发布 0.2.1 并完善工具边界与安全性

CHANGELOG.md

@@ -2,6 +2,53 @@
 
 本文档记录面向使用者和维护者的重要变更。版本号以 `package.json` 为准。
 
+## 0.2.1 - 2026-08-10
+
+### Fixed
+
+- Base64 解码现在拒绝 `TQ=`、`TWE==` 等长度不完整的显式填充，同时继续接受规范的无填充 Base64 URL 输入。
+- XML 校验改为识别浏览器专用解析错误命名空间，合法的 `<parsererror>` 用户元素不再被误判为解析失败。
+- favicon、Web App Manifest 和其他稳定文件名资源不再使用一年不可变缓存；只有带构建指纹的 `dist/assets/` 文件使用长期 `immutable` 缓存。
+
+### Security
+
+- 带 Fetch Metadata 的导航配置写入现在只接受 `Sec-Fetch-Site: same-origin`，同时拦截 `same-site` 与 `cross-site` 浏览器跨源请求。无该请求头的非浏览器客户端仍受支持，因此隐藏设置路径仍不构成身份认证。
+
+### Verification
+
+- 120 条 Vitest 测试通过，新增 Base64 显式填充、XML `parsererror` 合法元素、静态资源缓存分类和 same-site 跨源写入回归覆盖。
+- Vue/TypeScript 类型检查、Vite 生产构建、Git 差异规范检查和 Windows PowerShell 启动脚本语法检查通过。
+- 11 个页面在 1440×900、900×900 和 390×844 三种视口完成真实浏览器回归；深浅主题无横向溢出或控制台警告/错误。
+
+## 0.2.0 - 2026-08-09
+
+### Added
+
+- AES-CMAC 增加 AES-192 和 AES-256 密钥长度，保留 AES-128 默认值，并增加 NIST SP 800-38B 已知向量。
+- 服务端为每个响应生成独立的 128 位 CSP nonce，使 Cloudflare JavaScript Detections 无需 `'unsafe-inline'` 便可与严格 CSP 兼容。
+
+### Changed
+
+- 安全随机数默认长度从 8 字节调整为 16 字节，并集中管理默认值和资源上下限。
+- CRC 自定义参数和结果表头改为中文在前、英文在后的双语标签；`RefIn`/`RefOut` 明确为输入/输出位反转，宽屏参数区不再压缩长标签换行。
+- CRC 与固件 Hash 的文件上传框统一悬浮、拖拽及键盘聚焦状态，并增加与后续控件的固定间距。
+- RSA 仅在 Web Crypto 不可用或失败时动态加载 `node-forge` 回退，降低现代 HTTPS 浏览器首次打开 RSA 工具时的下载量。
+- UTF-8 / Hex 的工具 ID、组件、字段前缀和固定路径统一为 `utf8-hex` 与 `/tools/utf8-hex`；旧导航配置中的 `ascii-hex` 会原位迁移，保留分类和排序。
+- 侧边栏移除无功能编号，品牌副标题改为“本地工具箱”，共享控件统一键盘焦点环和禁用态。
+- 工具管理路径调整为 `/tools/setting`；所有表单字段补充唯一 `id` 和稳定 `name`。
+
+### Security
+
+- 随机数增加最小/最大长度、安全随机源缺失及随机源异常的失败关闭测试，不使用普通伪随机回退。
+- CSP 仍禁止任意内联脚本和第三方脚本；Cloudflare Web Analytics 保持为部署层可选功能，不加入应用代码。
+- RSA 密钥生成增加异步请求版本保护，组件卸载或状态失效后，旧结果不会覆盖当前页面状态。
+
+### Verification
+
+- 116 条 Vitest 测试通过，覆盖 AES-128/192/256 标准向量、安全随机源失败关闭、RSA 动态回退、CSP nonce 强度及唯一性、固定工具路径、导航 ID 迁移、默认分类顺序、Intel HEX 有效数据分配上限、并发导航写入、CRC 参数防御和表单字段标识约束。
+- Vue/TypeScript 类型检查、Vite 生产构建和 Windows PowerShell 启动脚本语法检查通过。
+- 11 个页面在 1440×900、900×900 和 390×844 三种视口完成真实浏览器检查；深浅主题无横向溢出或控制台警告/错误。
+
 ## 0.1.0 - 2026-08-09
 
 ### Added