zhongkao-english

未发现典型自带恶毁载荷（如反向 shell、加密挖矿、硬编码密钥、系统命令执行等）。但该模板存在两个与供应链/安全相关的显著风险：1) 引入并依赖远程第三方脚本 feishu-sync.js，且会把练习结果与“学生答案/错题”上报（潜在隐私外传与供应链被替换风险）；2) 将 quiz-json 内容直接通过 innerHTML 注入页面，若题库数据不可信则可能导致 DOM XSS。建议为远程脚本使用固定版本/校验（SRI/哈希/自托管），并避免 innerHTML 或对输入进行严格转义/白名单化。