diff --git a/doc/project_analysis.md b/doc/project_analysis.md
new file mode 100644
index 0000000..79ebe22
--- /dev/null
+++ b/doc/project_analysis.md
@@ -0,0 +1,88 @@
+# 项目分析报告
+
+本文档基于对现有代码库文件摘要的分析，对 "biji" 项目进行全面的评估，涵盖功能、技术栈、架构、代码质量和潜在风险。
+
+---
+
+## 1. 功能概述
+
+根据实体类（Entity）、视图对象（VO）和工具类，可以推断出项目是一个笔记类应用（"biji" 在中文里是“笔记”的意思），其核心功能如下：
+
+- **用户管理**：
+  - **用户注册**：系统包含一个 `RegistrationCode` 实体，表明用户注册可能需要邀请码或注册码，这是一种控制用户增长的有效方式。
+  - **用户实体**：标准的 `User` 实体，用于存储用户信息。
+  - **安全认证**：`PasswordUtils` 使用 BCrypt 进行密码加密，这是业界推荐的安全实践。
+
+- **核心笔记功能**：
+  - **Markdown 编辑**：`MarkdownImageExtractor` 工具类的存在强烈暗示，应用的核心编辑器支持 Markdown 格式。
+  - **图片管理**：用户可以在笔记中插入图片。系统会自动提取 Markdown 内容中的图片文件名（似乎是 UUID 格式），并可能将其与笔记关联。`Image` 和 `ImageName` 实体也证明了这一点。
+
+- **数据管理**：
+  - **回收站功能**：`TrashItemVo` 的存在表明项目实现了“回收站”或“软删除”功能。用户删除的内容可以先进入回收站，后续可以进行恢复或永久删除，提升了用户体验。
+
+---
+
+## 2. 技术栈分析
+
+项目采用了现代化的前后端分离架构。
+
+- **后端 (`biji-houdaun`)**
+  - **语言**: Java
+  - **框架**: 很可能是 **Spring Boot**。
+  - **数据库 ORM**: **MyBatis-Plus** (根据 `@TableName` 注解推断)。
+  - **API 文档**: **Swagger / OpenAPI** (根据 `@Schema` 注解推断)。
+  - **安全**: **Spring Security** (结合 `BCryptPasswordEncoder` 的使用推断)。
+
+- **前端 (`biji-qianduan`)**
+  - **框架**: **Vue.js** (根据 `vite.config.js` 中的 `plugins: [vue()]` 推断)。
+  - **构建工具**: **Vite**，一个现代、高效的前端构建工具。
+  - **代码风格**: 使用了路径别名 `@` 指向 `src` 目录，这是良好的开发实践。
+
+---
+
+## 3. 架构分析
+
+- **前后端分离架构**：这是本项目最核心的架构模式。
+  - **前端**：作为单页应用 (SPA)，负责用户界面和交互逻辑。
+  - **后端**：通过 RESTful API 向前端提供数据和业务逻辑服务。
+
+- **API 通信**：
+  - 前端通过 Vite 的开发服务器代理 (`/api` 代理到 `http://localhost:8084`) 与后端进行通信。这解决了开发环境下的跨域问题 (CORS)，是标准的开发配置。
+
+- **数据流**：
+  1. 用户在 Vue.js 构建的前端界面进行操作。
+  2. 前端向后端发起 API 请求 (例如，保存一篇包含图片的笔记)。
+  3. 后端 Spring Boot 应用接收请求，Controller 层调用 Service 层处理业务逻辑。
+  4. Service 层可能会调用 `MarkdownImageExtractor` 来解析内容、处理图片，并使用 MyBatis-Plus 将 `User`, `Image` 等实体持久化到数据库。
+  5. 后端将处理结果（如成功信息或数据）以 JSON 格式返回给前端。
+
+---
+
+## 4. 代码改进建议
+
+虽然无法看到完整的业务逻辑代码，但从现有文件摘要中可以提出以下建议：
+
+- **实体类冗余代码**：在 `RegistrationCode.java` 中，如果使用了 Lombok 的 `@Data` 注解，那么 `getCreatedBy()` 和 `getCreatedAt()` 这类标准的 getter 方法是自动生成的，无需手动编写。如果方法内没有特殊逻辑，建议移除以保持代码整洁。
+
+- **正则表达式的健壮性**：`MarkdownImageExtractor` 中用于提取图片文件名的正则表达式似乎非常具体（匹配 UUID 格式）。这是一个优点（命名规范），但也可能成为一个限制。如果未来需要支持其他格式的文件名，该正则表达式需要更新。
+
+- **遵循 VO 模式**：项目已经定义了 `TrashItemVo`，这是一个很好的实践，做到了持久化对象（Entity）和视图对象（VO）的分离。建议在所有需要向前端返回复杂数据的地方都遵循此模式，避免直接暴露数据库实体。
+
+---
+
+## 5. 潜在问题与风险分析
+
+基于当前分析，项目在未来发展中可能面临以下挑战：
+
+- **存储管理 - 孤立图片问题**：
+  - 当用户在笔记中移除一张图片的链接时，对应的图片文件是否会从服务器上删除？如果处理不当，会产生大量不再被任何笔记引用的“孤立图片”，浪费存储空间。
+  - **建议**：可以设计一个定期的垃圾回收任务，扫描并清理未被引用的图片文件。
+
+- **存储扩展性**：
+  - 图片是存储在服务器本地文件系统还是云存储（如 AWS S3, 阿里云 OSS）？如果存储在本地，当应用部署到多台服务器（集群）时，会出现图片访问不到的问题。
+  - **建议**：对于有一定规模的应用，早期就应考虑使用云存储服务。
+
+- **安全性**：
+  - 项目已使用 BCrypt 加密密码，这是很好的起点。
+  - 但仍需关注其他安全风险，如：XSS（跨站脚本攻击）、CSRF（跨站请求伪造）、SQL 注入等。虽然 Spring Security 和 MyBatis-Plus 提供了防护，但仍需正确配置和使用。
+  - **建议**：对所有用户输入进行严格的校验和过滤。