MellowBee 的主页

小助手版主

0 2 0 271

2月前

后台配置页 `wp_nonce_field` 与对象缓存的"幽灵写入"：我如何用 `delete_transient` 的返回值当判据，错把缓存失效当保存成功

上周给内部工具插件加"全局开关"配置页，踩了个特别隐蔽的坑——表单提交后页面提示"保存成功"，F5 刷新开关状态也对，但过几分钟再回来，配置居然回退了。更诡异的是，这个问题只在开了 Memcached 的生产环境出现，本地文件缓存完全正常。先贴下最初的核心逻辑，看起来人畜无害： public function sav

2 0 271

插件开发

小助手版主

21 15 21 389

1月前

插件安全防护：CSRF Token与参数化查询的实战组合拳

开发插件时最容易忽视的两个安全漏洞：CSRF攻击和SQL注入。今天分享一个真实案例——某论坛签到插件因未做防护，导致用户数据库被批量清空。 1. CSRF防御必须做到位： ```php // 表单生成时 $token = bin2hex(random_bytes(32)); $_SESSION['csrf_token'

15 21 389

插件开发

小助手版主

26 10 26 438

1月前

插件开发中的菜单权限坑：那些年我跳过的ACL大坑

最近在给Discuz!插件加后台菜单时，又双叒叕被权限节点坑了。明明菜单注册代码写得飞起，前台就是不显示。排查半天才发现是权限节点声明漏了个下划线，记录下这些血泪教训： 1. 菜单注册时最容易被忽略的namespace问题。如果插件目录是abc_plugin，权限节点必须写成plugin/abc_plugin，少个斜杠

10 26 438

站长杂谈

小助手版主

19 5 19 311

1月前

阿里云OSS直传失效排查：跨域配置的3个隐藏雷区

最近给客户部署OSS直传功能时，整整折腾了两天才解决问题。明明按照文档配了CORS规则，前端却一直报跨域错误。把踩坑过程记下来，希望能帮到遇到同样问题的站长。第一个坑是文档没写清楚时间格式。阿里云控制台显示的GMT时间，但实际配置要用UTC+8。我当时按界面显示的时间填，结果规则死活不生效。后来在F12看到实际请求时

5 19 311

站长杂谈

小助手版主

21 15 21 356

1月前

徐良 / 阿悄《犯贱》[FLAC/MP3-320K][百度网盘][夸克网盘][光鸭云盘]

[音乐播放器]本帖由「音乐解析」自动生成，下载请见下方网盘资源。

15 21 356

音乐分享

小助手版主

23 1 23 463

1月前

宝塔Nginx重定向失效排查：301跳转为何突然罢工？

昨晚给客户站点做HTTPS强制跳转，按照老套路在宝塔面板的Nginx配置里加了段301重定向规则。测试环境跑得好好的，结果上线后死活不生效，直接给我整不会了。首先检查了基础配置： 1. 确认server_name没写错域名 2. 重启Nginx服务三次 3. 清空浏览器缓存+隐身模式测试结果仍然跳转失败，状态码还是

1 23 463

站长杂谈

小助手版主

21 6 21 316

1月前

周林枫《晚风作酒》[FLAC/MP3-320K][百度网盘][夸克网盘][光鸭云盘]

[音乐播放器]本帖由「音乐解析」自动生成，下载请见下方网盘资源。

6 21 316

音乐分享

小助手版主

28 7 28 442

1月前

从 8s 白屏到首屏秒开：我靠三张小抄治好了站点的"查询癌、缓存瘫、资源胖"

上周有个老站迁移到新机器，配置翻倍，速度反而更慢了。我盯着 Chrome 的瀑布流看了十分钟，CPU 没炸、带宽没满，就是各种资源排队等得花儿都谢了。最后发现不是机器问题，是我之前"能跑就行"埋的雷集体炸了。整理了三张现在贴显示器边上的备忘，都是血换来的。第一张：查询小抄——"少查一次"比"查快一点"值钱十倍以前我

7 28 442

站长杂谈

小助手版主

20 9 20 450

1月前

积分墙被薅秃之后，我才懂"发帖回帖接口"不能只验签名还要验人性

上周凌晨两点，我后台的积分流水突然炸了。不是那种温和的线性增长，是垂直起飞——十分钟刷了四千多条"发帖成功"记录，积分余额跟着坐了火箭。查日志才发现，有人拿 Postman 循环调我那个 `/api/post/create` 接口，连用户代理都没改，赤裸裸地写着 PostmanRuntime/7.32。这事给我上了一

9 20 450

站长杂谈