From 74beaf116342f4f7a0617fe3fa9a7a5f50a5d3fe Mon Sep 17 00:00:00 2001 From: Yongquan Date: Mon, 2 Nov 2026 08:55:23 +0800 Subject: [PATCH] =?UTF-8?q?=E9=99=84=E4=BB=B6=E9=99=90=E5=88=B6=E5=85=A8?= =?UTF-8?q?=E9=83=A8=E6=94=AF=E6=8C=81=E5=A1=AB=200=20=3D=20=E4=B8=8D?= =?UTF-8?q?=E9=99=90=E5=88=B6=20(#4)?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit 用户要求：附件存储里所有限制项（几张图、几个视频、大小、总量、保留天数、 每小时次数）都能填 0，0 表示没有任何限制。 ## 最危险的地方：填 0 原本是「全禁」不是「不限」 两处逻辑把 0 判成了禁止，语义正好相反： 1. `fb_rate_check()` —— `count < limit`，limit=0 时 `0 < 0` 为假 ⇒ 每小时上传次数填 0 = 一次都不许传 2. 每帖数量校验 —— `count > max`，max=0 时传一个就超限 ⇒ 每帖图片填 0 = 一张都不许传 都改成「limit <= 0 直接放行」。 ## 校验区间与 input 下限全部放开到 0 | 字段 | 原下限 | 现下限 | |---|---|---| | image_max_per_post | 0（但界面上限 20） | 0，上限 1000 | | video_max_per_post | 0（上限 10） | 0，上限 1000 | | image_max_bytes | 0.2 MB | 0，上限 1024 MB | | video_max_bytes | 1 MB | 0，上限 10240 MB | | total_cap_bytes | 10 MB | 0，上限 1048576 MB | | retention_days | 1 天 | 0，上限 36500 | | upload_per_hour | 1 次 | 0，上限 100000 | | image_max_side | 480 | **保持 480** —— 这是压缩目标边长，不是限制项 | 服务端 `max($range[0], ...)` 不再把 0 拉回下限；input 的 min 一并改 0， 否则浏览器直接拦住连提交都到不了后端。 ## 语义冲突：0=不限与「0=关闭该类上传」冲突 原先 `fb_upload_kind_on()` 靠「数量上限是否为 0」判断开关， 0 现在表示不限个数，两者冲突。 按用户选择：**新增独立总开关** `upload.image_on` / `upload.video_on`（默认开）， `fb_upload_kind_on()` 改看开关，不再看数量。 两个新键已加入 `fb_setting_keys()` 白名单（这个坑踩过多次）。 ## 前端同步 - `maxCount > 0` 才拦，0 不拦 - 提示文案：数量 0 显示「数量不限」、大小 0 显示「大小不限」， 不再出现「最多 0 张」这种荒唐文案 ## 风险提示（按用户选择用文字告知，不阻止保存） 单张图片/单个视频/全站总量填 0 时，字段下方提示「填 0 时注意：磁盘可能被写满」。 ## 验证 0 专项 31/31，关键几条： - 七项输入框 min 均为 0，image_max_side 保持 480 - 填 0 后数据库里就是 0，没被拉回下限 - **填 0 后行为是放行**：每小时放行、数量不限、总量放行、不清理 - 数量填 0 时上传仍是开的（靠独立开关） - 取消勾选开关后确实关闭，且与数量填 0 互不干扰 - 非 0 值全部正确（4 张 / 2 个 / 5MB / 50MB / 1024MB / 30 天 / 60 次） 回归全绿：全新安装 33/33、附件 22/22、老基线 25/25、安装向导 60/60、约束检查 20/20。 --- admin.php | 63 +++++++++++++++++++++++++++++++++++++------------- assets/app.js | 4 +++- lib/attach.php | 18 +++++++++++---- lib/layout.php | 9 +++++--- lib/util.php | 13 ++++++++++- 5 files changed, 82 insertions(+), 25 deletions(-) diff --git a/admin.php b/admin.php index 106bd40..a9b2862 100644 --- a/admin.php +++ b/admin.php @@ -287,10 +287,12 @@ function fb_admin_save_settings() { else { fb_set_setting('footer.credit_url', $curl); } $ints = [ - 'upload.image_max_per_post' => [0, 20], - 'upload.video_max_per_post' => [0, 10], - 'upload.retention_days' => [1, 3650], - 'upload.upload_per_hour' => [1, 2000], + // 区间下限统一改 0：0 = 不限制（见 #4）。 + // 只有 image_max_side 例外 —— 边长 0 没有意义，它是压缩目标不是限制。 + 'upload.image_max_per_post' => [0, 1000], + 'upload.video_max_per_post' => [0, 1000], + 'upload.retention_days' => [0, 36500], + 'upload.upload_per_hour' => [0, 100000], 'upload.image_max_side' => [480, 4096], ]; foreach ($ints as $k => $range) { @@ -298,12 +300,16 @@ function fb_admin_save_settings() { $v = max($range[0], min($range[1], $v)); fb_set_setting($k, $v); } + // 图片/视频上传总开关（0=不限个数后，开关必须独立存在） + fb_set_setting('upload.image_on', (int)(bool)$post('upload.image_on')); + fb_set_setting('upload.video_on', (int)(bool)$post('upload.video_on')); // MB → 字节 + // 下限改 0 = 不限制（见 #4） $mbs = [ - 'upload.image_max_bytes' => [0.2, 50], - 'upload.video_max_bytes' => [1, 500], - 'upload.total_cap_bytes' => [10, 100000], + 'upload.image_max_bytes' => [0, 1024], + 'upload.video_max_bytes' => [0, 10240], + 'upload.total_cap_bytes' => [0, 1048576], ]; foreach ($mbs as $k => $range) { $mb = (float)$post($k, 0); @@ -762,23 +768,48 @@ fb_layout_head('管理后台', ['robots' => 'noindex,nofollow']); 本机：文件落在站点 uploads/ 目录；OSS：文件经服务器代理写入私有桶（走内网 Endpoint），公网无法直连桶。两种方式都需要服务器磁盘能放下单个上传文件。前台展示一律经 media.php 代理——无论存哪，页面上的图片/视频地址都是 media.php?k=…，不暴露 uploads/ 真实路径，也不出现任何 OSS 桶信息。 -
+ 填 0 表示不限制。'; + ?> + + + +
+ + + + 填 0 时注意：服务器磁盘可能被大图写满。 + + + + 填 0 时注意：服务器磁盘可能被大视频写满。 + + 填 0 表示不限总量，磁盘写满后上传会失败。 + + 填 0 = 永不自动清理。 + + + + 这是压缩目标边长，不是限制项，最小 480。

阿里云 OSS（选「OSS」时才需要填）

diff --git a/assets/app.js b/assets/app.js index 2bf3226..e3dae10 100644 --- a/assets/app.js +++ b/assets/app.js @@ -301,7 +301,9 @@ alert('「' + file.name + '」超过 ' + human(maxBytes) + ' 上限。'); continue; } - if (countOf(kind) >= maxCount) { + // maxCount = 0 表示不限个数（后台可填 0），此时不做任何拦截。 + // 别写成 `count >= 0`，那样等于一个都不让传。 + if (maxCount > 0 && countOf(kind) >= maxCount) { alert(label + '最多上传 ' + maxCount + ' 个，请先移除已上传的文件。'); break; } diff --git a/lib/attach.php b/lib/attach.php index ce6e2c1..9a36e2a 100644 --- a/lib/attach.php +++ b/lib/attach.php @@ -201,10 +201,17 @@ function fb_attach_delete($key) { return fb_oss_delete($key); } -/** 该类型是否可用（数量上限为 0 或未配置则视为关闭） */ +/** + * 该类型是否可用。 + * + * ⚠️ 原先靠「数量上限是否为 0」判断开关 —— 但 0 现在表示「不限个数」， + * 两者语义冲突（一个说"关掉"、一个说"不限制"）。改为看独立开关： + * upload.image_on / upload.video_on，默认都开。 + */ function fb_upload_kind_on($kind) { if (!fb_store_enabled()) { return false; } - return (int)fb_upload_cfg($kind . '_max_per_post', 0) > 0; + $key = $kind . '_on'; + return (bool)fb_upload_cfg($key, true); } /** 归一化扩展名 */ @@ -313,9 +320,12 @@ function fb_attach_parse($raw) { } $counts[$kind]++; - if ($counts[$kind] > (int)fb_upload_cfg($kind . '_max_per_post', 0)) { + // 0 = 不限个数。注意别写成 `count > max`，那样 max=0 时传一个就超限， + // 等于「填 0 反而一个都不让传」，与用户意图相反。 + $maxPerPost = (int)fb_upload_cfg($kind . '_max_per_post', 0); + if ($maxPerPost > 0 && $counts[$kind] > $maxPerPost) { return [false, [], ($kind === 'image' ? '图片最多上传 ' : '视频最多上传 ') - . (int)fb_upload_cfg($kind . '_max_per_post', 0) . ' 个。']; + . $maxPerPost . ' 个。']; } $seen[$key] = true; diff --git a/lib/layout.php b/lib/layout.php index 2c1bcab..703a179 100644 --- a/lib/layout.php +++ b/lib/layout.php @@ -139,9 +139,12 @@ function fb_uploaders(array $existing = []) { $maxB = (int)fb_upload_cfg($kind . '_max_bytes', 0); $accept = implode(',', (array)fb_upload_cfg($kind . '_mimes', [])); $label = $isImg ? '图片' : '视频'; - $desc = $isImg - ? ('最多 ' . $maxN . ' 张，单张不超过 ' . fb_size_h($maxB) . '；大图会自动压缩后上传') - : ('最多 ' . $maxN . ' 个，单个不超过 ' . fb_size_h($maxB)); + // 0 表示不限制，文案别写成「最多 0 张」 + $cntTxt = $maxN > 0 ? ('最多 ' . $maxN . ($isImg ? ' 张' : ' 个')) : '数量不限'; + $sizeTxt = $maxB > 0 + ? ('单' . ($isImg ? '张' : '个') . '不超过 ' . fb_size_h($maxB)) + : '大小不限'; + $desc = $cntTxt . '，' . $sizeTxt . ($isImg ? '；大图会自动压缩后上传' : ''); ?>
prepare('SELECT COUNT(*) FROM rate_limit WHERE ip_hash=? AND action=? AND created_at>=?'); $st->execute([fb_ip_hash(), $action, $since]); - return ((int)$st->fetchColumn()) < (int)$limit; + return ((int)$st->fetchColumn()) < $limit; } function fb_rate_hit($action) { $pdo = fb_db(); @@ -382,6 +392,7 @@ function fb_setting_keys() { 'footer.show_credit', 'footer.credit_url', 'installed_at', 'attachment.storage', + 'upload.image_on', 'upload.video_on', 'upload.image_max_per_post', 'upload.image_max_bytes', 'upload.video_max_per_post', 'upload.video_max_bytes', 'upload.total_cap_bytes', 'upload.retention_days',