fix: 修复 safeUrl 未拦截危险 URL scheme

[Zi-Yi-Ming]

改动内容

• 修复 site/js/markdown.js 中 safeUrl() 对 URL scheme 校验过于宽松的问题。
• 拦截 javascript:、data:、vbscript:、file:、blob:、about: 等危险 scheme，同时兼容大小写及 URL 编码形式。
• 增加 safeUrl() 回归测试，并补充链接、图片、视频渲染层面的安全测试。
• 增加 malformed percent-encoding 场景测试，确保异常编码不会导致渲染器抛出异常。

Why

原有 safeUrl() 在部分 URL 上仅通过首字符检查（/^[\w./-]/），导致包含危险 scheme 的值可能继续进入 HTML 的 href、src 和 data-zoom 属性。

本次采用最小范围修复，仅收紧 URL scheme 校验，不引入新的依赖，也不改变正常的 http(s)、站内路径及相对路径行为。

验证方式

• node --test tests/markdown.test.mjs：12/12 通过
• git diff --check：通过（无空白字符错误）
• npm run audit：通过（需将 CHROME_PATH 指向本机 Chrome；相关工具默认硬编码 macOS 路径 /Applications/Google Chrome.app/Contents/MacOS/Google Chrome，在 Windows 上无法启动浏览器）
• npm test：部分通过后失败，失败项与本次修改无关，详见下方说明

npm test 失败说明（与本次修改无关）

设置 CHROME_PATH 后，npm test 依次执行：

• tools/build-site-index.mjs — 通过
• tools/check-boot.mjs — 通过
• tools/check-landing.mjs — 通过
• tools/check-features.mjs — 通过
• tools/check-mobile.mjs — 失败：360px articleWhere 对比度应至少达到 3:1

该断言读取的是 .article__where 的 getComputedStyle().color（颜色来自未改动的 site/css/article.css 中的 var(--ink-faded)），与本次 URL scheme 校验无关。对照实验确认：将页面所用脚本替换为修改前 HEAD 版本的 markdown.js 后，失败信息完全一致（同样为 360px articleWhere 对比度应至少达到 3:1）。因此这是既有问题，本次未作修改。

安全影响

修复 Markdown renderer 中的 URL scheme 校验缺陷，避免危险 scheme 进入生成的 HTML URL 属性。

当前仓库的 Markdown 内容来自站内静态文件（content/site-index.json、content/site-content.json，同源 fetch），未发现"外部不可信 Markdown 输入 → renderer → 真实浏览器执行"的完整链路。因此本问题准确定位为 URL sanitization / unsafe URL scheme validation 安全缺陷，并存在潜在 XSS 风险（一旦内容来源变为用户可控，<a href="javascript:..."> 将成为可点击的 XSS 向量），而非已确认的远程 XSS。

Product fact updates

不涉及。

[Copilot]

Copilot was unable to review this pull request because the user who requested the review has reached their quota limit.