、限流退信全角冒号、prune 往返）。防御修正：正则加 (?<![A-Za-z0-9]) 防乱码前缀吞地址；测试须用 message_from_bytes 贴近 IMAP 真实路径（message_from_string 双编码会污染解析）。
+
+## 退信核查拆分三档（仅核查/仅剔除/剔除并补发）
+- 用户要求「仅剔除、不一定剔除后直接发送」。交互运行方式 4 下新增子选项：1 仅核查（默认，不改清单）/ 2 仅剔除（更新清单后结束，本次不发送）/ 3 剔除并补发（剔除后继续正常发送流程，发送前仍有统计确认）。
+- CLI 对应：--check-bounces 仅核查；--check-bounces --prune-state 仅剔除；--prune-state --send 剔除并补发（main 分支在 args.send 时不 sys.exit，落回正常发送流程）。
+- 4 项交互 mock 测试 ALL_PASS；README 同步。
+
+## 退信扫描起点改为群发首条记录
+- 用户反馈：固定近 3 天会把群发无关的退信/邮件扫进来。
+- 新增 resolve_scan_start()：auto（默认）取 broadcast_state.json 最早一条 ts - 1 天余量；--since YYYY-MM-DD 显式指定；无记录/无 ts 回退 --since-days（默认3）。IMAP search 用 SINCE 日期，控制台打印 [扫描起点] 说明。
+- 6 项测试 ALL_PASS（最早记录-1天/显式日期/非法日期回退/无清单回退/无 ts 回退）。
+
+## 移除扫描起点 -1 天余量
+- 用户反馈：提前 1 天余量导致扫描范围仍偏大。改为 auto 模式精确从群发首条记录的 ts 开始（不再 -1 天）；--since 显式日期与空清单回退 --since-days 逻辑不变。
+- 3 项测试 ALL_PASS（精确首条 ts/显式日期/空清单回退）；README 同步。