 laoyang
|
23772b37ab
|
安装体检：把 fileinfo 列为推荐扩展
新装一套 PHP（尤其宝塔里的 8.5）时 fileinfo 常常默认没开，此时
上传的类型校验只能按「扩展名 + 浏览器声明的 MIME」核对。代码本身
有回落链、不会报错，但用户无从得知这层弱化，因此在安装体检里显式
列出，并说明开启后的收益。
- install.php：可选扩展支持 [说明, 缺失文案, 补救提示] 三元组
- README：扩展清单补 fileinfo，并提示换 PHP 版本后要复查一次
|
2026-10-23 08:42:47 +08:00 |
|
|
laoyang
|
6135e7b890
|
兼容 PHP 8.5：消除全部弃用调用
PHP 8.5 把 curl_close()/finfo_close() 这类"空操作函数"标为弃用，
并把预定义局部变量 http_response_header 标为弃用（编译期判定，@ 与三元短路都压不住）。
- 句柄关闭收进 fb_curl_close()/fb_finfo_close()：仅 PHP < 8.0 真正调用，
新版本直接跳过（8.0 起句柄随引用计数释放），保留 7.4 兼容
- 响应头读取改用 http_get_last_response_headers()（8.4+）；
老版本经 get_defined_vars() 从作用域变量表取，源码不再出现已弃用标识符
- 新 API 是全局状态，用「请求前基线」比对，避免把上一次的残留头当成本次结果
- 安装体检与 README 的推荐版本区间更新为 8.1~8.5
验证：PHP 8.5.12 下五套测试全绿（25/25、22/22、60/60、7/7、反向 4 组全被抓住），
error_log 零条弃用记录；PHP 8.4.25 同样全绿。
|
2026-10-23 08:23:55 +08:00 |
|
|
laoyang
|
27187b38f1
|
页脚入口与安装向导；加固管理员口令存储
需求落实：
1. 页脚常驻「管理后台」链接，不用再手敲 admin.php。
2. 页脚「由 FeedLite 驱动」中的 FeedLite 改为超链接（指向开源仓库）；
后台新增「页脚」设置组，可关闭整句（关闭后只留管理后台链接），也可改链接地址。
3. 管理员口令存储方式在后台如实展示：数据库 settings.admin.password_hash，
存 bcrypt 单向哈希（不可逆），明文不落盘。
4. 新增安装向导 install.php：data/ 下没有数据库时自动 302 引导；
体检环境 -> 填站点信息与口令 -> 生成 config.php -> 建库建表 -> 完成。
顺带修掉一个真实安全隐患：
config.php 里的出厂占位口令 CHANGE_ME_admin 原先可被当作有效口令登录后台
（等于公开仓库里就写着线上后门口令）。现改为占位/空值一律拒绝，
未设口令时后台明确提示去安装向导，不再含糊报「口令不正确」。
实现要点：
- 新增 fb_cfg_file()：只读配置文件、不叠加 settings 表、绝不触达数据库。
「是否已安装」以数据库文件是否存在为判据，而 fb_cfg() 读 settings 会触发
fb_db() 就地建库 —— 那会把安装态自己造出来，所以判定必须走不碰库的通道。
- bootstrap 只在已安装时建库；未安装则 302 到 install.php（CLI 下报错退出）。
- fb_settings_flat() 在未安装时直接返回空，杜绝任何隐式建库。
- install.php 用文本级替换生成 config.php，保留全部注释与 OSS/SMTP 段落；
生成的 PHP 用 token_get_all(TOKEN_PARSE) 校验后才落盘。
- 页脚链接只放行 http/https，后台保存时校验（防 javascript: 伪协议）。
- style.css 页脚行改 flex，版本号 v6 -> v7。
验证：
- php -l 全量通过；现有回归 25/25、附件专项 13/13 保持通过。
- 安装向导专项 60/60（含「明文口令未写入任何文件」「数据库字节里搜不到明文」）。
- 反向验证：撤销三处修复后对应断言确实失败（断言非装饰）。
- 几何检查：本机 15/15 + 页脚专项全过；线上真实 URL 15/15 + 页脚专项全过。
- 线上真机冒烟 22/22。
|
2026-09-28 22:53:55 +08:00 |
|