diff --git a/admin.php b/admin.php
index 6a393a8..0846083 100644
--- a/admin.php
+++ b/admin.php
@@ -25,21 +25,26 @@ if (isset($_GET['logout'])) {
/* ---------------- 登录 ---------------- */
$loginErr = '';
if ($_SERVER['REQUEST_METHOD'] === 'POST' && isset($_POST['login'])) {
- $pw = isset($_POST['admin_password']) ? (string)$_POST['admin_password'] : '';
- $cs = isset($_POST['csrf']) ? (string)$_POST['csrf'] : '';
+ $user = isset($_POST['admin_user']) ? (string)$_POST['admin_user'] : '';
+ $pw = isset($_POST['admin_password']) ? (string)$_POST['admin_password'] : '';
+ $cs = isset($_POST['csrf']) ? (string)$_POST['csrf'] : '';
if (!fb_csrf_ok($cs)) {
$loginErr = '会话已过期，请重试。';
} elseif (!fb_rate_check('admin_login', 10)) {
$loginErr = '尝试次数过多，请一小时后再试。';
- } elseif (!fb_admin_password_is_set()) {
- $loginErr = '本系统还没有设置登录口令，请先运行安装向导（install.php）完成设置。';
- } elseif ($pw !== '' && fb_admin_verify_password($pw)) {
- fb_admin_login();
- fb_mod_log('login');
- fb_redirect('admin.php');
} else {
- fb_rate_hit('admin_login');
- $loginErr = '口令不正确。';
+ $rc = fb_admin_verify_login($user, $pw);
+ if ($rc === 0) {
+ fb_admin_login();
+ fb_mod_log('login');
+ fb_redirect('admin.php');
+ } elseif ($rc === 2) {
+ $loginErr = '本系统还没有配置管理员账号，请先运行安装向导（install.php）完成设置。';
+ } else {
+ fb_rate_hit('admin_login');
+ // 不区分「用户名错」还是「口令错」，避免被用来探测账号
+ $loginErr = '用户名或口令不正确。';
+ }
}
}
@@ -49,13 +54,21 @@ if (!fb_admin_logged_in()) {
管理登录
- 请输入管理员口令（当前仍是 config.php 里的 admin_password 明文，登录后请到「站点设置」改成加密存储）。
+ 请输入管理员用户名与口令（当前口令仍是 config.php 里的明文，登录后请到「站点设置」改成加密存储）。
-
+
+
+
+ 本站只设了口令、没有用户名（旧版安装）。请运行
install.php 补一个用户名；在那之前用户名可留空、只填口令。
安装完成 🎉
- 已生成 config.php、建好数据库表。下面是接下来要做的两件事：
+ 安装完成
+ 已建好数据库、写入站点设置。2 秒后自动进入首页（也可点下方按钮）。
+
+
- 进入问题列表
+ 进入首页
管理后台
@@ -323,57 +336,54 @@ if (isset($_POST['do_install'])) {
- 二、填写站点信息
+ 二、初始化站点
diff --git a/lib/util.php b/lib/util.php
index 13d6c5c..874149e 100644
--- a/lib/util.php
+++ b/lib/util.php
@@ -300,6 +300,7 @@ function fb_setting_keys() {
'oss.verify', 'oss.image_process', 'oss.use_internal_endpoint',
'moderation.enabled', 'moderation.close_mail_subject',
'admin.password_hash',
+ 'admin.username',
];
}
@@ -452,6 +453,51 @@ function fb_admin_set_password($pw) {
return fb_set_setting('admin.password_hash', password_hash((string)$pw, PASSWORD_DEFAULT));
}
+/* ---------------- 管理员账号（用户名 + 口令） ----------------
+ * 用户名存数据库（admin.username），口令存 bcrypt 哈希（admin.password_hash）。
+ * 两者缺一不可：用户名不存在时也照常走一次 password_verify，避免用响应快慢探测账号。
+ */
+
+/** 管理员用户名；没设过返回空串 */
+function fb_admin_username() {
+ return trim((string)fb_setting('admin.username', ''));
+}
+
+/** 设置管理员用户名 */
+function fb_admin_set_username($name) {
+ $name = trim((string)$name);
+ if ($name === '') { return false; }
+ return fb_set_setting('admin.username', $name);
+}
+
+/** 账号是否已配置（用户名 + 口令都在） */
+function fb_admin_account_ready() {
+ return fb_admin_username() !== '' && fb_admin_password_is_set();
+}
+
+/**
+ * 校验账号口令。
+ * @return int 0=通过 1=账号或口令不对 2=还没配置账号
+ */
+function fb_admin_verify_login($user, $pw) {
+ $user = trim((string)$user);
+ $pw = (string)$pw;
+ $u = fb_admin_username();
+
+ if ($u === '' && !fb_admin_password_is_set()) { return 2; }
+
+ // 用户名没配过（老部署只设了口令）：只比口令，向后兼容
+ if ($u === '') {
+ return fb_admin_verify_password($pw) ? 0 : 1;
+ }
+
+ $hash = (string)fb_setting('admin.password_hash', '');
+ // 用户名不对也照常跑一次哈希校验，保持耗时一致
+ $pwOk = $hash !== '' ? password_verify($pw, $hash) : fb_admin_verify_password($pw);
+ $uOk = hash_equals($u, $user);
+ return ($uOk && $pwOk) ? 0 : 1;
+}
+
/**
* 关闭一个 curl 句柄（跨版本安全）。
* --------------------------------------------------------------