fix: 按 Halo 应用市场审核意见整改外部资源与隐私（v1.2.5 修订）

- 默认零第三方自动请求：移除 21 个模板的 preconnect/dns-prefetch、PrismJS+autoloader、qrcode-generator 及内置一言/IP 定位 API
- 一言与代码高亮配色改为自托管；欢迎弹窗自定义 IP 接口改为 opt-in；微信分享改为复制链接；LightGallery 按 GPLv3 使用
- README 新增「外部资源与隐私」「验证与回归测试」章节，修正无效链接并补充字体 OFL 来源；同步 docs 与修正虚构的目录树
- friends 等 12 处 #strings.substring 加空值保护；logo 由两份 1.5MB 压缩去重为单份 146KB
- 新增 pnpm audit:external 与打包前置合规审计；制品补齐 34 个 docs 文档与预览图

docs/changelog.md

@@ -2,6 +2,24 @@
 
 ## v1.2.5
 
+### 上架审核整改（v1.2.5 修订）
+
+- 🔒 **默认零第三方自动请求**：移除全部 21 个模板对 `cdn.jsdelivr.net` 的 `preconnect` / `dns-prefetch`
+- 🔒 移除文章页 PrismJS 1.29.0、`autoloader`（会按代码语言从 CDN 动态拉取并执行组件）与
+  `qrcode-generator`；代码高亮改由应用市场代码高亮插件 / API 扩展包提供，主题只保留自托管的
+  Warm / Cold token 配色（微信分享改为「复制链接」）
+- 🔒 一言默认改用内置本地句子库 `assets/data/hitokoto.json`，不再默认请求 `v1.hitokoto.cn`
+- 🔒 欢迎弹窗默认显示本地静态欢迎语，移除内置的 IP 定位主 / 备选第三方接口；IP 定位改为
+  **管理员显式配置**的可选能力（开启时会向该服务发送访客 IP，需自行披露）
+- 📄 README 新增「外部资源与隐私」章节（服务名称 / 用途 / 数据类型 / 默认状态 / 关闭方法 /
+  遥测声明）与「验证与回归测试」清单；补充 LXGW WenKai 的 OFL 来源与 LightGallery GPLv3 说明
+- 🔗 修正上架说明中的无效链接：文档与预览图改为有效绝对地址并随包分发；朋友圈插件链接改为应用市场地址
+- 🐛 全部 `#strings.substring(..., 0, 1)` 增加空值保护，修复 `friends.html` 作者为空时的字符串越界
+- 🖼️ `logo.png` 由两份 1024×1024（各约 1.5MB）压缩去重为单份 256×256（约 146KB）
+- ✅ LightGallery 去掉占位 `licenseKey`，按 GPLv3 开源许可使用，控制台不再出现授权提示
+- 🧪 新增 `pnpm audit:external` 与打包前置校验：拦截第三方远程加载、预连接、动态加载、
+  README 死链、重复大图；`docs/*.md` 与预览图一并打进安装包
+
 ### 兼容性与元数据
 
 - ⬆️ Halo 版本要求提升至 **2.27.0+**（页面布局契约、微信读书页面依赖 2.27 的能力）