v3.2.13 图片选项全部自带默认图，新装站点不再出现空洞/破图

根本原因：kratos_option() 运行时只读数据库，`std` 仅在后台表单预填和
「恢复默认」时生效，前台根本读不到。因此新装站点所有图片项都是空值。
另外 isset() 挡不住「用户清空」——of_sanitize_upload() 对空输入返回 ''，
键存在且值为空串，调用方传的兜底值被绕过。

同时不能把绝对 URL 写进 std：它会随保存一起写库，主题目录改名/换 CDN/
迁站后永久 404。本站 s_wechat_url / g_donate_alipay / g_donate_wechat
三项就指向已删除的 kratos-master 目录，一直在破图（这三项是 hidden 字段，
后台界面上看不到，所以坏了很久没人发现）。

做法：
- 新增 inc/theme-option-defaults.php，图片默认值注册表（11 项），
  默认图一律运行时给出，不写数据库。
- yang_option_image() 三层判断：空/纯空白 → 默认图；指向已不存在的主题
  目录 → 默认图；文件不存在则不输出地址（避免换来一个 404）。
- 陈旧判断用 get_template()（主题 slug）而非 basename(目录名)，避免本地
  开发目录名与 slug 不一致时误伤当前主题自己的图。
- 模板统一走取值函数：header（logo/favicon/banner）、footer（微信码/国旗）、
  404、index、article 缩略图、widgets 头像、page-toolbar、theme-core 赞赏码。
- 国旗与 favicon 的渲染抽成 yang_flag_block() / yang_favicon_tag()，
  空值时不输出空 src / 空 href。
- 后台 9 处 std 改为 yang_options_default_img()，与前台默认图同源；
  该包装函数自带 function_exists 防护，单独加载 theme-options.php 不会 Fatal。

新增图片（本地生成，合计 291KB）：default-404 / default-share /
default-empty / default-avatar / default-banner / default-flag / favicon.ico。
favicon 为 WordPress 风格自绘（品牌蓝圆底 + 白色 W），非站长个人专用那张。

验证：run_tests 146 条（新增第 4 组图片默认值 22+ 条）；falsify 35 条注入
全部能被抓住（新增 10 条）；verify_all.sh 14 组全绿。

footer.php

@@ -17,7 +17,7 @@
         <div class="wechat">
             <span class="kicon i-wechat"></span>
             <div class="wechat-pic">
-                <img src="<?php echo kratos_option('s_wechat_url', ASSET_PATH . '/assets/img/wechat.png'); ?>">
+                <img src="<?php echo esc_url(yang_option_image('s_wechat_url')); ?>" alt="<?php esc_attr_e('微信二维码', 'kratos'); ?>">
             </div>
         </div>
         <?php } ?>
@@ -53,7 +53,11 @@
                         echo '<p><a href="' . kratos_option('s_gov_link', '#') . '" target="_blank" rel="nofollow" ><i class="police-ico"></i>' . kratos_option('s_gov') . '</a></p>';
                     }
                     if (kratos_option('seo_statistical')) {echo '<p>' . kratos_option('seo_statistical') . '</p>';}
-                    if (kratos_option('g_flag')) {echo '<div id="flag"><img style="width:50px" src="' . kratos_option('g_flag_url') . '"><div>';}
+                    /* 国旗：勾了「是否添加国旗」才显示。以前 src 直接取选项，
+                       用户没上传地址就得到 <img src="">，页面上是一个破图图标。
+                       逻辑抽到 yang_flag_block() 里，测试能直接测同一个函数，
+                       不必"照着抄一遍"（抄件永远是对的，模板改坏了也发现不了）。 */
+                    echo yang_flag_block();
                 ?>
             </div>
         </div>