fix: 修复代码审查发现的安全性和性能问题

主要修复：
- 安全性：API 密钥使用恒定时间比较防止时序攻击
- 安全性：URL 验证仅允许 http/https 协议，防止 XSS
- 安全性：移除 Markdown 的 rehypeRaw 插件增强 XSS 防护
- 安全性：Webhook 错误信息脱敏，生产环境不暴露敏感数据
- 性能：项目详情页使用并行数据获取
- 性能：Webhook 批量查询标签，避免 N+1 查询问题
- 类型安全：移除 any 类型，使用 Prisma 类型注解
- 类型安全：为 useProjects 函数添加返回类型
- 代码质量：创建 slug 工具函数统一 slug 生成逻辑
- 代码质量：搜索字符串添加最小长度限制（2字符）

Co-Authored-By: Claude <noreply@anthropic.com>

src/lib/validations.ts

@@ -13,7 +13,17 @@ export const LinkTypeEnum = z.enum(['WEBSITE', 'GITHUB', 'HUGGINGFACE', 'PAPER']
 
 export const ExternalLinkSchema = z.object({
   type: LinkTypeEnum,
-  url: z.string().url('Invalid URL format'),
+  url: z.string()
+    .min(1, 'URL is required')
+    .max(2000, 'URL is too long')
+    .refine((url) => {
+      try {
+        const parsed = new URL(url)
+        return ['http:', 'https:'].includes(parsed.protocol)
+      } catch {
+        return false
+      }
+    }, 'URL must use http or https protocol'),
   title: z.string().max(200).optional()
 })
 
@@ -59,7 +69,7 @@ export const WebhookPayloadSchema = WebhookAuthSchema.extend({
 // ================================
 
 export const ProjectQuerySchema = z.object({
-  search: z.string().max(100).optional(),
+  search: z.string().min(2).max(100).optional(),
   tags: z.array(z.string()).optional(),
   status: ProjectStatusEnum.optional(),
   page: z.coerce.number().int().positive().default(1),