docs: 移除 lx 音源签名分析与逆向相关表述

README.md

@@ -78,10 +78,6 @@ musicSdk/           洛雪音乐聚合 SDK（搜索/歌词/榜单等核心逻辑
 
 > TypeScript 源码（`src/apis/index.ts`、`musicSdk/**/*.ts`）经 `npm run build`（tsc）就地发射为 `.js` 产物后运行。
 
-## 关于 lx-music-source-v5.js
-
-项目目录下的 `lx-music-source-v5.js` 是第三方混淆音源脚本（`lx` 平台）。由于内容不可审计，它**不会在服务器进程内直接执行**，而是通过 `src/apis/lx-source-ivm.js` 使用 isolated-vm 硬隔离加载：脚本在独立 V8 沙箱中发起网络请求，服务器只做日志审计与 HTTP 白名单管控。其请求签名中的 `to`/`si` 两项为脚本内部哈希，无法脱离脚本复算，直连签名方案已放弃，详见 `docs/lx-source-ivm.md`。
-
 ## 已知限制
 
 - **kg 取流**：酷狗当前环境下 `wwwapi`/`trackercdn`/`m.kugou.com` 等取流接口均被服务端风控（err_code 30020/20010），播放地址获取可能失败；歌词、搜索、榜单正常。

docs/lx-source-ivm.md

@@ -1,9 +1,5 @@
 # lx 聚合源 —— isolated-vm 加载器
 
-> 结论先行：lx-music-source-v5 的请求签名中 `to`/`si` 两项为脚本内部哈希（服务端分别以
-> "时间签名验证失败"/"脚本完整性验证失败" 独立校验），无法脱离脚本复算。直连签名方案已放弃，
-> 一切请求由脚本本身在隔离沙箱中发起。
-
 ## 架构
 
 ```
@@ -50,5 +46,3 @@ HTTP 白名单选项（`createIvmLxSource`）：
 - `lx.request` 回调的 resp 不含 `raw`/`bytes`（Buffer 无法跨隔离边界，实测脚本未使用）
 - `formData` 选项不支持（底层 httpFetch 不支持 multipart）
 - `updateAlert` 事件仅记日志，不弹窗
-- 签名逆向的历史结论已随直连方案移除；如需重启攻坚，`to` 为 88bit 时间签名、`si = md5(A + M2)`
-  （M2 为脚本文本零宽+大写化变换哈希，A 为 VM 内部 128bit 哈希），需字节码级反编译