但是，在实际的 Web 应用场景中，如果开发者处理不当，Markdown 可以成为注入攻击的载体或入口。这通常不是 Markdown 的问题，而是解析器、渲染器或后端处理逻辑的安全缺陷导致的。

以下是 Markdown 可能引发安全风险的几种主要场景：

1. XSS（跨站脚本攻击）

这是最常见的风险。许多 Markdown 解析器允许嵌入原始 HTML 标签。

• 风险点： 如果解析器没有对用户输入的 Markdown 内容进行严格的消毒（Sanitization），攻击者可以在 Markdown 中写入 <script>alert(1)</script> 或 <img src=x onerror=alert(1)> 等恶意代码。
• 结果： 当其他用户浏览该页面时，恶意脚本会在其浏览器中执行。
• 注意： 即使禁用了 HTML 标签，某些解析器的 Bug 也可能导致通过特殊 Markdown 语法绕过过滤实现 XSS。

2. 服务端模板注入 / 代码执行

部分应用支持在 Markdown 中使用扩展语法来动态生成内容。

• 风险点： 如果使用了不安全的插件或自定义渲染逻辑（例如允许在 Markdown 中嵌入 Jinja2、Liquid、EJS 等模板语法，或者允许执行 Lua/Python 脚本），且未做沙箱隔离。
• 结果： 攻击者可以通过构造特殊的 Markdown 内容，在服务端执行任意代码（RCE）。

3. SSRF（服务端请求伪造）与 DoS

• 图片/链接引用： Markdown 支持 [图片描述](https://) 语法。如果服务端在渲染时会主动去请求该 URL（例如为了生成缩略图、预览或验证链接），攻击者可利用此特性探测内网或发起 SSRF 攻击。
• ReDoS（正则拒绝服务）： 一些老旧或编写不规范的 Markdown 解析器在处理特定畸形语法时，可能触发正则表达式的灾难性回溯，导致服务器 CPU 耗尽。

⚠️ 关键区分

Markdown ≠ 注入工具 SQL 注入、命令注入等漏洞的根源在于后端代码未对输入进行参数化处理或过滤。无论用户输入的是纯文本、JSON、XML 还是 Markdown，只要后端拼接了字符串，就可能被注入。Markdown 只是改变了"输入的形式"，并没有改变"注入的本质"。

✅ 安全建议

如果你在网站中使用 Markdown 功能，请务必采取以下措施：

1. 使用成熟、维护良好的解析库（如 marked + DOMPurify, markdown-it + sanitize-html, Python 的 bleach 等）。
2. 始终对输出进行 HTML 消毒，不要信任任何用户生成的 Markdown 渲染结果。
3. 禁用不必要的扩展，特别是涉及代码执行、模板渲染或远程资源加载的功能。
4. 配置 CSP（内容安全策略） 作为纵深防御，限制内联脚本的执行。
5. 服务端渲染时做好超时和资源限制，防止 ReDoS 和 SSRF。

总结： Markdown 本身不能注入网站，但不安全地实现 Markdown 功能可以为攻击者提供注入的途径。安全的关键在于正确的解析、严格的过滤和安全的架构设计。

域名用来自定义图片 URL、公开域、CDN 加速，GitHub 用来 Fork 图床仓库代码，并同步更新上游，Cloudflare 会用到 R2 对象存储 (免费 10GB)、Pages、KV，Telegram 会用到 Bot 和 Channel 作为备用存储空间 (无限容量)，EdgeOne 作为国内 CDN 加速。

本教程只作为复盘，纯小白请看超级详细的部署教程文档：https://cfbed.sanyue.de

一、部署图床

https://github.com/MarSeventh/CloudFlare-ImgBed

Fork 仓库代码到自己的 GitHub，并用 Cloudflare Pages 部署。

Fork

请注意新版本 Cloudflare 的 Workers and Pages 的仪表盘有所改动，请点击页面右上角的加号新建页面，而不是点击该页面上的创建应用程序。

Cloudflare Pages

连接你的 GitHub 账号后，选择我们刚刚 Fork 的仓库。记得打开Sync fork。

导入 Git 仓库

构建命令填写npm install，然后点击保存并部署。

构建命令

二、配置 R2 及 KV

创建 R2

Cloudflare -> 存储和数据库 -> R2 对象存储 -> 概述 -> 创建存储桶

起一个你喜欢的名字，地区我们选择亚太地区 (APAC)这样境内访问会快一点。

创建 R2

创建 KV

Cloudflare -> 存储和数据库 -> Workers KV

创建 KV 命名空间 img_url

创建 KV

绑定 R2 和 KV 到 Pages 项目

回到刚刚的 Pages 项目：

Workers 和 Pages -> cloudflare-imgbed (项目名称) -> 设置 -> 绑定 -> 添加 R2 存储桶

变量名img_r2，R2 存储桶选择刚刚创建好的。

绑定 R2

继续添加 KV 命名空间，变量名img_url。

绑定 KV

R2 和 KV 绑定完成之后，点击部署 -> 重试部署。

重新部署

三、配置域名及 CDN

配置图床前端自定义域名

在 Pages 项目中点击自定义域，添加你的域名，例如img.hackdeacon.com，请提前做好解析，推荐将域名托管到Cloudflare，不开橙云国内访问速度会正常一些（仅作为 DNS 解析）。

自定义域名

配置 R2 存储桶自定义域名

例如r2.hackdeacon.com，此处的自定义域名后面会用来作为 CDN 加速回源地址。

R2 自定义域名

EdgeOne 配置 CDN 加速

大家可以选择不同厂家的 CDN，这里我选择 EdgeOne，因为有永久免费无限额度。

完成测速并分享至不同平台，即可获得四个域名的托管额度。
活动地址 https://edgeone.ai/zh/get-free-plan

EdgeOne

进入套餐管理页面
https://console.tencentcloud.com/edgeone/package

点击去绑定域名，按照提示做好域名的解析，这里我选择 CNAME 接入，因为我的域名 NS 托管在了 Cloudflare。

绑定域名

回到 Cloudflare 创建 R2 存储桶的 API 访问密钥。
R2 -> Account Details -> Manage

R2 API

创建 Account API 令牌，权限建议改成对象读和写，其他保持默认，点击创建后，保存好Access Key ID和Secret Access Key。

API 令牌

加速域名：后续作为图床的主链接，例如pic.hackdeacon.com。

源站配置选择对象存储源站，S3 兼容，源站地址填写刚刚作为 R2 存储桶的自定义域名。 将刚刚创建的公钥和私钥填写进相应的位置，推荐模板选择 网站加速。

EdgeOne 配置

添加完后配置 HTTPS 证书。

HTTPS

生效后我们可以用https://www.itdog.cn/http

测试一下加速效果，仅作参考。

加速前

加速后

四、配置 TG

本教程最核心的配置 EdgeOne CDN 加速已结束。

下面懒得写了，请看 TG Bot & Channel 配置教程：

https://cfbed.sanyue.de/deployment/prerequisites.html

配置完后在图床的设置里添加 Telegram 上传渠道。

TG

五、配置图床

图床站点 LOGO、背景、名字等等。

有一个需要注意的点，如果配置了 CDN 加速，记得修改默认 URL 前缀。

还有一个需要注意的点，如果默认 URL 前缀放空不填的状态下，默认图片链接将是图床站点的链接后加/file路径。

例如 https://img.hackdeacon.com/file/123.png

默认 URL

六、防盗链

Cloudflare 主页 -> Scrape Shield -> Hotlink 保护

防盗链

开启之后你的图片只能在你域名下的站点使用，第三方域名站点将会 403。

当然也可以上传图片到hotlink-ok文件夹下，该文件夹内的图片无防盗链保护。

导读：在内容分发碎片化的时代，搭建一个属于自己的独立博客依然是一件兼具情怀与长远价值的事。面对 WordPress、Typecho、Halo、Emlog、Z-Blog 以及现代静态生成器（Astro / Hugo / Hexo），无论是建站新手还是资深玩家，该如何根据需求、技术栈与服务器预算做出最合适的选择？本文为你梳理主流博客系统的核心特性、技术选型与场景推荐。

一、为什么还需要独立博客？

在社交媒体算法分发和封闭平台规则日益严苛的今天，独立博客的优势依然不可替代：

• 数据与内容主权：不受平台风控或规则变更影响，数据全量自主掌控，支持随时迁移与备份。
• 个人品牌与沉淀：优雅的长文排版、清晰的结构化分类，配合独立域名沉淀长期的品牌价值与搜索引擎权重（SEO）。
• 技术探索的试验田：从服务器运维、主题定制到 AI 写作流的接入，独立博客是绝佳的技术实践空间。

二、主流博客系统深度解析

1. WordPress —— 工业级建站利器，功能全面的全能航母

• 官方网站：https://wordpress.org（中文站：https://cn.wordpress.org）
• 定位：全功能 CMS / 综合型内容管理系统
• 技术栈：PHP / MySQL / MariaDB
• 核心优势：
  • 庞大的全球生态：拥有海量的主题与插件资源，从个人博客到资讯门类、电商独立站、会员社区均有成熟方案。
  • 强大的扩展与 SEO 能力：内置完善的分类机制与权限管理，结合成熟的 SEO 插件可带来出色的搜索引擎表现。
• 劣势与考量：
  • 系统架构相对庞大，对服务器内存与并发优化要求较高（建议 2 核 2G 及以上配置）。
  • 后续维护成本较高，插件繁多时容易出现兼容性冲突，需定期关注安全防护与更新。
• 适合人群：
  • 有复杂业务扩展需求（如知识付费、内容社区、跨境站点、综合门户）的用户。

2. Typecho —— 极简主义者的轻量首选

• 官方网站：https://typecho.org
• 定位：超轻量级 Markdown 动态博客
• 技术栈：PHP / SQLite / MySQL
• 核心优势：
  • 极致轻量：底层代码精练、依赖极少，即便在极低配置下也能实现毫秒级页面响应。
  • 纯粹写作体验：原生支持 Markdown，专注内容输出，社区极客与极简主题丰富。
• 劣势与考量：
  • 官方核心更新节奏较为平缓，部分高级功能依赖社区活跃插件支持。
• 适合人群：
  • 追求极简设计、专注文字写作、有一定折腾与动手能力的开发者与极客博主。

3. Halo —— 现代 Java 生态的后起之秀

• 官方网站：https://halo.run
• 定位：现代化个人与企业级开源建站工具
• 技术栈：Java / Spring Boot / Docker
• 核心优势：
  • 现代化设计与架构：采用全新的插件化架构模型，后台 UI 极具现代设计感与流畅度。
  • 丰富的资源管理：提供完善的附件管理体系，支持本地存储与多种对象存储扩展，开放丰富的 RESTful API。
• 劣势与考量：
  • 基于 Java 运行时，内存开销相对传统 PHP 程序更大（建议 2 核 4G 内存起步）。
• 适合人群：
  • 熟悉 Docker/Java 生态、注重后台审美、喜欢模块化应用与容器化部署的用户。

4. Emlog —— 轻快实用、专注中文站长生态的经典之作

• 官方网站：https://www.emlog.net
• 定位：轻量易用的动态博客系统
• 技术栈：PHP 7.x / 8.x / MySQL
• 核心优势：
  • 极致轻巧，低配流畅：系统运行开销极低，入门级 1 核 1G 云服务器乃至虚拟主机均可丝滑稳定运行。
  • 深度契合国内站长需求：支持微信/QQ快捷登录、国内主流对象存储（OSS/COS）、ICP 备案号展示、微信公众号联动等实用功能。
  • 生态成熟且省心：内置应用商店，主题与插件一键安装升级；支持 Markdown/富文本双模式，运维门槛极低。
  • 持续现代化迭代：持续维护的 Pro 版本在安全性、移动端后台自适应、REST API 支持及现代前端模板生态上均表现出色。
• 适合人群：
  • 希望快速搭建、省心运维、专注内容创作的中文博主。
  • 追求高性价比建站、使用入门级服务器的个人站长与技术爱好者。

5. Z-Blog (Z-BlogPHP) —— 资深老牌、灵活多元的中文 CMS 经典

• 官方网站：https://www.zblogcn.com
• 定位：老牌开源博客与小型 CMS 系统
• 技术栈：PHP / MySQL / SQLite
• 核心优势：
  • 底蕴深厚，生态成熟：国内最早的开源博客系统之一，沉淀了大量的主题与功能插件。
  • 多数据库兼容：原生支持 SQLite、MySQL 等多种数据库驱动，在零门槛低配主机上也能轻松部署。
  • 内置应用中心：自带应用市场，支持插件和模板的在线下载与自动升级。
  • 优秀的 SEO 继承：继承了传统老牌 CMS 优秀的 URL 伪静态与静态化机制，对搜索引擎抓取十分友好。
• 劣势与考量：
  • 后台管理界面与交互偏向传统站长风格，部分老旧插件的代码维护度参差不齐。
• 适合人群：
  • 熟悉国内站长生态、看重插件/模板丰富度，以及需要低成本/多数据库灵活部署的用户。

6. 静态博客方案（Astro / Hugo / Hexo）

• 官方网站：
  • Astro: https://astro.build
  • Hugo: https://gohugo.io
  • Hexo: https://hexo.io
• 定位：零服务器成本的前端极客方案
• 技术栈：Node.js / Go / 静态构建工具
• 核心优势：
  • 零服务器成本：配合 GitHub Pages、Cloudflare Pages 或 Vercel，无需购买 VPS 即可免费全球分发。
  • 极致速度与安全性：生成纯静态 HTML/CSS 文件，无后端数据库与动态执行环境，抗并发能力强且极少有安全漏洞。
• 劣势与考量：
  • 动态交互能力弱（评论、点赞需挂载第三方服务），无法随时在手机端直接登录后台发文，依赖 Git 与命令行工具。
• 适合人群：
  • 熟悉 Git/前端工具链、追求零运维成本与极致加载性能的开发者。

三、主流博客选型决策对照表

四、不同场景的最佳推荐

1. 想要做综合类网站、资讯站、内容变现 👉 推荐 WordPress

   • 商业化变现、海量插件需求、多功能整合，WordPress 依然是扩展上限最高的存在。

2. 喜欢极简风格、原生 Markdown 写作 👉 推荐 Typecho

   • 追求极致轻量响应与纯粹代码体验的极简博客。

3. 注重审美、喜欢现代微服务与 Docker 容器化部署 👉 推荐 Halo

   • 偏好现代化扁平后台与模块化插件扩展的开发者，Halo 是非常亮眼的选择。

4. 预算有限、追求轻快省心的中文站长 👉 推荐 Emlog

   • 如果你使用的是入门级云服务器，希望几分钟内搭建一个兼具精致前台、便捷后台且深度适配国内生态（微信/OSS/备案）的个人博客，Emlog 是性价比与省心度极高的动态方案。

5. 看重老牌积累、多元应用生态与多数据库兼容 👉 推荐 Z-Blog

   • 喜欢国内传统站长生态、需要丰富的模板插件在线安装，或在极低配环境/SQLite 场景下快速部署，Z-Blog 是成熟稳定的古典派代表。

6. 硬核程序员、追求零成本与极速加载 👉 推荐 Astro / Hugo / Hexo

   • 基于 Markdown 本地管理，通过 Git Push 自动触发 CI/CD 静态构建，适合技术笔记展示与极客建站。

结语：建站工具没有绝对的高下之分，只有“最适合当下需求与技术背景”的选择。明确你的写作目的、服务器预算与运维精力，才能让独立博客成为长期陪伴你思考与沉淀的数字化空间。

凌晨的寂静像一张温柔的网，轻轻接住了白天所有无处安放的情绪。

忽然想起，我们已经很久没有认真听自己说话了。不是微信里的语音条，不是会议上的发言，而是心里那个微弱却真实的声音——它说累了，说想要停下来，说其实不必那么急着赶路。

生活总是推着我们向前，KPI、deadline、同龄人的比较……像一场永不停歇的马拉松。可深夜给了我们一种特权：暂时退出赛道，做回一个普通人。

泡一杯温水，翻开一本读了一半的书，或者只是对着天花板发呆。这些"无用"的时刻，恰恰是对自己最好的告慰。原来好好生活，不是把日程表填得多满，而是允许自己偶尔空白，允许故事慢慢展开。

天快亮了，那些烦扰暂时退潮。好好睡吧，明天又是慢慢遇见惊喜的一天。

晚安，未眠人。

界面与布局

• 双栏 / 三栏布局自由切换，访客可一键切换并自动记忆选择
• 浅色 / 深色双主题模式，跟随系统或手动切换均可
• 内置蓝、绿、橙、紫、青、红 6 种主题色，一键更换整体气质
• 响应式设计，手机、平板、电脑三端自适应，移动端提供底部快捷导航
• 左侧栏可选大图标或完整导航，文章页自动吸顶，浏览体验更顺畅

阅读体验

• 文章页展示标题、分类、标签、作者、发布时间、阅读时长等信息
• 代码块高亮，适配主流编程语言，深色配色降低阅读疲劳
• 图片灯箱放大，点击文章图片即可大图查看
• 阅读量友好格式化，超过一千显示 1.2k，超过一万显示 2.5w
• 文章摘要自动清洗，英文单词不粘连，中文排版更整齐
• 相邻文章导航、标签聚合、分类筛选条，方便快速跳转

主题设置

后台主题设置面板提供丰富的配置项：

• 站点 Logo 上传与浏览器标签图标，未上传时自动显示站点名首字母
• 站点副标题、作者标签等个性化信息
• 默认布局、主题色、页面首尾边距
• 文章阅读量显示开关、图片灯箱开关
• 页面 HTML 压缩开关
• ICP 备案号、公安备案号展示
• 自定义 CSS / JS，满足个性化改造

页面说明

温馨提示

为保障主题全部功能正常运行，请提前将emlog程序升级至官方最新稳定版本。

设计风格

• 玻璃拟态视觉：半透明模糊卡片、柔和圆角、粉色渐变主色
• 深浅色双模式一键切换，选择自动记忆，代码高亮主题同步联动

前端实时个性化

• 页面设置弹窗，无需改代码实时调整
• 布局配置：自由开关左侧 / 右侧区域
• 背景配置：上传自定义背景图、内置多套预设背景、一键换色、HSL 调色、图片 URL 直达

阅读体验

• Pjax 无刷新跳转，带加载进度条
• 代码高亮与一键复制
• 图片灯箱浏览
• 点击音效：覆盖导航、评论、分页、验证码、复制等交互
• 返回顶部（含阅读进度）与返回上页浮动按钮
• 页面 HTML 压缩输出，减小传输体积

内容功能

• 全站搜索、前端登录、加密文章密码解锁
• 置顶 / 分类置顶标记、上一篇 / 下一篇导航
• 相册模式、按年归档、标签云、关于页
• 友链页：一键复制站点信息、评论提交申请、申请流程与须知

侧边栏

• 个人资料卡片
• 站点统计弹窗：文章、标签、分类、留言、用户、浏览量、运营天数
• 随机文章（可开关，数量 1-5 条）

后台设置

• 头部设置：文字 / 图片 LOGO、圆形 LOGO 上传
• 基础设置：默认缩略图、首页 / 分类 / 页面封面图与引言、随机文章数量
• 功能开关：代码高亮、代码复制、布局配置、背景配置、Pjax、点击音效、页面压缩
• 左侧菜单：自定义导航项，支持 Remix Icon 图标
• 页脚设置：版权信息、ICP 备案、公安备案号、建站时间（自动计算运营天数）

页面说明

温馨提示

为保障主题全部功能正常运行，请提前将emlog程序升级至官方最新稳定版本。

核心特性

双模式切换：支持亮色 / 暗色 / 跟随系统三种主题模式，切换无闪烁
macOS 代码块：文章内代码区域自带红黄绿三圆点标题栏，支持一键复制
独立页面模板：内置归档、标签云、友链、关于四种页面模板，开箱即用
响应式布局：从桌面端到移动端自适应，侧边栏自动重排
阅读辅助：阅读进度条、返回顶部、图片灯箱、目录导航

页面说明

温馨提示

为保障主题全部功能正常运行，请提前将 emlog 程序升级至官方最新稳定版本。

有段时间没发新东西了，不是偷懒，是在吭哧吭哧修旧账。

修了些啥

搜索终于不抽风了

之前搜索索引域名老是变成 localhost，线上根本用不了。现在直接从数据库读 site_url，伪静态也自动适配了，省心。

OG 标签补上了

分享出去终于能正常显示封面和描述了，不再是个光秃秃的链接。

字体可以自定义了

Google Fonts 不再是写死的，后台自己选字体、选 CDN，不想用也能关掉。

标签云正常了

之前所有标签都是一个大小，看着跟复制粘贴似的。现在按使用频率分档，还加了颜色区分。

评论区重做了

换了新模板、新样式、新交互，看着顺眼多了。顺便把无障碍警告也修掉了。

加载变快了

CSS 和 JS 改成按需加载，不该加载的绝不加载，首屏清爽不少。

国际化搞完了

后台设置、模板里的中文全部换成 _langTpl()，以后切语言不用到处找硬编码了。

还有啥没做的

• 主题设置加个"一键重置"

• 移动端菜单再优化下

• 阅读进度条（想做好久了）

写新主题很爽，但把旧的修踏实了更踏实。继续搞。

在主题设置里配置「导航名称 → 图标」的对应关系。网站导航有命名啥，后台设置啥就是了

格式：导航名称=图标类名，多个用逗号分隔。
例如：首页=ri-home-line,文章=ri-article-line

图标库：https://remixicon.com

如图：