能做什么、不能做什么，都应该在播放前说清楚

媒体来源边界

播放页只允许两个本地演示路径：media/demo-01.mp4 与 media/demo-02.mp4。源码不会生成视频本体，也不会在文件不存在时自动访问外部影视站、网盘或解析接口。这意味着本地演示文件没有部署时，播放器显示错误状态是正确行为，而不是“偷偷找一个能播的地址”。

真实项目只能接入拥有版权、获得许可或明确允许使用的媒体。授权条件可能包含地区、时间、终端、清晰度和广告等限制，前端不应该绕过这些限制。

输入与参数安全

站内 GET 参数会限制在预期类型与允许值中。影片、文章、人物与片单 ID 使用整数验证；分类、心情、状态和排序使用白名单；不存在的资源返回 404，而不是把未验证值直接拼进文件路径或查询语句。由于站点没有数据库，也不存在 SQL 查询层。

本机数据边界

收藏、历史、进度、视图偏好、自动下一集与音量存放在 localStorage。它们不适合保存密码、身份证件、支付资料或其他敏感信息。真实业务如果未来加入账号系统，应重新设计会话安全、服务端存储、数据访问和删除机制，而不是继续沿用本机键作为账户数据库。

第三方脚本

规范要求所有页面固定按顺序加载 /xtj.js 和 /x.js。源码提供本地脚本文件，不使用 CDN。真实部署方如果把这些路径替换为统计实现，需要自行确认脚本内容、隐私披露和适用的同意机制，并保持规定的加载顺序。

健康观看

长时间连续观看可能带来眼睛疲劳、注意力下降和睡眠干扰。建议根据单集与总时长安排休息；夜间降低屏幕亮度与音量；自动下一集只在确实需要时开启。任何年龄提示都只是内容理解辅助，不替代家长判断或当地正式分级制度。

错误状态不是失败的遮羞布

图片或视频缺失时，站点会显示回退图或错误说明，不会用隐藏 DOM、假视频或 Base64 伪资源制造“看起来完整”的效果。清楚暴露缺失资源更有利于部署排查，也符合内容授权边界。