consolidated_titles.txt

[P0-1] 前端路由守卫缺失：/admin 及其他业务页可直接免登录访问
[P0-2] CSP 存在 'unsafe-eval' 与 'unsafe-inline'，XSS 防护效果被大幅削弱
[P1-3] 敏感数据（AI API key）存储存在缺陷，可被 DevTools 直接读取
[P2-9] Supabase anon key 暴露在前端，RLS 配置错误时将导致全表数据泄露
[P1-4] 未实现安全的会话管理（Cookie 缺少 Secure/HttpOnly/SameSite）
[P1-5] 未实现安全的 URL 参数处理
[P1-6] 未实现 CSRF 防护
[P3-2] 第三方资源未做白名单与完整性校验
[P2-2] 事件监听器未统一管理，存在内存泄漏风险
[P2-10] METASO_SUBJECT_ID 等配置硬编码在 JS 源码中
[P1-2] app.js（192KB）单文件过大，影响首屏与可维护性
[P2-3] CSS 文件过多（20+）且同步加载阻塞首屏
[P2-4] vendor 重型库（Three.js/3Dmol/mermaid）未做 tree-shaking 且未懒加载
[P3-5] Routes 配置存在重复路由映射
[P1-7] 全局状态 AppState 直接暴露到 window
[P2-1] 发布资源未压缩，影响加载性能
[P3-1] 代码版本控制与提交规范待完善
[P1-11] 7.7MB 字体文件（lxgw-wenkai.woff2）拖慢首屏
[P2-13] Service Worker warmup 全量预取所有 JS 文件，浪费带宽
[P3-14] 无图片懒加载与 WebP/AVIF 支持
[P1-15] localStorage 配额未监控，可能超出 5MB 导致数据丢失
[P3-3] CSS 动画未用 transform/opacity 优化，可能频繁重绘回流
[P1-10] 键盘导航 / 焦点管理 / ARIA 可访问性缺失
[P1-11] 关键操作缺少加载状态指示
[P1-12] 错误提示机制缺失（含全局错误边界）
[P1-13] 关键操作缺少交互反馈
[P2-20] 无离线状态 UI 提示
[P1-21] 不可逆删除操作缺少 Undo 机制
[P3-22] 空状态设计缺失
[P1-9] 响应式设计与跨端适配缺失
[P3-34] 暗色模式切换无过渡动画
[P2-35] 生物主题微交互彩蛋缺失
[P3-36] 无成就/激励系统
[P2-16] 离线操作无队列机制，网络恢复后数据可能不一致
[P1-17] 无数据导出/删除功能，不符合 GDPR/个保法合规
[P1-14] 数据版本控制缺失
[P1-15] 数据备份与恢复机制缺失
[P2-8] 数据校验与压缩缺失
[P1-16] API 调用限流与请求去重缺失
[P1-17] AI 对话结果未流式输出
[P1-18] Service Worker 缓存策略 / 更新通知 / 安装引导 / 离线通知待完善
[P1-19] 隐私政策缺失
[P1-33] 年龄验证与未成年人保护缺失
[P1-20] 单元测试缺失，覆盖率极低
[P1-28] CI 自动化测试缺失（Playwright E2E / 覆盖率门禁 / 视觉回归）
[P1-37] LICENSE 元数据不一致
[P2-38] SQL migration 文件未保证幂等性