pupu v0.2.7

本版本以工程加固为主：修掉一处内容注入问题、三处界面文案缺陷，并把自动化门禁补齐。

🔒 安全与正确性

动态正文注入 innerHTML 未转义

maimai（脉脉）与 weixinchannel（微信视频号）把你在扩展里输入的动态正文直接拼进 HTML 再赋给编辑器，因此正文里含有 < > 时会被平台当成标签解析 —— 轻则字符消失、排版错乱，重则可触发脚本执行。

• 现在会先转义再拼接（含话题标签）
• 视频号那条路径额外注意：剪贴板仍写入原文，编辑器才用转义后的 HTML，避免把 < 之类实体粘进正文

🐛 修复的界面文案缺陷

自动化的一致性校验一启用就查出了 3 个此前没人发现的问题：

问题	原表现
refreshAccountsNotLoggedIn 不存在且无兜底	刷新账号取不到信息时，错误提示是空白
devEnvironmentTitle / devEnvironmentContent 不存在	开发模式预填文案取不到翻译
英文包 syncPublicPageTitle 是空串	英文界面显示中文兜底「发布中心」

🛠 工程加固

• 新增 66 个单元测试（此前为 0），覆盖 HTML 消毒、可信域名匹配、文本转义、小红书文案规则、语言包一致性
• CI 增加类型检查与单元测试，并在 main 上开启分支保护：PR 必须等 CI 通过才能合并（直接推 main 仍可用，服务端会留一条绕过记录）
• 发布流程也自证：出包前先跑 lint / 类型检查 / 单元测试，校验不过就不产出 Release
• 新增 Dependabot：minor/patch 自动开 PR，大版本一律不自动升级（避免 React 19 / Tailwind 4 这类被误升）
• 工具链版本单一来源：packageManager + .nvmrc，不再在 workflow 里硬编码

📦 安装

下载 pupu-v0.2.7.crx，拖进 chrome://extensions（Edge 为 edge://extensions，需开启「开发者模式」）。扩展 ID 仍为 nffpajdealkjpdmjjboneelajanbboig，直接覆盖更新即可，账号缓存与设置不会丢失。

️ 仍待处理

• 动态正文在视频号编辑器里的换行处理需要实机确认（已记录在 OPTIMIZATION.md P1-7）
• 生产代码里仍有 1153 处 console.log 待收敛为分级日志（P0-3）
• 大版本升级（React 19 / HeroUI 3 / Tailwind 4）与商店上架仍在计划中

完整的优化审计（含实测证据、优先级与执行顺序）见 OPTIMIZATION.md。