0xCMS 的每一項功能

• 「Lect」結構化內容 — 每個頁面的主體都是一份具明確結構的 JSON：localized 欄位、scalar attribute（@）、page-reference pointer（*）、可重複的 items、可重用的 blocks（_blocks）及 tags（_tags）。_type、_modifier、_pointers 等 metadata 亦並列其中。
• Blueprint 驅動的 schema — 頁面類型以 blueprint 宣告（欄位字串與巢狀 item map 的組合）；編輯器表單、搜尋路徑及 CSV header 全部由同一 blueprint 衍生。
• 內建多語支援 — 預設語言集（mis、en、zh-hant、zh-hans），每個欄位都有 localized 值；語言按 request 選擇，並貫穿儲存／重載。Languages 後台可管理 locales、fallback 次序及 content/UI 啟用狀態；Translations 則儲存每個 locale 的 UI overrides，而完整 admin shell 和 profile language selector 亦會使用這些執行時翻譯。
• 21 種欄位類型，由 Liquid snippet 渲染：text、textarea、richtext、number、boolean、switch、checkbox、radio、select、date、time、color、email、tel、url、link、page（page-reference combobox）、picture、file（私有媒體上載）、range（附標籤的離散量表）及 rating（可用鍵盤操作的星級）。
• Markdown rich-text 模式 — richtext/md 欄位會同步 visual rich-text surface、Markdown source 和提交的 HTML。它現已是 page 與 block 的預設 body 欄位，附有已翻譯的 mode controls，並可還原 legacy double-escaped HTML。
• 支援翻譯的欄位 chrome — 共用的 text、email、number、textarea、picture、select 及 switch snippet 可從 i18n key 取得 label、placeholder、blank label 和 select option，同時為現有 blueprint 保留純文字 fallback。
• Page-reference 欄位 — 由 JSON API 支援的可搜尋 combobox，把一個頁面連結到另一個（按類型，以 name／slug 篩選）。
• 頁面層級 — 頁面可設定 parent（page_id）形成樹狀結構；parent 選項可搜尋。
• 排程視窗與時區 — 每個頁面帶可選的 start／end 時間戳及時區（UTC offset 或 IANA 名稱；預設可經 DEFAULT_TIMEZONE 設定）。
• Weight 排序 — 每頁可手動設定排序 weight，支援即時編輯及批量端點；client-rendered item group 亦設有拖曳手柄，儲存前會更新原有的 weight input。
• 舊格式正規化 — 較舊的「structured」JSON 形態會在讀取時自動遷移到現行 lect 模型。
• Lect 合併語意 — blueprint 預設 ← 已存內容 ← 傳入的部分內容，因此 API 呼叫方及匯入工具只需送出有改動的欄位。

• 結構化編輯器 UI — Tailwind ＋ vanilla-JS 的後台表單，會渲染每個 blueprint 欄位、item 列表及 block 列表，並附有 rich text 的內嵌 HTML 工具列。
• 完整頁面 CRUD — 建立（空白或 create_by_type）、編輯、更新及軟刪除，並自動產生 slug 且保證唯一。
• 編輯器內結構化動作 — 無需離開頁面即可新增／移除／重排 items 與 blocks（伺服器套用結構化動作後重新渲染）。
• 伺服器端驗證 — 以 422 及錯誤清單重新渲染表單，同時保留已輸入的值。
• 插件 edit view — 插件可接手它所擁有頁面類型的整個 edit/new 表單；CMS 把編輯器 context POST 給插件，並把回傳的 HTML fragment 包進後台 chrome。其表單會 POST 回正常的 CMS 儲存 handler，因此 versioning／發佈邏輯不變。
• 優雅 fallback — 若插件 edit view 回傳 404 或任何錯誤，就改用內建編輯器，因此半成品插件永遠無法把編輯者鎖在頁面之外。
• 內建編輯器 escape hatch — 在 URL 加上 ?native=1（或 ?editor=cms），即可對本應由插件渲染的頁面強制使用內建編輯器；此旗標在驗證錯誤及儲存後重載時仍會保留。
• 保留返回路徑 — 編輯器會記住你的來源（例如某插件 dashboard），儲存後 Back／Cancel 仍指向該處。
• 唯讀頁面檢視 — /pages/:id/read 把同一份結構化內容渲染成靜態文字（無輸入欄、無 CRDT、無在席狀態），可安心查閱頁面而絕無誤改風險；擁有該頁面類型的插件亦可渲染此檢視，同樣支援 ?native=1 fallback。
• 私隱表格檢視 — 含 email／phone／mobile／fax 欄位的頁面類型，會以顧及私隱的方式渲染列表。
• 修改者標示 — 解析並顯示最後編輯者的名字。

• 每次儲存都有版本 — 每次 create/update 都會新增一筆 page_versions；draft_pages.current_page_version_id 指向使用中的版本。動作（create/update/publish/revert/restore）會被記錄。
• 版本歷史面板 — 編輯器列出最近 20 個版本，附時間戳及動作。
• 版本預覽 — 以唯讀方式打開任一歷史版本（?version=…），並與目前草稿比對差異。
• 回復／還原 — 把頁面回退到任一先前版本；回復本身亦成為新版本（歷史只追加）。
• Live 版本指示 — 編輯器標示目前哪個已存版本與已發佈內容相符。
• 歷史隨回收筒保留 — 版本 row 與 tag link 會隨頁面移入回收筒，還原時完整回來（id 保留）。
• 插件及 API 寫入亦有版本 — 每次回寫 API 的 create/update/delete 都會新增版本並觸發對應的 lifecycle hook，與後台編輯器完全一致。
• 自訂版本動作 — API 更新可在歷史中記錄自己的動作標籤（例如插件的業務動作「已簽到」），而不只是籠統的 update。
• 刪除版本 — 移除單一版本，或一次過清理頁面的全部歷史（皆需確認）；current-version 指標會重新指向最新剩餘的版本。
• 認得時區的歷史 — 版本時間戳以設定的預設時區格式化，而非原始 UTC。

• 每頁一個 Durable Object（PageSyncDO）透過 WebSocket 協調並行編輯者，令團隊不會默默覆蓋彼此的工作。
• CRDT overlay 模型 — 一層 未提交 編輯的即時 overlay 疊在最後儲存的頁面之上。Op 以 (欄位, 使用者) 為單位儲存，因此可獨立丟棄某位編輯者的改動。
• 以 HLC 決定 last-write-wins — 每個欄位的有效值，是跨使用者中 hybrid logical clock 最高的 op。
• 未儲存即離開的還原 — 當編輯者未儲存就斷線，其未提交的改動會被丟棄，每個受影響欄位回退到下一位編輯者的值，或已儲存的 baseline。
• 儲存即提交 overlay — 儲存會清掉未提交 op，並把已儲存的值推送為所有人的新 baseline（先儲存再離開絕不會回退）。
• 欄位層級的在席標示 — 短暫的 focus/blur 訊號顯示每位協作者目前在哪個欄位（只作轉發，不儲存）。
• 帶心跳的在席名單 — presence API 追蹤誰在頁面上（名字、頭像、last-seen／last-active），逾時項目 10 分鐘後自動過期。
• 多分頁安全 — 只要使用者仍有任一連線（例如第二個分頁）開著，其 op 便會保留。

• Adapter 式發佈目標 — 一次發佈會建立單一頁面 snapshot（row ＋反正規化的 tag link），並分發到每個已設定的目標；取消發佈及刪除會以同樣方式從所有目標移除。
• 草稿 ↔ 已發佈分離 — 草稿存於私有 CMS 資料庫；發佈會寫入一個 獨立的已發佈資料庫，可只把它給公開讀取的 Worker（無法存取 users、sessions、drafts 或 trash）。
• 內建 d1 目標 — 以 uuid upsert live_pages／live_page_tags；取消發佈會刪除兩者。
• 內建 r2 目標 — 寫出靜態 JSON：pages/<uuid>.json（完整 snapshot，lect 已解析）加上一份滾動的 index.json，列出所有 live 頁面。
• 插件發佈目標 — 任何 manifest 宣告 publishTarget: true 的插件，會透過三個 POST 端點自動收到 publish/unpublish/tag-removal snapshot（IPFS pin、webhook、搜尋索引、靜態重建）。
• await 分發並回報部分失敗 — 發佈目標會被 await；個別目標失敗會被記錄並在編輯器 flash 顯示（「已發佈，但這些目標失敗：…」），而不阻塞成功的目標。
• 發佈狀態徽章 — dashboard 從第一個可讀的目標讀取 live 狀態，逐頁顯示 draft/live。
• 把已發佈頁面拉回草稿 — 將 live 頁面拉回草稿以供編輯（若無草稿則建立）。
• 取消發佈及儲存時發佈 — 可直接在 dashboard 發佈，或在儲存時以 publish 動作發佈。

• Taxonomies（分類） — 具名的分組（years、categories、topics、collections…），在其專屬後台管理（受 taxonomy:write 控制）。
• Tags（標籤） — 分類之下的詞項，帶 localized 名稱、slug 及可選的 parent-tag 巢狀（受 tag:write 控制）。
• 頁面↔標籤多對多連結 — tag 掛到草稿頁面上，並隨其貫穿發佈、回收筒及還原。
• 內嵌 tag 指派 API — 透過 JSON 端點新增／移除頁面的 tag（並更新頁面的 updated_at）。
• Tag 挑選器 — 出現在編輯器及進階搜尋中，按分類分組。
• Tag weight 與批量重排 — 每個 tag 可手動設定排序 weight，並有批量重排端點，一次呼叫即可為整個分類重新排序。
• 以 slug 為 key 的分類 — tag 以 slug 引用其分類（改名安全）；插件定義的分類會與內建分類一同出現在 tag 後台。

• 進階多條件搜尋 — 以 AND、OR 或 NOT 運算子組合任意數量的條件。
• 認得 blueprint 的欄位路徑 — 搜尋 lect JSON 內某個特定欄位（包括 items[*].name 這類 wildcard item 路徑），選項由每個頁面類型的 blueprint 自動填入。
• 每條件的 tag 篩選 — 要求頁面帶有 全部 所選 tag（按分類分組）。
• 中文搜尋變體 — 一個詞會自動同時比對其簡／繁對應。
• 可限定範圍或全域 — 搜尋所有頁面類型或單一類型；可按 id/name/slug/weight/created/updated 排序，升序或降序，並分頁。
• SQLite JSON 查詢 — 路徑規格會編譯成安全、參數化的 json_extract／json_each SQL。
• 快速搜尋框 — dashboard 上的搜尋框會導向進階搜尋表單。

• 私有 R2 上載 — picture 欄位上載到私有 R2 bucket（永不公開）；Worker 在 /media/<key> 對每次讀取設閘，需有效 session。
• 上載驗證 — 以 magic-byte header 嗅探及 content type 檢查檔案，並分別回傳 413（過大）／415（不支援）。
• 安全、不碰撞的 key — 消毒後的檔名 ＋ 按日期分區的路徑（dir/YYYY/M/D/）＋ 隨機 UUID 前綴。
• 媒體 metadata 表 — 為每次上載記錄 key、URL、檔名、content type 及 size；上載會寫入 audit log。
• 即時縮圖 — /media-preview/<key> 經 Cloudflare Images binding 直接從私有 R2 object 產生並快取 100×100 cover 的 WebP 預覽，同時保留 media security headers。若 binding 或 object 不存在、檔案不是圖片或過大，或解碼失敗，便會安全地提供原圖。
• 限速並需權限 — 上載需 media:upload，並按 IP 限速。

• 專用 import-export plugin — CSV tools 現由 plugin 提供，不再置於 CMS core，令格式相關的 UI 及 workflow 可獨立部署。
• Content metadata endpoint — GET /__cms/content-meta 提供受範圍限制的 page types、languages、taxonomies 及由 blueprint 衍生的 path specs，供 header 與 mapping 使用。
• 批量目標解析 — 以最多 500 個 ids 或 slugs 列出 pages；JSON-array binds 可避開 D1 parameter limit。
• Tag ensuring — POST /__cms/tags/ensure 可按 taxonomy 與 name 為批量匯入建立或解析 tags。
• 原子批量建立 — import plugins 與其他 Plugin API callers 共用同一 single/batch create path，包括 scope checks、quotas、credits、version history 及 hooks。

• 資料庫定義的頁面類型 — 於執行時建立／編輯／刪除頁面類型（受 pagetype:write 控制）：slug、name、blueprint（JSON）、可選的 block list 與 taxonomy list，以及 weight。新增內容類型毋須重新部署。
• 資料庫定義的區塊類型 — 具自身欄位 blueprint 的可重用區塊定義（受 blocktype:write 控制）。
• 統一類型後台 — page 與 block types 共用同一 CRUD route factory 及可重用的 list/form views，同時保留各自正確的 controls 與 copy。
• 有效設定合併 — 程式碼預設、資料庫定義類型及插件貢獻類型，合併成單一 live 編輯器設定（每 isolate 快取）。
• 插件貢獻的類型可見 — 插件註冊的頁面／區塊類型會以唯讀形式在後台出現，並標示貢獻的插件名稱。
• Available-classes 輔助 — 一個後台 snippet 列出插件／後台 fragment 可用的 Tailwind class 集。

• 軟刪除 — 刪除頁面會把它（連同版本歷史及 tag link）複製到回收筒，並保留 id，令日後還原保持同一身分，同時從每個目標取消發佈。
• 回收筒瀏覽器 — 分頁列表，附逐類型篩選下拉、完整類型計數細分，及「過去一小時內丟棄」計數。
• 還原到草稿 — 還原單一頁面（若 parent 仍在則重新連結），帶回版本歷史與 tag；legacy 回收筒 row 會取得一個全新的還原 snapshot。
• 批量還原 — 可全部、按類型或只限過去一小時還原；以集合方式處理，令大量頁面（例如一個活動的所有頁面）也不會逾時（受 trash:restore 控制）。
• 永久刪除／清空回收筒 — 清除單一 row，或清空全部／按類型／只限過去一小時（受 trash:purge 控制）。
• 可稽核 — 還原與清除動作會寫入 audit log。

• OAuth 2.1 + PKCE 登入（S256 code challenge），支援五個 provider：GitHub、Google、Microsoft/Entra、Apple 及自架的 Eventuai。登入頁會按 ENABLED_PROVIDERS 的次序，每個 provider 顯示一個按鈕。
• Provider 抽象層 處理各 provider 的差異：Microsoft tenant 選擇（common／organizations／consumers／tenant id）、Apple form_post response mode，以及 ID-token 對 userinfo endpoint 兩種取得身分的方式。
• Apple ID-token 驗證 — 先按 kid 選取 Apple 公開 JWK 並核實 RS256 signature，再檢查 issuer、audience（client id）、expiry 及 OAuth nonce，之後才信任身分 claims。
• 無狀態 PKCE 流程 — state ＋ code verifier ＋所選 provider 都放在已簽署、10 分鐘有效的 oauth_state JWT cookie（加 __Host- 前綴，secure origin 上為 SameSite=None），登入期間毋須任何伺服器端 session store。
• 雙 JWT session：短命的 15 分鐘 access token ＋可輪換的 7 日 refresh token，兩者皆以 Web Crypto API 作 HS256 簽署，並以 httpOnly cookie 儲存。
• Refresh token 可撤銷 — refresh JTI 經 SHA-256 hash 後存於 sessions 表；登出及輪換時會刪除，因此可在伺服器端使 token 失效。
• 靜默 token 更新 — 透過 POST /auth/refresh（JSON）作 refresh token 輪換；後台頁面以 keepalive 維持 session。
• Session 衛生 — 每位使用者的並行 session 有上限，過期的 session row 會伺機清理（經 waitUntil，不阻塞回應）。
• 多 provider 帳戶連結 — 可在個人檔案頁或 /auth/start?provider=…&link=1 把額外 provider 連結到同一 CMS 帳戶；系統不會僅因電郵相同就默默合併已登出的帳戶。
• 身分表（user_oauth_identities）將多個 provider 身分對應到同一使用者，並為未 backfill 的資料庫保留 oauth_id legacy fallback。
• 可選的註冊白名單 — ALLOWED_EMAIL_DOMAINS 限制誰可建立新帳戶；已連結的現有使用者永遠通過，設定改動不會把任何人鎖在門外。
• 首次登入時配置角色 — IdP 提供的角色只在首次建立帳戶時套用；之後登入會更新 profile 欄位，但絕不覆寫 CMS 角色，因此後台的角色改動會保留。
• 憑證端點限速 — /auth/start、/auth/callback 及 /auth/refresh 均按 IP 限速。
• 弱密鑰保護 — 若 JWT_SECRET 缺失或少於 32 字元，Worker（在 localhost 以外）會拒絕服務，令人無法偽造後台 token。

• 以能力為本的授權 — 路由要求特定 權限（例如 content:publish），而不只是「是不是 editor」。使用者的有效權限，是其持有所有角色的聯集（角色以逗號分隔）。
• 四個內建角色，採最小權限矩陣：admin（全部，永不會被鎖死）、editor（完整內容生命週期、分類、媒體、匯入 — 不含 purge／插件）、moderator（僅發佈、軟刪除、還原）及 viewer（無後台權限；被 editor guard 擋在 /admin 之外）。
• 18 項細緻權限：content:read/write/publish/delete/import、trash:restore/purge、tag:write、taxonomy:write、media:upload、plugin:access/manage、menu:manage、pagetype:write、blocktype:write、users:manage、roles:manage 及 credits:share。
• 受限角色委派 — 自訂角色仍可編輯，但獲委派的 role 或 user manager 只能修改及指派不超出自己有效權限的權力。admin 永遠全能且不可編輯，同時防止提權及鎖死。
• 以資料庫為準的權限解析 — 疊加於程式碼預設之上，並以每 isolate 快取（60 秒 TTL）。
• 使用者管理（受 users:manage 控制）— 列出使用者、檢視已連結身分，並指派角色。
• 插件貢獻的權限 — 插件可宣告帶命名空間的權限（例如 events:manage），這些權限會在 Roles 後台出現，供授予自訂角色。

每個插件都是獨立的 Cloudflare Worker，透過 HTTPS 在 {url}/__plugin/… 觸達。CMS 會驗證及快取有大小限制的 manifest，並在 outbound 呼叫轉發已登入使用者及該註冊項目的專屬 secret。插件可加入多類擴充：

• Lifecycle hook — 在頁面 create / update / publish / unpublish / delete 時執行（webhook、外部索引、快取清除、通知）。Hook 屬盡力而為，絕不阻塞編輯器。
• 內容類型 — 註冊新的 blueprint／blocks／block-list／taxonomy-list，合併進編輯器設定。
• 欄位與區塊 — 註冊新的 pagefield 類型並提供其 Liquid snippet，透過 CMS 編輯器渲染。
• Edit view — 為所擁有的頁面類型渲染整個 edit/new 表單（見 §02）。
• 後台路由 ＋ nav — 加入一個代理於 /admin/plugins/<id>/… 的後台頁面及一個 nav 項目；nav 項目可置於 Settings 群組之下，並按角色限制顯示。
• 發佈目標 — 宣告 publishTarget: true 即可收到發佈 snapshot（見 §05）。
• 配額限制 — 宣告可由管理員設定的上限，限制某類型頁面的數量（見 §16）。
• Credit 收費 — 宣告可收費的動作，從使用者的 credit 餘額扣賬（見 §16）。

// registry 與安全

• 執行時註冊（毋須重新部署） — 在管理後台以 URL 註冊／啟用／停用／設定插件（受 plugin:manage 控制），存於 plugins 表。Manifest 會自動發現並快取。
• 逐插件 secret — 每個註冊項目都有自己產生的 secret，因此可獨立輪換或撤銷而不影響其他。Env PLUGIN_SECRET 只保留作 outbound legacy compatibility；/__cms 絕不以它代替 row secret。
• 可複製的 Worker 設定資料 — plugin form 顯示註冊 secret 及 tenant KV key/value，並提供已本地化的複製提示，operator 無需手動抄寫憑證即可設定 plugin Worker。
• 有界 manifest — 拒絕不合法的 identity／structure，在 config/content normalization 忽略可改動 prototype 的 keys，並把 manifest body 上限設為 256 KiB。
• 後台代理 — 插件後台頁面代理於 CMS origin 之下，包進後台 chrome，並套用嚴格 nonce CSP（受 plugin:access 控制）。完整文件的插件回應可選擇以 same-origin iframe 顯示。
• SSRF 字面位址防護 — 拒絕明顯的 private、loopback、link-local（含 cloud metadata 169.254.169.254）、CGNAT 或 .internal literal host。這並非完整 DNS-rebinding 防禦，因此註冊權限仍屬敏感權限。
• 已核准的靜態資產 — 插件可提供在 CMS chrome 內執行的 JS/CSS（例如 camera scanner），但管理員必須明確核准每個路徑，並釘住其 SRI（sha384）內容 hash，才能通過消毒。
• 委派的頁面類型存取 — 配套插件可為它並不擁有的頁面類型申請 readTypes／writeTypes；管理員須核准每個委派範圍，CMS 方會遵從。範圍可以是 wildcard *，獲核准後即涵蓋所有頁面類型。
• 帶版本的插件 view 檔 — 插件 view／資產檔以 immutable、以 revision 為 key 的快取提供。
• 明確信任邊界 — 代理的插件頁面及已核准的插件 JS 在 CMS origin 執行。只安裝已審核插件，並只批准最低所需的 assets 及 delegated scopes。
• 未用時零負擔 — 未設定任何插件時，系統不增加任何開銷。

一條反向的 server-to-server 通道（以逐插件 secret 驗證，位於瀏覽器驗證堆疊之外），令插件自家網域上面向訪客的流程 — 公開 RSVP 提交、QR 簽到、批量聯絡人匯入 — 可讀寫它所擁有或獲委派的 CMS 頁面。

• 受範圍限制的讀寫 — 呼叫方以 x-plugin-id 表明身分；寫入僅限其 manifest 頁面類型加管理員核准的 writeTypes，讀取亦可觸及已核准的 readTypes。
• 列出／讀取頁面 — 按類型分頁列出，支援 name/slug/lect 搜尋（含中文變體）、parent 篩選及 lect-pointer 篩選（單值或多值 IN）。
• 支援大型 lookup 的讀取 — 直接 ids/slugs lookup 及 include_tags=1 list 使用 JSON-array binds，支援最多 500 個值而不超出 D1 的 100-parameter limit。
• 進階搜尋端點 — POST /pages/search 接受與後台進階搜尋相同的多條件語意（AND/OR/NOT 運算子、blueprint 欄位路徑、tag 篩選、中文變體），限於呼叫方可讀的類型，每頁最多 500 筆。
• 建立與批量建立 — 單筆及最多 100 頁的批量建立共用同一流程，處理 validation、ID/parent resolution、quotas、credits、DB writes 及 hooks；批量保留 all-or-nothing 的 limits/credits 語意，並回報逐項 errors。
• 部分更新 — PUT/PATCH 只合併送出的欄位（blueprint ← 已存 ← 傳入），重新產生版本，並提交 live overlay；更新可為其產生的版本標上自訂動作字串。
• 批量發佈 — POST /pages/publish 透過標準 target pipeline 發佈最多 100 個 draft page ID，強制呼叫方的 page-type scope、拒絕無效或重複 ID、逐項回報 target failure，並觸發 publish hooks。
• 認得 credit 與配額 — 有定價的頁面類型會在寫入前扣賬（餘額不足回傳 402 並附成本細項；寫入失敗會自動退款），配額限制亦在每次建立（單筆或批量）時強制執行（見 §16）。
• 伺服器端批量複製 — 以 lect pointer 或 parent id 複製一組相關集合（例如某活動的賓客），套用統一的 lect 轉換（丟棄 key、合併覆寫），以有界 chunk 處理並回傳續傳 cursor，令任意大的清單可分多個 request 完成複製。
• 伺服器端批量刪除 — 軟刪除一組相關集合（按 pointer 或 parent），以及按 id 清單批量刪除，兩者皆分 chunk 且可以 cursor 續傳。
• 帶版本、可稽核、可觀察 — 每次 create/update/delete 都會新增頁面版本、寫入歸屬於 plugin:<id> 的 audit row，並向其他插件觸發 lifecycle hook。
• 留意 subrequest 額度 — batch 大小及每次呼叫上限，皆調校至留在 Workers 免費方案的 subrequest 限制之內。

為插件讓使用者做的事計量或收費。插件的 manifest 負責宣告可收費動作與配額限制，管理員負責設定價格與上限，host 則在每條頁面建立路徑上強制執行 — 後台編輯器與回寫 API 一視同仁，任何一道門都無法用來繞過另一道。

• 每使用者餘額與只追加的賬本 — 每位使用者都有 credit 餘額；每次變動都會追加一筆 credit_ledger（delta、變動後餘額、動作、實體、插件、備註、執行者），賬本永遠能解釋餘額。
• Manifest 宣告的收費 — page_create 收費由 host 在該類型頁面每次建立時自動扣賬；metered 收費由插件經 POST /__cms/credits/charge 回報，用於 host 觀察不到的動作（例如發送 EDM）；recurring 收費會建立可追蹤的 subscription，由排程 Worker sweeps 每月預繳或後付扣賬。
• 管理員設定價格 — Plugins → Credits 畫面為每項宣告的收費定價（0 ＝ 明確免費）；未設定的收費回退到 manifest 預設。若多個插件為同一頁面類型定價，有效成本是總和。
• 結構上不可透支 — 賬本 INSERT 與餘額 UPDATE 共用 credits ≥ amount 防護，在同一個 D1 batch（交易）內執行，並行消費永遠不會令餘額變負數；成功與否以 RETURNING 驗證。
• 402 附成本細項、自動退款 — 餘額不足會拒絕建立並逐項列出定價部分；若已扣賬的操作在下游失敗，會盡力退款並記錄為獨立賬本項。
• 管理員增減 — users:manage 可調整任何餘額，備註必填並寫入 audit log；個人檔案頁顯示分頁賬本，側欄顯示你的即時餘額。
• 可設定的配額限制 — 插件宣告某類型頁面數量的上限，範圍可以是 total、per-parent 或 per-pointer（例如每個活動的賓客數）；管理員設定數值，或明確標記為無上限。
• Credit 及 limit 總覽 — 每位已登入 admin 都可在 /admin/settings/credits 檢視有效 plugin 價格及 usage limits；只有 plugin manager 會看到設定連結。
• 批量安全的強制執行 — 會超過配額的批量建立或匯入會被整批拒絕，絕不半途套用；違規會回傳指向該限制、人類可讀的訊息。
• 受範圍限制的宣告 — 插件只能為其擁有或獲委派（已核准）的頁面類型定價或設限；宣告會被驗證、去重，每插件上限 20 項，惡意 manifest 無法封鎖或向其他插件的內容收費。

• Liquid 模板後台 UI — 由專屬 views binding 提供的伺服器渲染 section／template，配合已編譯的 Tailwind CSS 及少量 vanilla-JS 增強（table filter、color tag、私隱表格、client render）。
• Dashboard — 分頁頁面列表，附 All／Draft／Live 狀態篩選、逐類型子清單（/pages/list/:type）、live 發佈徽章、快速搜尋及匯入／匯出捷徑。
• 顏色標記 — 一個內嵌挑選器把顏色（紅／橙／黃／綠／藍／紫／灰，或無）指派給頁面，寫入頁面的一個 lect attribute。這只是輕量視覺標記 — 與 taxonomy tag 無關 — 用於 dashboard 上一眼可辨的列顏色標示及 client-side 篩選。
• Flash 訊息 — 每個動作的結果都透過 redirect 帶出。
• 個人檔案頁 — 檢視你的帳戶、已連結身分，並可開始連結額外 provider。
• Settings 群組導覽 — 插件 nav 項目及後台 section 可置於 Settings 群組之下。
• Session keepalive — 你工作期間保持後台 session 熱著。
• 自動收起的流動版 header — 細屏幕上後台 header 會隨捲動收起，把整個 viewport 留給內容。
• 側欄 credit 餘額 — 你的即時 credit 餘額顯示在側欄（見 §16）。
• 可設定的品牌 — App 名稱與圖示來自系統設定（見 §18），顯示於側欄及登入頁；亦有逐類型帶標題的檢視。
• Dashboard 品牌連結 — desktop 及 mobile admin navigation 內已設定的 site title 和 icon 可直接連到 /admin。
• 自訂 404 及 500 頁 — 由 views 層渲染。

• App 品牌 — 於執行時為後台 App 改名及挑選圖示；兩者都顯示在側欄及登入頁。毋須重新部署，即可為每個部署把 CMS 白牌化。
• 側欄選單管理 — 顯示／隱藏及調整每個內建 nav 項目以及每個插件 nav 項目的 weight，包括 Settings 群組本身的 weight；System 項目永遠保持可見，你不可能把自己隱藏到設定之外（防鎖死）。
• 可設定的後台首頁 — 把登入後的落地頁指向任何 /admin 路徑（例如某插件的 dashboard），而非預設的頁面列表。
• Key-value 設定儲存 — 單一個具 upsert 語意的 settings 表，支撐品牌、選單佈局、後台首頁、插件 credit 價格及插件配額數值。

• 嚴格 CSP 加每 request nonce — default-src 'self'、以 nonce 控制的 script、base-uri 'none'、object-src 'none'、frame-ancestors 'none'；個別路由可選擇啟用 wasm-unsafe-eval（例如 zxing camera scanner）或 same-origin framing。
• 每個回應都有安全 header — HSTS（preload，1 年）、X-Content-Type-Options: nosniff、Referrer-Policy: same-origin，以及預設的 X-Frame-Options: DENY。
• fail-closed 跨來源修改防護 — 非安全方法會被拒絕，除非有瀏覽器訊號（Origin、Referer 或 Sec-Fetch-Site: same-origin）正面證明是 same-origin；無 header 的用戶端必須送出相符的 Origin。以 secret 驗證的 /__cms 通道則刻意豁免。
• Canonical host 強制 — 對非 canonical host 的 request，GET/HEAD 回 308 導向、修改請求回 404，防止 host 混淆。
• 鎖緊的 Permissions-Policy — camera／microphone／geolocation 預設拒絕；逐路由選擇性啟用。
• 敏感路徑 no-store — /admin、/auth 及 server-to-server /__cms 回應設 Cache-Control: no-store。
• 抵抗權限提升 — 獲委派的 role 及 user manager 不可授予、指派、編輯或刪除比自己有效權限更強的角色。
• 單次使用的 admin submit token — 已簽署的逐 form _cms_once token 由分片 Durable Objects 作原子 claim，避免 D1 contention 並阻止重複 POST；下游失敗時會釋放 claim，讓正常 retry 仍可完成。
• 插件 fragment 消毒 — 代理的插件 HTML 在嚴格 nonce CSP 下執行並被消毒；除非以已核准、hash 釘住的資產提供，否則內嵌 script 一律移除。完整文件 plugin 頁面使用獨立的 baseline CSP；只有 CMS 文件本身由 localhost 或 127.0.0.1 提供時，才容許 loopback HTTP 圖片。
• 逐 IP 限速 — 在驗證及上載端點（Workers Rate Limiting binding）。
• Audit log — 敏感動作（匯入、媒體上載、還原、清除、插件寫入）都記錄誰對哪個實體做了甚麼。
• 預設私有的資料分離 — 公開讀取方可只獲得已發佈資料庫，完全無法存取 auth、sessions、drafts 或 trash。

• 100% 邊緣原生 — 單一 Cloudflare Worker（Hono router），沒有 origin server，也沒有需要看守的資料庫。
• 兩個 D1 資料庫 — 一個私有 CMS store（auth、sessions、drafts、trash、taxonomy、versions、媒體 metadata、roles、plugins、jobs、approvals、settings、credit 賬本），及一個獨立的已發佈 store（live_pages／live_page_tags）。
• R2 物件儲存 — 一個私有媒體 bucket，加一個可選的靜態 JSON 發佈 bucket。
• Durable Objects — 逐頁 WebSocket 協調器，以 SQLite 儲存 CRDT op 及在席狀態；另有分片協調器處理單次使用的 admin form-token claims。
• 具順序一致性的 D1 sessions — 每個 request、queue job 及 scheduled task 都由 primary 開始，因此之後的 reads 可觀察之前的 writes，同時 D1 可安全使用足夠新的 replicas。
• Cloudflare Queues — CMS 自有 queue，用於耐久的背景後台工作。
• 帶版本的 migration — 兩個資料庫皆有納入版控的 SQL migration（auth identity、admin job、plugin asset approval、plugin page-type approval、settings、tag weight 與 taxonomy slug、credits），並附本機一鍵 migrate script。
• 認得部署 revision — view 資產以 Worker version metadata（或手動 fallback）作 cache-bust，新部署即令已快取的 CSS/JS 失效。
• 全程 Web Crypto — JWT 簽署／驗證及 token hash 皆用平台 crypto API，無 Node 相依。

• 耐久的後台工作 — 長時間的後台動作（例如大型插件複製／刪除請求）會排入 queue 並由 job runner 處理，於 admin_jobs 表追蹤，因此可撐過 request 逾時。
• 回應路徑外的衛生工作 — session 上限／清理及 hook／audit 遞送皆經 waitUntil，絕不拖慢使用者 request。
• 分 chunk、可續傳的批量操作 — 大型集合的複製／刪除／還原以 cursor 分批，以留在平台限制之內。
• 盡力而為、不阻塞的整合 — lifecycle hook 及 audit 寫入為 fire-and-forget；發佈目標會被 await，但各自獨立地失敗。