回复框去掉管理员口令与处理状态；带 token 时昵称/邮箱锁定为只读
用户三个问题，本质是同一件事：token 就是身份凭证，那就不该再让表单声明身份。
一、去掉管理员口令 / 处理状态
用户：「回复这个地方，下面有个管理员口令，还有处理状态，都不要填了，
只保留回复内容，加上人机验证就可以了」
- 删掉表单里这两块，删掉 admin-pw/admin-status 的 CSS 与 bindAdminToggle 的 JS
- 管理员身份只认后台登录态（fb_is_admin()），不再从公开表单收口令
- 状态流转只在后台详情页那排按钮里做
二、带 token 时昵称/邮箱锁定为只读
用户：「如果他带着 Token 进来之后邮箱又让他改了，我们又没办法知道谁是谁了」
- 有 token = 已证明是提交人本人，表单不再让填昵称/邮箱，
改为显示只读的「回复身份」块（原昵称 + 原邮箱）
三、服务端强制（关键）
🔴 前端设成 hidden 是不够的 —— hidden 可以被改：
谁拿到链接、改个 email 提交，这条反馈的联系人就变成他的了。
所以服务端在 isOwnerView 时**直接丢弃 POST 里的 name/email**，
一律以库里那条帖子的 author_name / author_email 为准。
身份校验必须在服务端做。
验证（这次确保请求真的通过人机验证，不是被验证码挡住造成的假通过）：
题目「2 乘以 7」答 14 → 跳转到 #r3，回复确实入库；
提交的是 黑客改名 / attacker@evil.example，
实际入库 name=jervis email=zeussun@msn.com —— 伪造的两个字段都被丢弃。
另外：无 token 的普通访客仍可自由填昵称邮箱；全站已无「管理员口令」残留。
测试回复已清理，reply_count 已同步。
This commit is contained in:
+3
-24
@@ -61,29 +61,9 @@
|
||||
}
|
||||
}
|
||||
|
||||
/* ---------- 管理员口令：填写后显示"处理状态"，并解除邮箱必填 ---------- */
|
||||
function bindAdminToggle() {
|
||||
var pw = document.querySelector('input[name=admin_password]');
|
||||
if (!pw) { return; }
|
||||
var statusBox = document.querySelector('.admin-status');
|
||||
var emailInput = document.querySelector('input[name=email]');
|
||||
var emailField = document.getElementById('emailField');
|
||||
|
||||
function sync() {
|
||||
var isAdmin = pw.value.trim() !== '';
|
||||
if (statusBox) { statusBox.hidden = !isAdmin; }
|
||||
if (emailInput) {
|
||||
emailInput.required = !isAdmin;
|
||||
if (isAdmin) { emailInput.removeAttribute('required'); }
|
||||
}
|
||||
if (emailField) {
|
||||
var req = emailField.querySelector('.req');
|
||||
if (req) { req.style.visibility = isAdmin ? 'hidden' : 'visible'; }
|
||||
}
|
||||
}
|
||||
pw.addEventListener('input', sync);
|
||||
sync();
|
||||
}
|
||||
/* ---------- （已删）管理员口令切换 ----------
|
||||
* 回复表单里不再有「管理员口令」和「处理状态」——用户 2026-11-03 要求去掉。
|
||||
* 管理员身份改由后台登录态判断，状态流转在后台详情页的按钮里做。 */
|
||||
|
||||
/* ---------- 防止重复提交（上传未完成时阻止提交） ---------- */
|
||||
function bindNoDoubleSubmit() {
|
||||
@@ -884,7 +864,6 @@
|
||||
|
||||
function boot() {
|
||||
bindCaptchaRefresh();
|
||||
bindAdminToggle();
|
||||
bindWontfixPanel();
|
||||
bindColorPicker();
|
||||
bindIconPicker();
|
||||
|
||||
+14
-1
@@ -455,6 +455,20 @@ main.wrap{padding-top:24px; padding-bottom:40px; min-height:60vh}
|
||||
.item-meta{display:flex; flex-wrap:wrap; align-items:center; gap:6px; font-size:13px; color:var(--muted)}
|
||||
.item-meta .who{color:#3a424d; font-weight:600}
|
||||
|
||||
/* 带 token 回复时展示只读身份（昵称 + 邮箱） */
|
||||
.reply-identity{
|
||||
display:flex; align-items:center; flex-wrap:wrap; gap:8px;
|
||||
padding:9px 12px; border-radius:9px;
|
||||
background:var(--bg, #f6f8fb); border:1px solid var(--line);
|
||||
font-size:14px;
|
||||
}
|
||||
.reply-identity-nm{font-weight:600; color:var(--fg)}
|
||||
.reply-identity-mail{
|
||||
color:var(--muted); font-size:13px;
|
||||
padding:1px 8px; border-radius:99px; background:var(--card);
|
||||
border:1px solid var(--line);
|
||||
}
|
||||
|
||||
/* 提交人凭 token 看自己未公开反馈时的提示条 */
|
||||
.owner-note{
|
||||
display:flex; flex-direction:column; gap:4px;
|
||||
@@ -596,7 +610,6 @@ main.wrap{padding-top:24px; padding-bottom:40px; min-height:60vh}
|
||||
|
||||
.form-actions{margin-top:20px}
|
||||
.form-actions .btn{padding:10px 26px; font-size:15px}
|
||||
.admin-pw{margin-top:6px}
|
||||
.admin-status{margin-bottom:16px}
|
||||
|
||||
/* 蜜罐字段：对用户不可见，但保留在 DOM 中诱捕机器人 */
|
||||
|
||||
+145
@@ -0,0 +1,145 @@
|
||||
<?php
|
||||
/**
|
||||
* 启动引导：加载配置、注册自动加载、开启会话、初始化数据库。
|
||||
* 所有页面（index/thread/new/api）都以此为入口。
|
||||
*/
|
||||
|
||||
if (!defined('FB_ROOT')) {
|
||||
define('FB_ROOT', dirname(__DIR__));
|
||||
// 静态资源版本号：改 assets/ 下的 css/js 后把这个数字 +1，
|
||||
// 让浏览器与 CDN 缓存失效。全站只此一处，别再往页面里写死数字。
|
||||
if (!defined('FB_ASSET_V')) { define('FB_ASSET_V', 31); }
|
||||
}
|
||||
|
||||
/* ------------------------------------------------------------------
|
||||
* 错误显示策略必须最先设置：
|
||||
* 任何被打印到页面的 Warning/Deprecated 都会让响应头提前发出，
|
||||
* 从而令随后的 session_start() 失败（表现为「会话已过期」、CSRF 全部失效）。
|
||||
* 所以这里在 require 任何库文件之前就把 display_errors 关掉。
|
||||
* ------------------------------------------------------------------ */
|
||||
@ini_set('display_errors', '0');
|
||||
@ini_set('log_errors', '1');
|
||||
error_reporting(E_ALL);
|
||||
|
||||
// 兜底：捕获致命错误时也不要向页面输出堆栈（生产环境）
|
||||
if (!defined('FB_BOOTSTRAPPED')) {
|
||||
define('FB_BOOTSTRAPPED', 1);
|
||||
}
|
||||
|
||||
// 后台改设置后自增，用来让 fb_cfg 的进程内缓存失效
|
||||
if (!isset($GLOBALS['__fb_cfg_stamp'])) {
|
||||
$GLOBALS['__fb_cfg_stamp'] = 0;
|
||||
}
|
||||
|
||||
if (!function_exists('fb_cfg')) {
|
||||
/**
|
||||
* 只读【配置文件】的值（config.php → config.example.php），
|
||||
* **不叠加 settings 表、绝不触达数据库**。
|
||||
*
|
||||
* 为什么必须单独有这么一条通道：正常的 fb_cfg() 会去读 settings 表，
|
||||
* 而读表要先 fb_db() —— 那一步会就地建出一个空数据库文件。
|
||||
* 「是否已安装」的判定恰恰以「数据库文件在不在」为依据，
|
||||
* 所以判定必须走这条不碰库的路径，否则第一秒就把安装态自己造出来了。
|
||||
*/
|
||||
function fb_cfg_file() {
|
||||
static $file = null;
|
||||
static $stamp = -1;
|
||||
$now = isset($GLOBALS['__fb_cfg_stamp']) ? (int)$GLOBALS['__fb_cfg_stamp'] : 0;
|
||||
if ($file === null || $stamp !== $now) {
|
||||
$local = FB_ROOT . '/config.php';
|
||||
$example = FB_ROOT . '/config.example.php';
|
||||
if (is_file($local)) { $file = (array)(require $local); }
|
||||
elseif (is_file($example)) { $file = (array)(require $example); }
|
||||
else { $file = []; }
|
||||
$stamp = $now;
|
||||
}
|
||||
return $file;
|
||||
}
|
||||
|
||||
/**
|
||||
* 读取配置（点分路径，如 fb_cfg('smtp.host')）
|
||||
* 取值顺序：settings 表（后台改过的）> config.php（本地配置）> config.example.php（出厂默认）> $default
|
||||
*
|
||||
* config.php 不参与版本管理（见 .gitignore），新部署时可从 config.example.php 复制一份；
|
||||
* 若不存在则直接以 config.example.php 为默认值运行，保证 clone 下来即可跑。
|
||||
*/
|
||||
function fb_cfg($path = null, $default = null) {
|
||||
static $merged = null;
|
||||
static $stamp = -1;
|
||||
$now = isset($GLOBALS['__fb_cfg_stamp']) ? (int)$GLOBALS['__fb_cfg_stamp'] : 0;
|
||||
if ($merged === null || $stamp !== $now) {
|
||||
$cfg = fb_cfg_file();
|
||||
// 后台设置以嵌套数组形式叠加在文件配置之上（只覆盖同名键）
|
||||
$tree = function_exists('fb_setting_tree') ? fb_setting_tree() : [];
|
||||
$merged = is_array($tree) && $tree ? array_replace_recursive($cfg, $tree) : $cfg;
|
||||
$stamp = $now;
|
||||
}
|
||||
if ($path === null || $path === '') { return $merged; }
|
||||
$cur = $merged;
|
||||
foreach (explode('.', (string)$path) as $k) {
|
||||
if (is_array($cur) && array_key_exists($k, $cur)) {
|
||||
$cur = $cur[$k];
|
||||
} else {
|
||||
return $default;
|
||||
}
|
||||
}
|
||||
return $cur;
|
||||
}
|
||||
}
|
||||
|
||||
/** 让 fb_cfg() 的进程内缓存失效（改了磁盘上的 config.php 后必须调用） */
|
||||
function fb_cfg_flush() {
|
||||
$GLOBALS['__fb_cfg_stamp'] = ((int)$GLOBALS['__fb_cfg_stamp']) + 1;
|
||||
}
|
||||
|
||||
require_once FB_ROOT . '/lib/util.php';
|
||||
require_once FB_ROOT . '/lib/db.php';
|
||||
require_once FB_ROOT . '/lib/oss.php';
|
||||
require_once FB_ROOT . '/lib/attach.php';
|
||||
require_once FB_ROOT . '/lib/captcha.php';
|
||||
require_once FB_ROOT . '/lib/mailer.php';
|
||||
require_once FB_ROOT . '/lib/layout.php';
|
||||
|
||||
/* ------------------------------------------------------------------
|
||||
* 安装引导：数据库还没生成（data/ 下没数据）就说明是全新部署，
|
||||
* 一律先送去 install.php 填配置、建库、设口令，装完才进系统。
|
||||
* 判据只看「数据库文件在不在」——绝不能在这里调 fb_db()，
|
||||
* 因为那会就地建出一个空库、把安装态自己"装"出来，之后就再也进不了向导。
|
||||
* ------------------------------------------------------------------ */
|
||||
if (!defined('FB_SKIP_INSTALL_REDIRECT') && !fb_installed()) {
|
||||
if (PHP_SAPI === 'cli') {
|
||||
fwrite(STDERR, "FeedLite 尚未安装：请先在浏览器中打开本目录下的 install.php 完成安装。\n");
|
||||
exit(1);
|
||||
}
|
||||
fb_redirect('install.php');
|
||||
}
|
||||
|
||||
// 会话（CLI 下不启用）
|
||||
if (PHP_SAPI !== 'cli' && session_status() !== PHP_SESSION_ACTIVE) {
|
||||
$p = session_get_cookie_params();
|
||||
$https = (!empty($_SERVER['HTTPS']) && strtolower((string)$_SERVER['HTTPS']) !== 'off');
|
||||
@session_set_cookie_params([
|
||||
'lifetime' => 0,
|
||||
'path' => !empty($p['path']) ? $p['path'] : '/',
|
||||
'domain' => '',
|
||||
'secure' => $https,
|
||||
'httponly' => true,
|
||||
'samesite' => 'Lax',
|
||||
]);
|
||||
@session_start();
|
||||
}
|
||||
|
||||
// 初始化数据库（建表）。
|
||||
// ★ 只在【已安装】时做：未安装就建库，等于第一秒把这个状态自己抹掉，
|
||||
// 安装向导（install.php）随后就会被判定成「已经装好了」而拒绝工作。
|
||||
// install.php 在真正提交安装时会自己显式调用 fb_db()。
|
||||
if (fb_installed()) {
|
||||
fb_db();
|
||||
// 顺手确保 uploads/ 目录与「禁止直读」规则在位且为最新版（local / oss 都需要）。
|
||||
// ⚠️ 为什么放在这里：老站点上早已存在的旧版 .htaccess（曾允许直读）不会自己更新，
|
||||
// 而部署账号通常对 uploads/ 无写权限 —— 只有 PHP（目录属主）能改。
|
||||
// 函数内部只在「文件缺失或版本标记过期」时才写盘，命中后每次请求几乎零开销。
|
||||
if (function_exists('fb_local_ensure_dir')) {
|
||||
fb_local_ensure_dir();
|
||||
}
|
||||
}
|
||||
+1
-1
@@ -8,7 +8,7 @@ if (!defined('FB_ROOT')) {
|
||||
define('FB_ROOT', dirname(__DIR__));
|
||||
// 静态资源版本号：改 assets/ 下的 css/js 后把这个数字 +1，
|
||||
// 让浏览器与 CDN 缓存失效。全站只此一处，别再往页面里写死数字。
|
||||
if (!defined('FB_ASSET_V')) { define('FB_ASSET_V', 30); }
|
||||
if (!defined('FB_ASSET_V')) { define('FB_ASSET_V', 31); }
|
||||
}
|
||||
|
||||
/* ------------------------------------------------------------------
|
||||
|
||||
+50
-37
@@ -61,7 +61,7 @@ if (!fb_thread_viewable($thread)) {
|
||||
exit;
|
||||
}
|
||||
|
||||
$statuses = fb_status_keys();
|
||||
|
||||
$err = '';
|
||||
$atts = [];
|
||||
$form = ['name' => '', 'email' => '', 'body' => '', 'captcha' => ''];
|
||||
@@ -81,14 +81,27 @@ if ($_SERVER['REQUEST_METHOD'] === 'POST') {
|
||||
$form['name'] = trim(isset($_POST['name']) ? (string)$_POST['name'] : '');
|
||||
$form['email'] = trim(isset($_POST['email']) ? (string)$_POST['email'] : '');
|
||||
$form['body'] = trim(isset($_POST['body']) ? (string)$_POST['body'] : '');
|
||||
|
||||
/* 🔴 带 token（= 提交人本人）时，身份以库里那条帖子为准，**不采信 POST**。
|
||||
* 前端已经把这两个字段设成 hidden 了，但 hidden 是可以被改的：
|
||||
* 谁拿到链接、改个 email 提交，这条反馈的联系人就变成他的了。
|
||||
* 身份校验必须在服务端做，不能只靠前端不给输入框。 */
|
||||
if ($isOwnerView) {
|
||||
$form['name'] = (string)$thread['author_name'];
|
||||
$form['email'] = (string)$thread['author_email'];
|
||||
}
|
||||
|
||||
$capInput = isset($_POST['captcha']) ? (string)$_POST['captcha'] : '';
|
||||
$adminPw = isset($_POST['admin_password']) ? (string)$_POST['admin_password'] : '';
|
||||
$hp = trim(isset($_POST['website']) ? (string)$_POST['website'] : '');
|
||||
$t0 = isset($_POST['t0']) ? (int)$_POST['t0'] : 0;
|
||||
|
||||
list($attOk, $attList, $attErr) = fb_attach_parse(isset($_POST['attachments']) ? $_POST['attachments'] : '');
|
||||
|
||||
$isAdmin = ($adminPw !== '' && fb_admin_verify_password($adminPw));
|
||||
/* 管理员身份只认「后台登录态」，不再从回复表单收口令。
|
||||
* 用户 2026-11-03：「管理员口令、处理状态都不要填了，
|
||||
* 用户进来之后就没有这些东西，只保留回复内容 + 人机验证」。
|
||||
* 状态流转在后台详情页那排按钮里做，不该混在公开的回复框里。 */
|
||||
$isAdmin = fb_is_admin();
|
||||
|
||||
if (!fb_csrf_ok(isset($_POST['csrf']) ? $_POST['csrf'] : '')) {
|
||||
$err = '会话已过期，请重新提交。';
|
||||
@@ -127,18 +140,10 @@ if ($_SERVER['REQUEST_METHOD'] === 'POST') {
|
||||
$replyId = (int)$pdo->lastInsertId();
|
||||
fb_attach_save($pdo, $id, $replyId, $vList);
|
||||
|
||||
// 更新主题：回复数 +1、活跃时间；管理员可同时调整状态
|
||||
$newStatus = null;
|
||||
if ($isAdmin && isset($_POST['status']) && isset($statuses[(string)$_POST['status']])) {
|
||||
$newStatus = (string)$_POST['status'];
|
||||
}
|
||||
if ($newStatus !== null) {
|
||||
$upd = $pdo->prepare('UPDATE threads SET reply_count = reply_count + 1, updated_at = ?, status = ? WHERE id = ?');
|
||||
$upd->execute([$now, $newStatus, $id]);
|
||||
} else {
|
||||
$upd = $pdo->prepare('UPDATE threads SET reply_count = reply_count + 1, updated_at = ? WHERE id = ?');
|
||||
$upd->execute([$now, $id]);
|
||||
}
|
||||
/* 更新主题：回复数 +1、活跃时间。
|
||||
* 回复框不再承担改状态的职责 —— 状态流转在后台详情页那排按钮里做。 */
|
||||
$upd = $pdo->prepare('UPDATE threads SET reply_count = reply_count + 1, updated_at = ? WHERE id = ?');
|
||||
$upd->execute([$now, $id]);
|
||||
fb_rate_hit('reply');
|
||||
|
||||
// 发送通知邮件给发帖人
|
||||
@@ -252,14 +257,36 @@ fb_layout_head(fb_excerpt($thread['title'], 50), ['software' => $thSwForColor]);
|
||||
</div>
|
||||
|
||||
<div class="row2">
|
||||
<label class="field">
|
||||
<span>昵称 <b class="req">*</b></span>
|
||||
<input type="text" name="name" maxlength="24" value="<?php echo e($form['name']); ?>" placeholder="怎么称呼您" required>
|
||||
</label>
|
||||
<label class="field" id="emailField">
|
||||
<span>邮箱 <b class="req">*</b><i class="hint">仅用于接收回复通知，不会公开</i></span>
|
||||
<input type="email" name="email" maxlength="120" value="<?php echo e($form['email']); ?>" placeholder="you@example.com" required>
|
||||
</label>
|
||||
<?php if ($isOwnerView): ?>
|
||||
<?php /* 带 token 进来 = 已经证明是提交人本人。
|
||||
*
|
||||
* 🔴 昵称/邮箱在这里**只读**，理由：
|
||||
* 1. token 就是身份凭证，再让他在表单里声明一次身份，自相矛盾；
|
||||
* 2. 邮箱是唯一能联系到提交人的途径。如果能随手改，
|
||||
* 谁拿到这条链接，填个自己的邮箱，后续所有通知就归他了 ——
|
||||
* 等于把这条反馈「过户」给别人，我们再也找不到原作者。
|
||||
* 要改联系方式，是另一件事（见下方说明），不该藏在回复框里顺手改掉。 */ ?>
|
||||
<div class="field">
|
||||
<span>回复身份</span>
|
||||
<div class="reply-identity">
|
||||
<span class="reply-identity-nm"><?php echo e((string)$thread['author_name']); ?></span>
|
||||
<span class="reply-identity-mail"><?php echo e((string)$thread['author_email']); ?></span>
|
||||
</div>
|
||||
<i class="hint">这是您提交时用的身份。回复会以它显示，通知也会发到这个邮箱。</i>
|
||||
</div>
|
||||
<?php /* 表单仍要带这两个值，服务端才能落库；但不给用户改的机会 */ ?>
|
||||
<input type="hidden" name="name" value="<?php echo e((string)$thread['author_name']); ?>">
|
||||
<input type="hidden" name="email" value="<?php echo e((string)$thread['author_email']); ?>">
|
||||
<?php else: ?>
|
||||
<label class="field">
|
||||
<span>昵称 <b class="req">*</b></span>
|
||||
<input type="text" name="name" maxlength="24" value="<?php echo e($form['name']); ?>" placeholder="怎么称呼您" required>
|
||||
</label>
|
||||
<label class="field" id="emailField">
|
||||
<span>邮箱 <b class="req">*</b><i class="hint">仅用于接收回复通知，不会公开</i></span>
|
||||
<input type="email" name="email" maxlength="120" value="<?php echo e($form['email']); ?>" placeholder="you@example.com" required>
|
||||
</label>
|
||||
<?php endif; ?>
|
||||
</div>
|
||||
|
||||
<label class="field">
|
||||
@@ -280,20 +307,6 @@ fb_layout_head(fb_excerpt($thread['title'], 50), ['software' => $thSwForColor]);
|
||||
</label>
|
||||
</div>
|
||||
|
||||
<label class="field admin-pw">
|
||||
<span>管理员口令 <i class="hint">选填；填写后将以「官方」身份回复</i></span>
|
||||
<input type="password" name="admin_password" value="" autocomplete="off" placeholder="管理员专用">
|
||||
</label>
|
||||
|
||||
<div class="field admin-status" hidden>
|
||||
<span>处理状态 <i class="hint">仅管理员可见</i></span>
|
||||
<select name="status">
|
||||
<?php foreach ($statuses as $k => $v): ?>
|
||||
<option value="<?php echo e($k); ?>" <?php echo $thread['status'] === $k ? 'selected' : ''; ?>><?php echo e($v); ?></option>
|
||||
<?php endforeach; ?>
|
||||
</select>
|
||||
</div>
|
||||
|
||||
<div class="form-actions">
|
||||
<button class="btn primary" type="submit">提交回复</button>
|
||||
</div>
|
||||
|
||||
Reference in New Issue
Block a user