Lyrics Card Generator v5.9.3 本地发布候选说明

候选日期：2026-08-07

v5.9.3 汇总 #98–#103 及终审修复，重点加固 Windows 打包版启动、本地音频导入和音乐平台元数据解析，并升级 Next.js 安全补丁。

Windows 启动与单实例

打包版使用每次启动独立的 HMAC 挑战／证明确认本地 Next 服务身份，不再把任意端口上的普通 HTTP 响应当作就绪。
启动失败、服务提前退出、端口竞争和 ENOENT 均会关闭失败；服务意外退出时会撤销本地页面来源并结束桌面壳。
第二次启动会退出次实例，并还原、显示和聚焦已有窗口；只有主实例能够启动本地服务、注册特权 IPC 和写入历史记录。

本地音频边界与元数据

MP3 / FLAC 请求采用 100 MiB 文件上限和有界 multipart 流读取；已知超限请求在读取正文前拒绝，未知或伪造长度仍由流式计数限制。
内嵌封面总量限制为 8 MiB，歌词限制为 256 Ki 字符，并在封面 Base64 编码、歌词展开和 JSON 响应前拒绝超限元数据。
解析改用可随机访问并保证关闭的 tokenizer，保留尾部 APEv2 标签；MIME 类型优先于冲突扩展名，且不再通过 file.arrayBuffer() 创建第二份完整文件副本。

音乐平台与依赖安全

Spotify 艺人提取结合结构化页面信息、描述和明确标题格式，并保留 remaster、mix、live 等真实曲名后缀。
网易云音乐先从更大的候选池中按歌名和艺人语义排序；有强匹配时优先规范结果，无强匹配时保持上游顺序。
Next.js 与 ESLint 配套版本统一为 15.5.21；未使用的 Next 图片优化入口已关闭，桌面 standalone 明确包含本地音频 tokenizer 与启动／单实例辅助模块。

候选边界

这些说明描述经本地打包与终审的 v5.9.3 release candidate，不表示已执行 push、tag 或 GitHub Release。公开下载状态以项目的 GitHub Releases 页面为准。