 laoyang
|
5006d54be3
|
附件读取统一走 media.php 代理，真实地址不再暴露
无论附件存在本机 uploads/ 还是 OSS 私有桶，前台给浏览器的地址现在完全一致：
media.php?k=<对象键>。界面上不再出现 uploads/ 真实路径，也不出现任何 bucket /
endpoint / 签名痕迹。
- lib/attach.php：新增 fb_attach_proxy_url()，fb_attach_url() 与
fb_attach_thumb_url() 的本机分支一并改走代理（地址不落库、渲染现算，
对历史附件立即生效，无需迁移）。
- uploads/ 整目录禁止 Web 直读：附件只能经 media.php 出，真实物理路径
即便被猜到也取不到，同时绕不开 media.php 的可见性鉴权。
- 规则版本化自动升级：.htaccess 内埋 `# fb-local-guard: vN`，
旧版规则在任意请求时由 PHP（目录属主）整份重写。之所以不能靠部署覆盖：
部署账号对 uploads/ 无写权限，只有程序自己能改。
- 随包 uploads/.htaccess 改为程序产出的逐字节副本，并加断言防漂移
（否则线上会被自动升级覆盖，随包那份形同虚设）。
- 顺带修复真实源码泄漏：config.php.bak_<时间戳> 这类「非 .php 结尾、
但含源码」的备份文件此前可被公开下载。加固根 .htaccess：
去掉正则结尾锚点、补 .php[.\-_] 兜底、点名拒绝 config.php / oss.sts.php。
- media.php / upload.php / admin.php / README.md：文档与响应头同步。
验证：php -l 19 文件 0 失败；主回归 25/25、附件专项 22/22、安装向导 60/60、
统一代理渲染 7/7、反向验证 V1-V4 全被抓住；线上冒烟 30/30、
线上统一代理真机 13/13（OSS 私有桶 + 内网 endpoint 下上传→代理读回→
Range 206→伪造键 403）。
|
2026-09-28 23:33:45 +08:00 |
|
|
laoyang
|
27187b38f1
|
页脚入口与安装向导；加固管理员口令存储
需求落实：
1. 页脚常驻「管理后台」链接，不用再手敲 admin.php。
2. 页脚「由 FeedLite 驱动」中的 FeedLite 改为超链接（指向开源仓库）；
后台新增「页脚」设置组，可关闭整句（关闭后只留管理后台链接），也可改链接地址。
3. 管理员口令存储方式在后台如实展示：数据库 settings.admin.password_hash，
存 bcrypt 单向哈希（不可逆），明文不落盘。
4. 新增安装向导 install.php：data/ 下没有数据库时自动 302 引导；
体检环境 -> 填站点信息与口令 -> 生成 config.php -> 建库建表 -> 完成。
顺带修掉一个真实安全隐患：
config.php 里的出厂占位口令 CHANGE_ME_admin 原先可被当作有效口令登录后台
（等于公开仓库里就写着线上后门口令）。现改为占位/空值一律拒绝，
未设口令时后台明确提示去安装向导，不再含糊报「口令不正确」。
实现要点：
- 新增 fb_cfg_file()：只读配置文件、不叠加 settings 表、绝不触达数据库。
「是否已安装」以数据库文件是否存在为判据，而 fb_cfg() 读 settings 会触发
fb_db() 就地建库 —— 那会把安装态自己造出来，所以判定必须走不碰库的通道。
- bootstrap 只在已安装时建库；未安装则 302 到 install.php（CLI 下报错退出）。
- fb_settings_flat() 在未安装时直接返回空，杜绝任何隐式建库。
- install.php 用文本级替换生成 config.php，保留全部注释与 OSS/SMTP 段落；
生成的 PHP 用 token_get_all(TOKEN_PARSE) 校验后才落盘。
- 页脚链接只放行 http/https，后台保存时校验（防 javascript: 伪协议）。
- style.css 页脚行改 flex，版本号 v6 -> v7。
验证：
- php -l 全量通过；现有回归 25/25、附件专项 13/13 保持通过。
- 安装向导专项 60/60（含「明文口令未写入任何文件」「数据库字节里搜不到明文」）。
- 反向验证：撤销三处修复后对应断言确实失败（断言非装饰）。
- 几何检查：本机 15/15 + 页脚专项全过；线上真实 URL 15/15 + 页脚专项全过。
- 线上真机冒烟 22/22。
|
2026-09-28 22:53:55 +08:00 |
|
|
laoyang
|
cede838b5e
|
FeedLite 初始提交：通用轻量级反馈系统（PHP + SQLite，零依赖）
- 前台：问题列表 / 详情 / 发布与回复（趣味问答验证码、蜜罐、IP 限流）
- 后台：先审后显、站点设置（站点标题/描述、附件存储、OSS 参数）、操作日志
- 附件：关闭 / 本机硬盘 / 阿里云 OSS 浏览器直传（ECS 实例 RAM 角色）三种模式
- 品牌资源：全套图标（favicon.ico / SVG / PNG 各尺寸 / manifest）
- 安全：CSRF、session 加固、.htaccess 屏蔽敏感文件、口令仅存哈希
- 配置：config.example.php 为模板，config.php 不入库
|
2026-09-28 20:34:37 +08:00 |
|