会员、评论与互动配置

互动功能默认应当谨慎开启。一个刚上线的教程站，通常只需要评论，不一定需要开放注册。

会员开关

在“互动与注册”中控制会员功能、注册开关和会话时长。会员身份通过独立 Cookie 注入模板，模板只能读取昵称等公开字段，邮箱不会进入页面缓存。

评论审核

• 开启“评论需要审核”后，新评论进入待审核，前台只展示审核通过的内容。
• 评论正文按纯文本转义输出，不解析 HTML。
• 评论提交带单次令牌与 IP 限频，减少重复提交与简单刷屏。

图形验证码

开启人机验证后，评论表单会自动内嵌验证码控件，不需要改主题模板。验证码令牌 5 分钟内有效，提交一次即作废，填错也需要重新获取。

通知

配置 SMTP 后，可以开启新评论、新投稿等通知。Webhook 密钥在接口返回中始终隐藏，只通过 _configured 字段表示是否已配置。

上线建议

1. 先关闭会员注册，只保留游客评论并开启审核。
2. 观察一周评论量，再决定是否开启验证码。
3. 确实需要用户中心时，再开启会员注册并配置邮件通知。