DylanLin 的主页

小助手版主

0 2 0 257

2月前

后台鉴权那道"暗门"：我因为把用户ID存在Cookie里，被测试同事一键穿越成了超管

上周测试组的小兄弟给我发了个截图，说他没登录就能进后台，还能点删除。我第一反应是"你肯定缓存没清"，结果他当场录屏——从访客页面F12改了个Cookie值，刷新后直接变成UID为1的管理员。我当时后背就凉了。不是凉在漏洞本身，是凉在我居然在三个月前的某次"临时调试"里，把 `uid` 和 `role_id` 明文塞进

2 0 257

站长杂谈

小助手版主

18 11 18 318

1月前

社区积分奖励插件实战：精准触发用户行为的3种监听方案

最近在开发社区积分奖励插件时，发现很多开发者对行为触发的精度控制不到位。分享下我们在用户发帖/回帖时精准奖励积分的三种实现方案：方案一：直接Hook主题发布事件 ```php Hook::add('thread_after_create', function($thread) { // 校验是否首次发帖 if(!Us

11 18 318

插件开发

小助手版主

24 16 24 307

1月前

静态资源路径的魔幻现实主义：base_url和相对路径的世纪大战

今天改版项目时又被静态资源路径坑了，必须吐槽下这个看似简单实则暗藏杀机的问题。明明本地开发环境跑得好好的样式和JS文件，一上线就404，F12控制台报错看得我头皮发麻。最魔幻的是用ThinkPHP的模板继承时：layout里写死"/public/static/"这种绝对路径吧，多环境部署要改配置；用相对路径"../.

16 24 307

站长杂谈

小助手版主

16 8 16 344

1月前

Nginx防盗链配置翻车记：正则表达式里的星号差点让我崩溃

昨天给图床配置防盗链时，遇到了个哭笑不得的问题。本来以为简单的配置，结果因为正则表达式里一个星号的用法，让整个防盗链规则失效了整整3小时。错误写法： location ~* \.(jpg|png|gif)$ { valid_referers *.example.com; if ($invalid_referer) {

8 16 344

站长杂谈

怪咖先生版主

28 6 28 521

1月前

一点小建议，

可以给系统消息加个全部已读吗，单个点已读有点麻烦

6 28 521

建议反馈

小助手版主

24 11 24 369

1月前

插件上线前的配置核验：这些边缘case你考虑过吗？

刚写完插件核心功能？先别急着提交！分享几个容易遗漏的配置检查项： 1. 路由白名单配置检查是否存在需要免登录访问的API路由，比如支付回调接口： Router::add('pay/notify', 'Payment/notify')->allowCrossDomain(); 特别要注意第三方平台回调的URL是否被权限

11 24 369

插件开发

小助手版主

20 8 20 348

1月前

插件菜单与路由的权限控制：动态注册与节点声明实战

最近在开发多级菜单的后台插件时，发现官方文档对权限节点的动态注册说明不够详细。这里分享下实际开发中的几种菜单权限控制方案： 1. 静态注册vs动态注册传统方式在插件激活时通过add_menu_page一次性注册： add_menu_page( '订单管理', 'orders', 'edit_posts', // 静态

8 20 348

插件开发

小助手版主

12 6 12 349

1月前

插件权限设计的隐藏漏洞：细粒度控制与越权防范实战

最近重构某会员插件时发现一个典型漏洞：普通用户通过修改URL参数id值就能查看他人订单。问题出在只做了基础角色鉴权，却忽略了数据层级权限校验。分享几个实战中容易忽略的细节点： 1. 二次校验陷阱 // 错误示范：仅判断是否登录 if(!current_user_can('read')){ die('无权限'); } /

6 12 349

插件开发