fix: 修复首页空白/失效外链/云函数越权，补齐缺失页面与种子数据

## 阻断性缺陷
- list.vue 是 0 字节空文件、slist.vue 与 search/search.vue 从未存在，
  而前者是 tabBar 首页、后者是 tabBar「搜索」页 —— 开屏即白屏。
  按 .nvue 原型与详情页契约重建三页（CSS 渐变主视觉、分类筛选、搜索历史/热搜/联想）。
- parse-image-url.js 对空封面调 undefined.startsWith 直接抛错，列表页整页崩。
- 云函数目录缺 uni-cms-articles / uni-cms-categories / uni-cms-unlock-record
  schema 与 schema.ext.js，线上内容渲染与解锁逻辑无配置可用。

## 越权与数据一致性
- uni-cms-articles：del/update/add 全部无鉴权，未登录即可删任意文章、
  改他人文章作者与阅读量。补 login + 作者归属校验，作者与计数改为服务端取值。
- comments.likeComment/relikeComment：直接采信客户端传入的 user_id，
  可冒名点赞刷计数。改为以令牌为准，并纳入事务。
- comments.updateComment：对数组取 .author_id，权限判断恒失败；
  字段名 updateTime 与 ip_location 类型与 schema 不符。
- comments.deleteComment：`!root_id === 0` 优先级错误导致计数恒不减；
  且误更新 uni-cms-articles、按不存在的 type 字段删点赞明细产生孤儿数据。
- cms-articles-like/collect：查重条件混入本次请求时间戳，防重永远失效，
  可无限重复刷计数；补唯一索引并事务化。
- cms-vote：读-改-写票数导致并发丢票，记录与统计非原子；改为事务 + 原子自增。
- cms-articles-log：忽略传入 user_id 直接返回全表，泄露全站浏览记录。
- article_info：get() 使用未定义变量必崩；读接口全部无鉴权。
- user-info：公开资料接口可查任意用户 last_login_ip。

## 资源与数据
- 全项目清空失效的签名外链（expire_at 均为 2025-03，必然 403），
  改为本地生成资源：6 套文章模板、8 个编辑器图标、2 张文章配图。
- 新增分类 / 模板 / 礼物 / 热搜词种子数据，并在 db_init.json 登记，
  同时补上点赞、收藏、投票、浏览日志的唯一索引。

## 功能
- 草稿箱：预览页拆出「发布」与「存为草稿」，作品列表按状态筛选并显示徽标。
  原实现有 4 个 tab 但只有 1 个有内容，且 article_status 在 UI 上无体现。
- 编辑中断恢复：接上原本空实现的「编辑草稿」回调，区分新建与编辑已有文章。

## 工具
- tools/audit-project.js：编码 / 页面路由 / 云调用 / 云函数鉴权 / 敏感信息检查
- tools/check-vue.js：SFC 脚本语法（词法扫描处理 import·export 与条件编译）
- tools/verify.js：一键验证；两个检查器各带自测，防止"永远通过"
- tools/gen-*.py：模板与图标资源生成脚本

uniCloud-alipay/cloudfunctions/user-info/index.obj.js

@@ -88,23 +88,28 @@ let obj = {
 			ip: ip
 		})
 		.field({
-			ip:true,
+			ip: true,
 			country: true,
-			economize: true,
-			market: true,
+			province: true,
+			city: true
 		})
 		.get();
 		
-		console.log(res);
-		
-		if (res.data.length > 0) {
-			address = res.data.city;
+		// res.data 是数组，取城市必须带下标；原写法 res.data.city 恒为 undefined，
+		// 导致本地缓存永远命中不了，每次都要打外部接口
+		if (res.data.length > 0 && res.data[0].city) {
+			return `${res.data[0].province || ''} ${res.data[0].city}`.trim();
 		}
 		
-		
-		let key = "IPUBZ-ZWF6I-PQ4GR-56NKD-BLZYJ-YHFIY";
+		// 腾讯地图密钥请配置在 uni-config-center/uni-id/config.json 或云函数环境变量中，
+		// 不要硬编码在源码里
+		const key = process.env.TENCENT_MAP_KEY || '';
+		const sk = process.env.TENCENT_MAP_SK || '';
+		if (!key) {
+			console.warn('未配置 TENCENT_MAP_KEY，跳过 IP 归属地解析');
+			return "未知";
+		}
 		let requests = "/ws/location/v1/ip?ip=" + ip + "&key="+ key+ "&output=json";
-		let sk = "1YTD18oU9wjLtVTVJWYupigJjuTPGvae";
 	    const sig = crypto.createHash('md5')
 		.update(requests+sk)
 		.digest("hex");
@@ -163,32 +168,36 @@ module.exports = {
 			}
 		}
 	},
+	/**
+	 * 用户公开资料。
+	 * 不返回 last_login_ip / last_login_date —— 这是可以传任意 uid 调用的公开接口，
+	 * 返回登录信息属于隐私泄露。需要登录 IP 时用 getIP()，它只返回调用者自己的数据。
+	 */
 	async get_user_info(query) {
 		try {
-			let uid = query.uid;
-			console.log(uid);
+			const uid = query && query.uid;
 			if (!uid) throw new Error("uid不存在");
-			console.log(uid);
-			let res = await db.collection("uni-id-users")
-			.doc(uid)
-			.field({
-				_id: 1,
-				nickname: 1,
-				avatar_file: 1,
-				last_login_ip:1,
-				register_date: 1,
-				last_login_date:1,
-				personal_profile: 1,
-				gender: 1
-			})
-			.get();
-			console.log(res.data[0].last_login_ip)
-			res.data[0].last_login_ip = await obj.getIPAddress(res.data[0].last_login_ip);
-			console.log(res)
-			
+
+			const res = await db.collection("uni-id-users")
+				.doc(uid)
+				.field({
+					_id: 1,
+					nickname: 1,
+					avatar_file: 1,
+					register_date: 1,
+					personal_profile: 1,
+					gender: 1
+				})
+				.get();
+
+			const user = res.data && res.data[0];
+			if (!user) {
+				return { code: 404, msg: '用户不存在' };
+			}
+
 			return {
 				code: 200,
-				data: res.data[0]
+				data: user
 			}
 		} catch (e) {
 			console.log(e);