fix: 加固链接/图标安全与版本一致性；sync-articles 对齐 best-effort

- 模板与运行时统一做 URL scheme 白名单校验（不安全降级为 #），并清洗 icon class；分类标题/新增分类改用 DOM API 避免 innerHTML 注入
- sync-articles 主入口异常不再返回非 0 退出码，避免阻断 build/deploy
- window.MeNav.version 改为从 meta menav-version/配置自动读取，避免写死版本
- 文档/配置：新增 security.allowedSchemes 配置说明

scripts/sync-articles.js

@@ -672,8 +672,8 @@ async function main() {
 if (require.main === module) {
   main().catch(err => {
     console.error('[ERROR] sync-articles 执行失败：', err);
-    // best-effort：除非是非常规异常，否则不阻断 CI；此处仍保留非 0 退出码便于本地排查
-    process.exitCode = 1;
+    // best-effort：不阻断后续 build/deploy（错误已输出到日志，便于排查）
+    process.exitCode = 0;
   });
 }