laoyang
8eb19267bc
这一版把「家」的地基铺完： 功能 - 安装向导 install.php：建四张表 → 建家庭 → 建第一人（兼管理员），装完自删； 「是否已装」以数据库四张表为准，不以文件是否存在为准 - 家庭名册：成员增删改查、头像上传（居中裁方 512×512 转 JPEG、finfo 校验、 随机文件名）、生日自动算年龄与倒数天数 - 敏感信息加密存储：手机号双写（SHA-256 哈希用于登录 + AES-256-CBC 密文用于显示）、 身份证只存密文；页面上永远只显示脱敏后的 138****8000 / 前 6 后 4 - 账号体系：人与账号分离（孩子可入名册但无需密码）、开通/停用/角色、 防爆破（5 次失败锁 60 秒）、修改密码、最后一个管理员不可移除 - 设置页：家庭名称与座右铭、加密密钥状态 - 宣纸主题 UI：砖红取自图标，扁平、留白充足；移动端顶栏收紧不换行 安全 - 所有 POST 走 CSRF；输出全量 e() 转义；uploads/ 禁执行脚本 - app/ 与 templates/ 加 .htaccess 整体拒绝直连（直接请求模板会 Fatal 并 把服务器绝对路径打在页面上 —— 这是线上真实抓到过的问题） - 已安装的 install.php 返回 404；display_errors 线上关闭 工程 - 无框架无 Composer，query-string 路由（index.php?r=模块/动作），不依赖 rewrite - 静态资源带 mtime+size 版本号，改版后浏览器不会吃旧缓存 - 配套部署与冒烟（_tooling/，不入库）：部署脚本容忍 tar 对非属主目录的 元数据回填失败；冒烟断言「状态码 + 正文无 PHP 错误 + </html> 收尾 + 无绝对路径泄露 + 断言总数下限」—— 只看状态码会把「200 但正文中间 Fatal」当成通过，这一版在线上真实抓到过一次
98 lines
3.0 KiB
PHP
98 lines
3.0 KiB
PHP
<?php
|
||
/**
|
||
* 安装向导：建表 → 建家庭 → 建第一个人（同时是他/她的管理员账号）。
|
||
*
|
||
* 「是否已安装」以**数据库里的四张表**为准，不以某个文件是否存在为准 ——
|
||
* 文件可能被删、可能被恢复，表在就是装过了。
|
||
*/
|
||
|
||
declare(strict_types=1);
|
||
|
||
require __DIR__ . '/app/bootstrap.php';
|
||
|
||
use App\Account;
|
||
use App\Crypto;
|
||
use App\Database;
|
||
use App\Family;
|
||
use App\Person;
|
||
use App\Schema;
|
||
use App\View;
|
||
|
||
if (Database::hasTables()) {
|
||
// 装过之后这个入口就该消失：给 404，别让它在公网一直挂着、也别让爬虫收录
|
||
http_response_code(404);
|
||
View::renderBare('error', [
|
||
'title' => '已经装好了',
|
||
'message' => '「家书」已经安装过。如果要重新安装，请先清空数据库里的 families / persons / accounts / settings 四张表。',
|
||
]);
|
||
exit;
|
||
}
|
||
|
||
$dbName = $GLOBALS['config']['db']['name'];
|
||
|
||
if (($_SERVER['REQUEST_METHOD'] ?? 'GET') === 'POST') {
|
||
csrf_check();
|
||
|
||
$familyName = trim((string)($_POST['family_name'] ?? ''));
|
||
$motto = trim((string)($_POST['motto'] ?? ''));
|
||
$name = trim((string)($_POST['name'] ?? ''));
|
||
$phone = trim((string)($_POST['phone'] ?? ''));
|
||
$password = (string)($_POST['password'] ?? '');
|
||
|
||
$errors = [];
|
||
if ($familyName === '') { $errors['_'] = '家庭名称不能为空'; }
|
||
if ($name === '') { $errors['name'] = '请填写你的姓名'; }
|
||
if (!preg_match('/^\+?[0-9\-]{6,20}$/', $phone)) {
|
||
$errors['phone'] = '手机号格式看起来不对';
|
||
}
|
||
$pwErr = Account::validatePassword($password);
|
||
if ($pwErr) { $errors['password'] = implode('；', $pwErr); }
|
||
|
||
if (!$errors) {
|
||
try {
|
||
foreach (Schema::statements() as $sql) {
|
||
Database::get()->exec($sql);
|
||
}
|
||
$familyId = Family::create($familyName, $motto);
|
||
$personId = Person::create($familyId, [
|
||
'name' => $name,
|
||
'nickname' => '',
|
||
'gender' => '',
|
||
'birthday' => '',
|
||
'avatar' => '',
|
||
'phone' => $phone,
|
||
'id_card' => '',
|
||
'email' => '',
|
||
'address' => '',
|
||
'note' => '',
|
||
'sort_order'=> 1,
|
||
'kind' => 'member',
|
||
]);
|
||
Account::create($personId, $password, 'admin');
|
||
|
||
// 装完就删掉自己 —— 避免把安装入口长期暴露在公网
|
||
@unlink(__FILE__);
|
||
|
||
header('Location: index.php?r=auth/login');
|
||
exit;
|
||
} catch (\Throwable $ex) {
|
||
$errors['_'] = '安装失败：' . $ex->getMessage();
|
||
}
|
||
}
|
||
|
||
set_old($_POST);
|
||
View::renderBare('install', [
|
||
'title' => '安装家书',
|
||
'dbName' => $dbName,
|
||
'errors' => $errors,
|
||
]);
|
||
exit;
|
||
}
|
||
|
||
clear_old();
|
||
View::renderBare('install', [
|
||
'title' => '安装家书',
|
||
'dbName' => $dbName,
|
||
'errors' => [],
|
||
]);
|