刘磊

ZsAdmin「智数」BBS社区插件 前端模板标签文档

插件菜单"隐身"事件：路由别名与权限节点命名空间对不上号的那次排查

上周给后台装了个新插件，菜单配好了、路由也写了，前台页面能正常访问，但后台左侧愣是不显示入口。F12 看了 DOM，节点压根没渲染出来，不是 CSS 隐藏，是真的没输出。 先怀疑是缓存。清了三遍，换浏览器，甚至把 `runtime/admin` 整个删了重建，菜单还是不出来。这时候才意识到问题可能在权限校验层——我的账

Exception 堆栈里藏着的"暗语"：我整理了一份 PHP 常见报错与五秒定责速查表

上周帮朋友看一个生产事故，他截图给我一张满屏红的报错，问我啥情况。我扫了一眼堆栈第三行，回了三个字："拼写错了"。他愣是找了二十分钟才确认是 App\Servcie\UserService 里 Service 少了个 i。这种事儿不是第一次了，我发现很多站长（包括我自己）面对 Exception 时，第一反应是复制粘贴

Controller 里塞了 600 行之后，我终于对"分层"这两个字低头了

上周翻自己两年前写的项目，打开一个 Controller 差点没背过气去——验证、算价、调支付、发通知、写日志，全挤在一个方法里，注释写着"TODO: 稍后重构"。稍后了两年，它还在那儿。 这次新项目我铁了心要拆干净，但真动手才发现，"controller / service / model" 这六个字谁都会念，边界画

宝塔面板安装PHP扩展失败？你可能漏了这个关键步骤

昨晚给服务器装imagick扩展时又踩坑了，明明宝塔显示安装成功，phpinfo()却死活不显示。翻遍日志才发现是宝塔自动创建的php.ini没加载扩展配置，手动在/usr/local/php/etc/php.ini里加了extension=imagick.so才生效。 排查时发现宝塔有个骚操作：它会把扩展配置单独放在

业务插件开发：如何用Service层吃掉Controller的胖逻辑？

最近重构老插件时发现Controller里堆了300行业务逻辑，连Redis操作和PDF生成都塞在里面。分享下我们的分层改造方案： 1. Controller瘦身黄金法则： // 反面教材 public function orderCreate() { // 参数校验 // 风控检查 // 库存计算 // 优惠券核销

ThinkPHP权限验证的隐蔽漏洞：redirect跳转也要做权限校验？

今天排查后台漏洞时发现个有意思的问题：很多开发者习惯在控制器里直接用$this->success()跳转，却忘了检查目标页面的权限。比如管理员操作日志页面做了权限控制，但从用户编辑页success跳转时却畅通无阻。 实测场景：用户编辑页提交后跳转到/admin/log，如果只做菜单节点权限校验，这个跳转就会绕过鉴权。解

后台安全防护实战：那些容易被忽视的鉴权细节

这两天给老项目做安全审计，发现不少后台鉴权的历史遗留问题。比如有个运营后台的编辑权限，居然用前端隐藏域判断角色，F12改个值就能越权操作，吓得我连夜重写了鉴权中间件。 分享几个容易被忽略的点： 1. 接口权限要细粒度控制。很多站长只做了菜单权限，但没做API层面的二次校验。比如删除接口应该同时验证「是否有菜单权限」+「