feat(v1.2.6): 合并审核整改、确认完全原创并完善可选 API 披露

版本升至 1.2.6（1.2.5 审核被拒未发布，整改内容并入本版）；README 新增原创声明（4.2.1/4.2.2 不适用）；Hero 描述来源默认 none，选一言自动填入官方接口、清空回退本地句子库；文档列出两个 IP 定位候选接口与访客 IP 披露文案；含上一轮 4.4.2 内容渲染安全与 5.2 字体许可证修复。

docs/changelog.md

@@ -1,8 +1,25 @@
 # 更新日志
 
-## v1.2.5
+## v1.2.6
 
-### 上架审核整改（v1.2.5 修订）
+> v1.2.5 为审核被拒的未发布版本，从未对外分发；其全部整改内容纳入 v1.2.6 一并发布。
+> 上一个对外发布版本为 v1.1.1（v1.1.2 – v1.2.5 均未发布）。
+
+### 本轮变更
+
+- 🆙 版本号升至 `1.2.6`，与上次被拒的审核快照明确区分
+- ✍️ 新增「原创声明（4.2.1）」：本主题完全原创，未基于任何已有主题 / 插件派生，4.2.1 / 4.2.2 不适用
+- 🔇 Hero「描述文案来源」默认值由 `hitokoto` 改为 **`none`** —— 默认不渲染一言元素、不显示描述文案，零外部请求
+- 🔗 选择「一言」时自动填入官方接口 `https://v1.hitokoto.cn/`；选择「一言」或「自定义」后若 API 留空，
+  则使用主题内置的本地句子库（零外部请求）。**只有填写后才会向该地址发起请求**，需自行在站点隐私说明中披露，
+  详见 README「外部资源与隐私」
+- 🌐 文档列出两个可选 IP 定位接口：`https://myip.ipip.net/json` 与
+  `https://r.inews.qq.com/api/ip2city?otype=json`（主 / 备选 API 均可选用）。
+  **填写后会把访客 IP 发送给该第三方服务换取地理位置**，需自行在站点隐私说明中披露，
+  详见 README「外部资源与隐私」
+- 📄 README「外部资源与隐私」新增可选接口清单与逐项披露；docs 的 Hero 配置、FAQ、快速开始与首页页同步更新
+
+### 上架审核整改（原 v1.2.5 修订，并入 1.2.6）
 
 - 🔒 **默认零第三方自动请求**：移除全部 21 个模板对 `cdn.jsdelivr.net` 的 `preconnect` / `dns-prefetch`
 - 🔒 移除文章页 PrismJS 1.29.0、`autoloader`（会按代码语言从 CDN 动态拉取并执行组件）与
@@ -20,6 +37,19 @@
 - 🧪 新增 `pnpm audit:external` 与打包前置校验：拦截第三方远程加载、预连接、动态加载、
   README 死链、重复大图；`docs/*.md` 与预览图一并打进安装包
 
+#### 按 v2026.09.07 审核指南全文补充自查（并入 1.2.6）
+
+- 🔒 **内容渲染安全（4.4.2）**：文章页 JSON-LD 不再用 `th:utext` 把标题 / 摘要 / 作者 / 封面
+  拼进 `<script>` 原始文本（可被脚本闭合标签截断并注入）；改为「Thymeleaf 转义写入 `<meta>`
+  → `JSON.stringify` → `textContent`」，并新增 `<meta name="author">`。瞬间正文 `content.raw`
+  兜底从 `th:utext` 改为 `th:text` 转义输出（首页区块、瞬间页列表 / 瀑布流、详情页共 4 处）
+- 📜 **许可证传递（5.2）**：`public/assets/fonts/LXGWWenKai/OFL.txt` 随包携带上游版权声明、
+  保留字体名附加许可与 SIL OFL 1.1 全文；`pnpm build` / `pnpm package` 均校验其存在与内容
+- 🔢 **上架信息校准（2.2 / 4.6）**：README 设置项按 `settings.yaml` 实测改为 17 组 / 126 项、
+  点击特效改为 8 种效果（可关闭）；新增「内容渲染安全」章节与搜索页 / 空结果状态人工回归项
+- 🧪 合规审计扩展：拦截任意 `<script>` 上的 `th:utext`、缺失字体许可证、README 数字漂移；
+  `pnpm smoke` 新增 JSON-LD 合法性与注入防护的桩 DOM 验证
+
 ### 兼容性与元数据
 
 - ⬆️ Halo 版本要求提升至 **2.27.0+**（页面布局契约、微信读书页面依赖 2.27 的能力）