docs: 说明封禁响应的图片体与替换方式

.workbuddy/memory/2026-10-23.md

@@ -153,3 +153,29 @@ Tomcat 的 skin 忘了 css（按钮白字无底色）、WP 登录页底部挂着
 - 性能：RenderFamily 3.7µs→4.18µs、2→3 allocs（多的一次是 hex 编码），可接受。
 
 四处变异验证有效（固定 token / xmlrpc 分支失效 / Pingback 相对路径 / .php 兜底失效）。
+
+### 测试环境验收：XML-RPC 端点（部署 9d3f5a7 后）
+
+- `GET /xmlrpc.php` → **405 + text/xml**（与真实 WP 一致，XML-RPC 只接受 POST），
+  用户误以为这是报错；405 的 body 是 `<fault>XML-RPC services are disabled…`。
+- `POST system.listMethods` → 200 + 方法列表 ✓。
+- `POST wp.getUsersBlogs`（伪造 `CF-Connecting-IP: 2001:db8:beef::7`）→ 凭据落文件：
+  `username=xruser / password=xrpass`、`fields.xmlrpc.0/1`、`xmlrpc.method`、`banned:true` ✓。
+- 紧接的下一次请求 `403 Forbidden` = 已封禁（第一次 POST 就封了该 /64），属预期。
+- 动态 token 两次不同（`d85a8c…` / `76a404…`）✓。
+
+**再次出现的 `"path":" /xmlrpc.php"` 已判定为粘贴/终端产物**：`IsXMLRPCPath` 不做 trim，
+若 `path` 真带前导空格根本进不了 XML-RPC 分支，而记录里有 `xmlrpc.*` 字段 ⇒ 落盘值必是
+`/xmlrpc.php`。这类"看不见的字符"结论一律靠 `od -c`，别靠终端回显。
+
+### 403 响应体换成图片
+
+用户给了 R2 预签名链接（`X-Amz-Expires=604800`，7 天后失效）——**不能直接热链**。
+下载后（256×256 webp，8.6 KB）用 `//go:embed` 编进二进制：
+`internal/route/assets/403.webp` + `internal/route/banned.go: writeBanned()`。
+- 状态码仍是 403（语义不变），只换 body；`Content-Type: image/webp` + 显式 `Content-Length`
+  （8 KB 超过 Go 的 2 KB 缓冲，不设会退回 chunked）+ `no-store`；HEAD 不写 body。
+- 放在 `internal/route/assets/` 而不是 `static/`：static 会多出一个可公开访问的 URL。
+- 换图方式：覆盖同目录 403.webp → 重新编译，无配置项。
+- 体积代价：每封禁请求 8.6 KB（原 13 字节）。被封来源重试频繁时要留意带宽，
+  已压到 256×256；别塞几百 KB 原图。