阶段 0 完整版：名册 + 账号 + 安装向导 + 设置（宣纸主题）

这一版把「家」的地基铺完：功能 - 安装向导 install.php：建四张表 → 建家庭 → 建第一人（兼管理员），装完自删；「是否已装」以数据库四张表为准，不以文件是否存在为准 - 家庭名册：成员增删改查、头像上传（居中裁方 512×512 转 JPEG、finfo 校验、随机文件名）、生日自动算年龄与倒数天数 - 敏感信息加密存储：手机号双写（SHA-256 哈希用于登录 + AES-256-CBC 密文用于显示）、身份证只存密文；页面上永远只显示脱敏后的 138****8000 / 前 6 后 4 - 账号体系：人与账号分离（孩子可入名册但无需密码）、开通/停用/角色、防爆破（5 次失败锁 60 秒）、修改密码、最后一个管理员不可移除 - 设置页：家庭名称与座右铭、加密密钥状态 - 宣纸主题 UI：砖红取自图标，扁平、留白充足；移动端顶栏收紧不换行安全 - 所有 POST 走 CSRF；输出全量 e() 转义；uploads/ 禁执行脚本 - app/ 与 templates/ 加 .htaccess 整体拒绝直连（直接请求模板会 Fatal 并把服务器绝对路径打在页面上 —— 这是线上真实抓到过的问题） - 已安装的 install.php 返回 404；display_errors 线上关闭工程 - 无框架无 Composer，query-string 路由（index.php?r=模块/动作），不依赖 rewrite - 静态资源带 mtime+size 版本号，改版后浏览器不会吃旧缓存 - 配套部署与冒烟（_tooling/，不入库）：部署脚本容忍 tar 对非属主目录的元数据回填失败；冒烟断言「状态码 + 正文无 PHP 错误 + </html> 收尾 + 无绝对路径泄露 + 断言总数下限」—— 只看状态码会把「200 但正文中间 Fatal」当成通过，这一版在线上真实抓到过一次
2026-09-30 00:49:53 +08:00
parent ecafa110f2
commit 8eb19267bc
30 changed files with 2462 additions and 123 deletions
@@ -0,0 +1,130 @@
+<?php
+/**
+ * 登录态与权限。
+ *
+ * 一个重要设计：**人（Person）≠ 账号（Account）**。
+ * 六岁的孩子应该出现在家庭名册、照片、活动参与人里，但不必有密码。
+ * 所以 person 可以先于 account 存在，将来再「开通账号」。
+ */
+
+declare(strict_types=1);
+
+namespace App;
+
+final class Auth
+{
+    public static function check(): bool
+    {
+        return !empty($_SESSION['account_id']);
+    }
+
+    public static function id(): ?int
+    {
+        return isset($_SESSION['account_id']) ? (int)$_SESSION['account_id'] : null;
+    }
+
+    public static function personId(): ?int
+    {
+        return isset($_SESSION['person_id']) ? (int)$_SESSION['person_id'] : null;
+    }
+
+    public static function familyId(): ?int
+    {
+        return isset($_SESSION['family_id']) ? (int)$_SESSION['family_id'] : null;
+    }
+
+    public static function name(): string
+    {
+        return $_SESSION['name'] ?? '';
+    }
+
+    public static function isAdmin(): bool
+    {
+        return ($_SESSION['role'] ?? '') === 'admin';
+    }
+
+    /** 未登录跳登录页 */
+    public static function requireLogin(): void
+    {
+        if (!self::check()) {
+            redirect('auth/login');
+        }
+    }
+
+    public static function requireAdmin(): void
+    {
+        self::requireLogin();
+        if (!self::isAdmin()) {
+            http_response_code(403);
+            \App\View::render('error', [
+                'title'   => '没有权限',
+                'message' => '这一页只有家庭管理员可以操作。',
+            ], 'home');
+            exit;
+        }
+    }
+
+    /**
+     * 手机号 + 密码登录。
+     * 返回 true 表示成功并已写入会话。
+     */
+    public static function login(string $phone, string $password): bool
+    {
+        // 简单节流：5 次失败后 60 秒内不再尝试。
+        // 防爆破的关键不在判定多严，而在于「尝试次数有成本」。
+        $fail = $_SESSION['login_fail'] ?? ['n' => 0, 't' => 0];
+        if ($fail['n'] >= 5 && (time() - $fail['t']) < 60) {
+            usleep(500000);
+            return false;
+        }
+
+        $hash = Crypto::hash($phone);
+        $stmt = Database::get()->prepare(
+            'SELECT a.id AS account_id, a.password_hash, a.role, a.status,
+                    p.id AS person_id, p.family_id, p.name, p.avatar
+             FROM accounts a
+             JOIN persons p ON p.id = a.person_id
+             WHERE p.phone_hash = ? LIMIT 1'
+        );
+        $stmt->execute([$hash]);
+        $row = $stmt->fetch();
+
+        if (!$row || $row['status'] !== 'active'
+            || !password_verify($password, (string)$row['password_hash'])) {
+            $_SESSION['login_fail'] = ['n' => $fail['n'] + 1, 't' => time()];
+            usleep(300000);
+            return false;
+        }
+
+        unset($_SESSION['login_fail']);
+        session_regenerate_id(true);
+        $_SESSION['account_id'] = (int)$row['account_id'];
+        $_SESSION['person_id']  = (int)$row['person_id'];
+        $_SESSION['family_id']  = (int)$row['family_id'];
+        $_SESSION['name']       = $row['name'];
+        $_SESSION['role']       = $row['role'];
+        $_SESSION['avatar']     = $row['avatar'];
+
+        Database::get()->prepare('UPDATE accounts SET last_login_at = NOW() WHERE id = ?')
+            ->execute([$row['account_id']]);
+
+        return true;
+    }
+
+    public static function logout(): void
+    {
+        $_SESSION = [];
+        if (ini_get('session.use_cookies')) {
+            $p = session_get_cookie_params();
+            setcookie(session_name(), '', time() - 42000,
+                $p['path'], $p['domain'], $p['secure'], $p['httponly']);
+        }
+        session_destroy();
+    }
+
+    /** 头像改动后刷新会话里的缓存 */
+    public static function refreshAvatar(string $avatar): void
+    {
+        $_SESSION['avatar'] = $avatar;
+    }
+}