输出转义
来自数据数组或请求参数的可见文本通过统一 e() 方法输出，降低HTML上下文中的注入风险。
内容与访问安全
用清楚的参数边界和真实404处理异常请求
动态文本统一转义，文章slug只允许字母、数字与短横线，分页和筛选参数都限制在允许范围。不存在的内容返回HTTP 404，并保留正常导航。
参数验证
文章slug、分页、筛选与搜索词分别使用格式白名单、整数范围和长度限制，不把任意参数直接用于文件路径或动态包含。
404处理
无效文章、未知筛选条件等请求会返回404，而不是把所有错误静默跳首页，便于用户和搜索引擎理解当前地址无内容。
部署建议
生产环境仍应启用HTTPS、关闭详细错误展示、及时更新PHP，并通过服务器层限制敏感文件访问和异常请求频率。