From 872baf4153081af52e2768c08af878687d88fced Mon Sep 17 00:00:00 2001
From: laoyang <i@yangyq.net>
Date: Tue, 3 Nov 2026 08:19:17 +0800
Subject: [PATCH] =?UTF-8?q?=E4=BF=AE=E5=A4=8D=EF=BC=9A=E5=9B=BE=E6=A0=87?=
 =?UTF-8?q?=E5=AD=98=E5=82=A8=E6=9C=AA=E8=B7=9F=E9=9A=8F=E5=90=8E=E5=8F=B0?=
 =?UTF-8?q?=E9=85=8D=E7=BD=AE=EF=BC=8C=E6=9C=AC=E5=9C=B0=E6=A8=A1=E5=BC=8F?=
 =?UTF-8?q?=E4=B8=8B=E5=9B=BE=E6=A0=87=E6=98=BE=E7=A4=BA=E4=B8=8D=E5=87=BA?=
 =?UTF-8?q?=E6=9D=A5?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

用户指出图标应当与附件同一套逻辑：管理员在后台配 local 就存本机、
配 oss 就存 OSS，前台都一样走 media.php 代理。

原实现把图标键硬编码成 icons/…（不带存储前缀），导致：
- fb_attach_is_local() 恒为 false
- 本机模式下文件确实写进了 uploads/icons/，
  但 media.php 把它当 OSS 对象去读 → 503，图标完全显示不出来

修法：图标键与附件完全同规则，只是路径里多一段 icons/
  local 模式 → local/icons/YYYY/MM/<hex>.<ext>  落 uploads/icons/
  oss   模式 → <oss.prefix>/icons/YYYY/MM/<hex>.<ext> 落私有桶
前台地址两种模式一致（media.php?k=…），换存储方式旧图标不会失效。

同时：
- fb_icon_is_key/ok 改为同时识别两种前缀
- fb_icon_allowed_ext 移到 attach.php（media.php 与校验都会用，
  不能依赖 admin_taxonomy.php 被加载）
- 写入时加断言：键前缀必须与当前存储模式一致，脱钩就报错，
  不再静默存到错误位置

验证（线上真实环境，两种模式各跑一遍）：
- local：键带 local/icons/ 前缀、写入 uploads/icons/ 成功、
  media.php 读回 200 image/png 501B、PNG 魔数正确、删除后 404
- oss：键带 fb/icons/ 前缀、is_local=false、URL 拼接正确
- 旧 bug 形态（icons/… 无前缀）现在被明确拒绝 400，不再误判成 OSS
- 测试后配置已复原为 oss，临时文件与诊断入口全部清理
---
 lib/admin_taxonomy.php | 18 ++++++++----
 lib/attach.php         | 64 +++++++++++++++++++++++++++++++-----------
 lib/bootstrap.php      |  2 +-
 3 files changed, 61 insertions(+), 23 deletions(-)

diff --git a/lib/admin_taxonomy.php b/lib/admin_taxonomy.php
index 8aed2c1..9fa9a5c 100644
--- a/lib/admin_taxonomy.php
+++ b/lib/admin_taxonomy.php
@@ -19,12 +19,8 @@ if (!defined('FB_ROOT')) { http_response_code(403); exit('forbidden'); }
  * 对外一律 media.php?k=... 代理，不暴露真实位置。
  * ================================================================== */
 
-/** 图标允许的扩展名（比附件白名单窄：图标不需要 gif 动图，也不要 svg） */
-function fb_icon_allowed_ext() {
-    // ⚠️ 刻意不收 svg：SVG 能内嵌 <script>，一旦被当图片直出到浏览器就是 XSS。
-    // 图标是管理员自己传的，但防线不该依赖「管理员不会传坏东西」。
-    return ['png', 'jpg', 'jpeg', 'webp'];
-}
+/** 图标允许的扩展名 —— 定义在 lib/attach.php（fb_icon_allowed_ext），
+ *  因为 media.php 与 CLI 场景也会用到，不能依赖这个后台文件被加载。 */
 
 /**
  * 保存一个上传的图标文件，返回 [bool ok, string 值(键或错误信息), string mime]。
@@ -77,6 +73,16 @@ function fb_icon_store_upload(array $file) {
 
     $key = fb_icon_make_key($ext);
 
+    /* 断言：键的前缀必须与当前存储方式一致。
+     * 这两者一旦脱钩，就会出现「文件写进 uploads/ 但 media.php 去 OSS 找」的 503 ——
+     * 早期把键硬编码成 icons/… 就是这么坏的。宁可当场报错，也不要静默存错位置。 */
+    if ($mode === 'local' && !fb_attach_is_local($key)) {
+        return [false, '内部错误：本地模式下生成了非本机路径的图标键。', ''];
+    }
+    if ($mode === 'oss' && fb_attach_is_local($key)) {
+        return [false, '内部错误：OSS 模式下生成了本机路径的图标键。', ''];
+    }
+
     if ($mode === 'local') {
         if (!fb_local_writable()) { return [false, '本机附件目录不可写（uploads/），无法保存图标。', '']; }
         $path = fb_local_path_of($key);
diff --git a/lib/attach.php b/lib/attach.php
index b01bf79..305b891 100644
--- a/lib/attach.php
+++ b/lib/attach.php
@@ -152,34 +152,63 @@ function fb_attach_is_local($key) {
 /* ==================================================================
  * 软件图标（管理员上传的图片）
  * ------------------------------------------------------------------
+ * 🔴 存储位置【跟随后台配置】，与附件完全同一套规则：
+ *      attachment.storage = local → local/icons/YYYY/MM/<hex>.<ext>  写 uploads/
+ *      attachment.storage = oss   → <oss.prefix>/icons/YYYY/MM/<hex>.<ext> 写私有桶
+ *    管理员在后台配的哪种，图标就存哪种；前台地址两种模式完全一致，
+ *    都是 media.php?k=... 代理，换存储方式不会让已有图标失效。
+ *
+ *    早期实现把图标键固定写成 `icons/...`（不带 local/ 前缀），
+ *    结果 fb_attach_is_local() 永远返回 false —— 本机模式下文件明明写进了
+ *    uploads/icons/，media.php 却当成 OSS 对象去读，直接 503。
+ *    这是「本地存储时图标显示不出来」的根因，键必须带存储前缀。
+ *
  * 为什么不复用普通附件：
  *   普通附件必须挂在某条 thread 下才允许被 media.php 读出（否则本站就成了
  *   「能读整个桶」的开放代理）。软件图标不属于任何帖子，用它那套鉴权会被拒。
- *
- * 于是单独给一个键空间 `icons/`，并且：
- *   ① 只有管理员能写入（后台动作 + 登录校验）；
- *   ② media.php 对 `icons/` 前缀只做「合法键 + 文件存在」判断，不做帖子鉴权；
- *   ③ 键的形状强约束成 icons/YYYY/MM/<16hex>.<ext>，无法穿越、无法指向别处。
- * 图标本来就是公开信息（每个访客都能看到），不需要保密，只需要防写入。
- */
+ *   于是键里多一段 `icons/`，media.php 据此识别并按公开资源处理（写入仍受控）。
+ * ================================================================== */
 function fb_icon_key_prefix() {
     return 'icons/';
 }
 
-/** 这个键是不是软件图标 */
-function fb_icon_is_key($key) {
-    return strpos((string)$key, fb_icon_key_prefix()) === 0;
+/**
+ * 图标允许的扩展名（比附件白名单窄：图标不需要 gif 动图）。
+ * ⚠️ 刻意不收 svg：SVG 能内嵌 <script>，一旦被当图片直出到浏览器就是 XSS。
+ *    图标是管理员自己传的，但防线不该依赖「管理员不会传坏东西」。
+ *
+ * 定义在这里而不是 admin_taxonomy.php：media.php 与校验函数都会用到，
+ * 不能依赖后台那个文件被加载（它在 bootstrap 里并不 require）。
+ */
+function fb_icon_allowed_ext() {
+    return ['png', 'jpg', 'jpeg', 'webp'];
 }
 
-/** 生成一个图标对象键（始终为本机前缀，OSS 模式在写入时换前缀） */
+/** 这个键是不是软件图标（local/icons/… 或 <prefix>/icons/…） */
+function fb_icon_is_key($key) {
+    return (bool)preg_match('#^(?:local|[A-Za-z0-9][A-Za-z0-9._-]*)/icons/#', (string)$key);
+}
+
+/**
+ * 生成一个图标对象键 —— 存储位置由后台配置决定，与附件一致。
+ * local 模式带 `local/` 前缀，OSS 模式带 oss.prefix 前缀；
+ * 两种都能被 fb_attach_is_local() / fb_local_path_of() 正确解析。
+ */
 function fb_icon_make_key($ext) {
-    $ext = strtolower(preg_replace('/[^A-Za-z0-9]/', '', (string)$ext));
-    return fb_icon_key_prefix() . date('Y/m') . '/' . bin2hex(random_bytes(8)) . '.' . $ext;
+    $ext  = strtolower(preg_replace('/[^A-Za-z0-9]/', '', (string)$ext));
+    $leaf = fb_icon_key_prefix() . date('Y/m') . '/' . bin2hex(random_bytes(8)) . '.' . $ext;
+
+    if (fb_store_mode() === 'local') {
+        return 'local/' . $leaf;
+    }
+    $prefix = trim((string)fb_cfg('oss.prefix', 'fb'), '/');
+    if ($prefix === '') { $prefix = 'fb'; }
+    return $prefix . '/' . $leaf;
 }
 
 /**
  * 图标键是否合法。
- * 与 fb_upload_key_ok 分开写：图标键不落在 local/ 也不落 oss.prefix 下，
+ * 与 fb_upload_key_ok 分开写：图标键在附件键的基础路径里多一段 icons/，
  * 塞进原函数会被判为不合法。
  *
  * 🔴 扩展名必须是白名单里的图片类型，不能只写 `[a-z0-9]{2,5}` ——
@@ -190,13 +219,16 @@ function fb_icon_key_ok($key) {
     $key = (string)$key;
     if (strlen($key) < 16 || strlen($key) > 200) { return false; }
     if (strpos($key, '..') !== false || strpos($key, '//') !== false) { return false; }
-    if (!preg_match('#^icons/\d{4}/\d{2}/[a-f0-9]{16}\.([a-z0-9]{2,5})$#', $key, $m)) { return false; }
-    return in_array(strtolower($m[1]), ['png', 'jpg', 'jpeg', 'webp'], true);
+    if (!preg_match('#^(?:local|[A-Za-z0-9][A-Za-z0-9._-]*)/icons/\d{4}/\d{2}/[a-f0-9]{16}\.([a-z0-9]{2,5})$#', $key, $m)) {
+        return false;
+    }
+    return in_array(strtolower($m[1]), fb_icon_allowed_ext(), true);
 }
 
 /**
  * 图标图片的【对外地址】—— 一律走 media.php 代理。
  * 与附件完全同一套约定：不暴露 uploads/ 真实路径，也不暴露任何 OSS 痕迹。
+ * 两种存储模式对外都是这一个形态，所以换存储方式不影响已显示的图标。
  *
  * @param string $key 图标对象键
  * @param int    $w   期望宽度（0=原图）。OSS 模式下交给服务端缩放；本机模式忽略。
diff --git a/lib/bootstrap.php b/lib/bootstrap.php
index a18dbc0..e45a419 100644
--- a/lib/bootstrap.php
+++ b/lib/bootstrap.php
@@ -8,7 +8,7 @@ if (!defined('FB_ROOT')) {
     define('FB_ROOT', dirname(__DIR__));
     // 静态资源版本号：改 assets/ 下的 css/js 后把这个数字 +1，
     // 让浏览器与 CDN 缓存失效。全站只此一处，别再往页面里写死数字。
-    if (!defined('FB_ASSET_V')) { define('FB_ASSET_V', 18); }
+    if (!defined('FB_ASSET_V')) { define('FB_ASSET_V', 19); }
 }
 
 /* ------------------------------------------------------------------