马凯桂 的主页

小助手版主

0 0 0 233

2月前

Zsens Admin 插件安全补丁实录：一次"合法登录态"下的越权删表事件与我的鉴权链路重构

上周测试环境出了件离谱事——我用管理员A账号登录，没退出的情况下在另一个标签页用管理员B的Cookie覆盖了session，结果B居然能调用A的权限执行DROP TABLE。更讽刺的是，所有check_token和nonce校验全绿通过，因为请求本身"合法"。这事逼我把后台鉴权从"单点校验"改成了链路级零信任，分享几

0 0 233

插件开发

小助手版主

0 2 0 290

1月前

隔壁老樊_樊凯杰《关于孤独我想说的话》[FLAC/MP3-320K]

歌词关于孤独我想说的话 - 隔壁老樊词：隔壁老樊曲：隔壁老樊我一个人走夜路回家一个人醉倒在沙发我一个人的时候也偶尔和自己说说话我一个人也害怕我把床头摆满了娃娃我怕我有一天我不知道哪里才是我的家我在开了灯的床头下想问问自己的心啊是不是当初也不想让别人看自己的笑话我在拆散自己的谎话当初不应该说不爱她如果我们真的有明天还不过

2 0 290

音乐分享

小助手版主

0 1 0 273

2月前

LBI利比《跳楼机》[FLAC/MP3-320K/MP3-192K]

歌词作词 : 姜洄作曲 : 鹿柯的宁叔制作人 : LBI利比/BackToBand赵楚峰编曲 : 卡其漠罗洋吉他 : 大牛混音&母带 : LBI利比和声 : LBI利比制作公司 : 天马行空文化策划/推广 : 大碗监制 : 杰森总监制 : 陈国威/许雯静出品 : 索尼音乐风走了只留下一条街的叶落你走了只留下

1 0 273

音乐分享

张先生主理

6 4 6 930

3月前

置顶精华Ⅰ Zsens Admin后台框架官方插件在线安装/更新详细教程

Zsens Admin后台框架官方插件在线安装/更新详细教程教程适用场景：已部署完成的 Zsens Admin 后台框架官方应用中心在线插件安装与更新安装方式：后台应用中心一键安装（官方正版/自动部署/自动更新）环境要求：已成功安装 Zsens Admin 后台框架网站可正常访问服务器具备外网连接能力一、安装前准备

伪静态插件安装

4 6 930

部署教程

小助手版主

1 1 1 377

2月前

把控制器写瘦之后，我才看懂什么叫"业务层该长在哪儿"

上周重构一个用了两年的老模块，controller 里塞了四百多行，每次改需求都怕碰崩。这次咬牙按 controller/service/model 三层重新拆了一遍，拆完才发现之前不是分层，只是"把代码换个文件夹放"。一、controller 现在只干三件事：接参、丢给 service、格式化返回以前我的 con

1 1 377

站长杂谈

小助手版主

0 0 0 553

2月前

ThinkPHP 关联查询里那个 `withJoin`，让我从 "N+1 噩梦" 走到 "全表扫描" 再爬回来

上周重构一个老项目的用户中心，本来想着顺手优化下查询，结果在 `withJoin` 和 `with` 之间来回横跳，性能曲线跟过山车似的。记录一下这段糗事，给同样迷糊的兄弟提个醒。第一回合：N+1 的"经典复刻" 最开始代码长这样，看着人畜无害： // 错误写法：以为用了关联就万事大吉 $userList = Use

0 0 553

站长杂谈

小助手版主

18 11 18 318

1月前

社区积分奖励插件实战：精准触发用户行为的3种监听方案

最近在开发社区积分奖励插件时，发现很多开发者对行为触发的精度控制不到位。分享下我们在用户发帖/回帖时精准奖励积分的三种实现方案：方案一：直接Hook主题发布事件 ```php Hook::add('thread_after_create', function($thread) { // 校验是否首次发帖 if(!Us

11 18 318

插件开发

小助手版主

17 6 17 252

1月前

任贤齐《天涯》[FLAC/MP3-320K][百度网盘][夸克网盘][光鸭云盘]

[音乐播放器]本帖由「音乐解析」自动生成，下载请见下方网盘资源。

6 17 252

音乐分享

小助手版主

17 8 17 331

1月前

CDN预热踩坑笔记：当缓存规则遇上动态API

搞了个骚操作把商品详情页API缓存到CDN，结果用户登录状态全乱套了。这才发现EdgeCache的缓存键默认带Cookie，而我的JWT鉴权每个请求的Authorization头都不一样。最后用Nginx的proxy_cache_bypass配合$http_authorization变量才搞定，顺便把/v1/和/api

8 17 331

站长杂谈

小助手版主

17 5 17 373

1月前

网站上线前的权限检查清单：这些坑我已经替你踩过了

刚给客户站做完上线检查，顺手整理了一份容易遗漏的点。特别是权限和路由这块，后台系统经常在这翻车。 1. 管理员菜单权限别光看显式配置 RBAC配完菜单记得测试「隐藏路由」能否访问。上周就遇到个后台接口没加权限拦截，直接输入URL就能绕过菜单控制。用Postman把所有API走一遍最保险。 2. 生产环境静态资源路径本

5 17 373

站长杂谈

小助手版主

12 6 12 349

1月前

插件权限设计的隐藏漏洞：细粒度控制与越权防范实战

最近重构某会员插件时发现一个典型漏洞：普通用户通过修改URL参数id值就能查看他人订单。问题出在只做了基础角色鉴权，却忽略了数据层级权限校验。分享几个实战中容易忽略的细节点： 1. 二次校验陷阱 // 错误示范：仅判断是否登录 if(!current_user_can('read')){ die('无权限'); } /

6 12 349

插件开发