diff --git a/README.md b/README.md index ab45263..c3daff5 100644 --- a/README.md +++ b/README.md @@ -19,6 +19,15 @@ - **多图上传**：观影照片支持一次选择多张。 - **头像兜底**：未上传头像的观影人自动生成"首字母 + 配色"的 SVG 头像，配色由姓名哈希决定，同名同色。 - 上传目录按类型分离：`uploads/posters/`、`uploads/tickets/`、`uploads/photos/`、`uploads/avatars/`。 +- **破图兜底**：图片加载失败时由前端脚本替换为内联占位图，避免会话过期或权限异常时满屏破图刷屏控制台。 + +### 图片存储（本地 / 云对象存储） +- **四种存储后端**：本地硬盘（默认）、阿里云 OSS、腾讯云 COS、七牛云 Kodo，在「系统设置」页切换，**无需改代码**。 +- **免密钥鉴权**：部署在阿里云 ECS / 腾讯云 CVM 上时，可直接绑定 RAM/CAM 角色读取实例元数据获取临时凭据，**不必在站内保存长期密钥**。 +- **本地优先读取**：数据库里只存相对对象键（如 `uploads/posters/xxx.webp`）；本地存在就本地读，否则读云端。**因此切换存储方式不会影响已有图片**，迁移可以慢慢来。 +- **内容指纹命名**：文件名为 `md5(内容)前 12 位_6 位随机[_角色].ext`，内容不变则名字不变，可以放心下长缓存。 +- **一键迁移**：把已有本地图片上传到云端并自动改写数据库引用（分批执行、带进度、幂等可重入）。 +- **两种图片访问方式**：**直连存储**（浏览器直接访问对象存储）与**服务端代理**（经本站 `media.php` 鉴权后由服务器读取回吐，**桶可保持私有**）。两者的取舍与配置见下文《图片存储与对象存储》。 ### 信息辅助 - **OMDb 自动获取**：在添加页输入片名后点击「📡 自动获取」，自动填充年份、类型、片长、导演、主演、IMDb 评分与剧情简介，并预览海报（海报仅供参考，仍需本地上传）。 @@ -72,6 +81,15 @@ MovieLog_Server/ ├── lib/ # 功能模块（被 config.php 统一引入，页面无需单独 require） │ ├── db.php # DB 连接、建表、字段与历史数据迁移、默认管理员 │ ├── helpers.php # 输出转义、文件名、颜色校验、上传/删除文件、图片 URL +│ ├── settings.php # 系统设置读写；云厂商密钥以 enc:v1:gcm 密文落库 +│ ├── storage.php # 存储门面：本地优先读取、URL 生成、上传/删除、迁移、代理读取 +│ ├── storage/ # 各存储后端驱动 +│ │ ├── local.php # 本地硬盘 +│ │ ├── oss.php # 阿里云 OSS（签名 V1，支持 RAM 角色免密钥 / 内网 endpoint） +│ │ ├── cos.php # 腾讯云 COS +│ │ ├── qiniu.php # 七牛云 Kodo +│ │ ├── http.php # 共用 HTTP 客户端（cURL）与签名/编码工具 +│ │ └── meta.php # 实例元数据鉴权（ECS RAM 角色 / CVM CAM 角色）与本机地域查询 │ ├── auth.php # 登录校验、管理员账号增删改 │ ├── movies.php # 电影/影院读取、搜索，以及表单关联数据的解析 │ └── stats.php # 统计仪表板与年度报告查询 @@ -91,10 +109,13 @@ MovieLog_Server/ ├── login.php # 登录 ├── logout.php # 退出 ├── nav.php # 导航栏组件（被各页面 include） +├── settings.php # 系统设置页：存储后端选择、图片访问方式、连接测试、迁移 +├── storage_api.php # 存储维护接口（stat / migrate / test），返回 JSON +├── media.php # 服务端图片代理：鉴权后由服务器读取对象并同源回吐 ├── fetch_movie.php # OMDb 代理接口，返回 JSON ├── test_crop.php # 开发调试页：验证 Base64 图片落盘是否正常 ├── css/style.css # 全局样式 -├── js/main.js # 公共脚本（含各页面共用的表单联动函数） +├── js/main.js # 公共脚本（含各页面共用的表单联动函数、破图兜底） ├── assets/.gitkeep # 静态占位资源目录 ├── db/movies.db # SQLite 数据库（运行时自动生成，不纳入版本控制） └── uploads/ # 上传图片（运行时自动生成，不纳入版本控制） @@ -110,7 +131,7 @@ MovieLog_Server/ ## 数据库结构 -建表逻辑集中在 `config.php` 的 `initDB()`，每次请求都会执行 `CREATE TABLE IF NOT EXISTS` 与幂等的 `ALTER TABLE` 迁移，因此**升级代码无需手动改库**。 +建表逻辑集中在 `lib/db.php` 的 `initDB()`（由 `config.php` 在每次请求引导时调用），每次请求都会执行 `CREATE TABLE IF NOT EXISTS` 与幂等的 `ALTER TABLE` 迁移，因此**升级代码无需手动改库**。 | 表 | 作用 | 关键字段 | | --- | --- | --- | @@ -120,6 +141,15 @@ MovieLog_Server/ | `persons` | 观影人 | `name`（唯一）、`color`、`avatar` | | `viewers` | 电影 ↔ 观影人关联 | `movie_id`、`person_id`、`name`（历史遗留字段） | | `movie_photos` | 电影多图 | `movie_id`、`photo_path`、`created_at` | +| `settings` | 键值配置与缓存 | `name`（唯一）、`value`。存存储驱动选择、各云厂商配置、图片访问方式等；**云厂商密钥以 `enc:v1:gcm:` 前缀密文落库**（密钥文件 `db/.settings.key`，首次保存时自动生成，**丢失后密文不可恢复**） | + +`settings` 中除配置外的运行时缓存键（都可安全清空，程序会自动重建）： + +| 键 | 含义 | 有效期 | +| --- | --- | --- | +| `cache_meta_aliyun` / `cache_meta_tencent` | 实例角色换来的临时凭据 | 到期前 5 分钟失效 | +| `cache_ecs_region` | 本机 ECS 所在地域（用于判断内网 endpoint 是否可用） | 1 小时 | +| `cache_oss_internal` | 内网 endpoint 可用性判定结论 | 可用 1 小时 / 不可用 30 分钟 | 外键约束：`movies.cinema_id → cinemas.id`（`ON DELETE SET NULL`）、`viewers.movie_id → movies.id`（`ON DELETE CASCADE`）、`movie_photos.movie_id → movies.id`（`ON DELETE CASCADE`）。 @@ -133,6 +163,10 @@ MovieLog_Server/ - PHP 7.4+（推荐 8.x），需启用扩展：`pdo_sqlite`、`fileinfo`、`mbstring`、`curl` - Web 服务器：Apache / Nginx / PHP 内置服务器均可 +- **使用对象存储时额外需要**： + - `curl` 扩展可用，且系统存在可信 CA 证书（`/etc/ssl/certs/ca-certificates.crt`、`/etc/pki/tls/certs/ca-bundle.crt` 等常见路径之一）。找不到 CA 时程序会回退给 curl 自行处理，但部分精简系统需要手动安装 `ca-certificates`，否则 HTTPS 访问对象存储会失败。 + - 若使用「实例角色（免密钥）」鉴权：服务器需运行在对应云上，且实例已绑定 RAM（阿里云）/ CAM（腾讯云）角色。 +- **`settings.php` 会写入 `db/`**：请确保 Web 用户对 `db/` 有写权限（密钥文件 `db/.settings.key` 首次保存时在此生成）。 ### 步骤 @@ -160,7 +194,7 @@ php -S localhost:8000 # 浏览器访问 http://localhost:8000/login.php ``` -> 用 PHP 内置服务器时，`config.php` 中 `posterUrl()` 等函数返回的是以 `/` 开头的根路径，建议直接从项目根目录启动，或通过站点根目录访问。 +> 用 PHP 内置服务器时，`posterUrl()`（`lib/helpers.php`）与 `storageUrl()`（`lib/storage.php`）返回的是以 `/` 开头的站点绝对路径（如 `/uploads/posters/xxx.webp`），建议从项目根目录启动，或通过站点根目录访问。 ### Nginx 参考配置 @@ -227,6 +261,19 @@ CSV **共 9 列，顺序固定**： 阿甘正传, , 万达影城, 2024-01-15, 张三 李四, (电影票/阿甘正传.jpg), (海报/阿甘正传.jpg), 经典励志片, (合影/阿甘正传.jpg) ``` +### 把图片放到对象存储（可选） + +不改也能用（默认本地硬盘）。想用云存储时： + +1. 进入**系统设置**，选择存储后端（阿里云 OSS / 腾讯云 COS / 七牛云 Kodo），填写 Bucket、Endpoint、对象前缀等。 +2. 选择鉴权方式： + - **实例角色（免密钥，推荐）**：服务器在对应云上并绑定了角色时选它，不用在站内保存任何长期密钥。 + - **AccessKey**：手动填写密钥，入库即加密。 +3. 点**测试连通性**——它会执行「写入探针 → **读回校验** → 删除探针」，因此**同时验证了写和读两条链路**，并会明确报出内网 endpoint 的判定结论。 +4. 选择**图片访问方式**（直连存储 / 服务端代理），两个选项的取舍见《图片存储与对象存储》§2。 +5. 需要的话点**迁移**，把已有本地图片搬到云端（分批、可重入，建议先备份 `db/` 与 `uploads/`）。 +6. 迁移完成后**全站看图确认无误，再清理本地文件**——读取是本地优先的。 + ### 接口：`fetch_movie.php` 供添加页前端调用，服务端代请求 OMDb 避免浏览器跨域。 @@ -253,6 +300,239 @@ CSV **共 9 列，顺序固定**： --- +## 图片存储与对象存储（OSS / COS / 七牛） + +> **这一节回答两个问题**：① 想用「直连存储」，对象存储那边到底要怎么配？② 我们在这条路上踩过的坑分别长什么样、怎么排。 + +### 1. 几个设计约定（先理解这个，后面的现象才好解释） + +| 约定 | 说明 | +| --- | --- | +| **库里只存相对对象键** | `movies.poster_path` 等字段保存的是 `uploads/posters/xxxx.webp` 这种**相对键**，不含域名、不含 bucket、不含前缀。所以改域名 / 换 bucket / 改前缀都不用动数据库 | +| **本地优先读取** | `storageUrl()` / `storageExists()` 先看本地 `uploads/` 里有没有这个文件：有 → 走站内路径 `/uploads/...`；没有 → 交给当前存储驱动。**这是「切换存储方式不影响已有图片」和「可以慢慢迁移」的根本原因** | +| **内容指纹命名** | 文件名为 `md5(内容)前 12 位_6 位随机[_角色].ext`。内容不变则名字不变 → 可以下发 `immutable` 长缓存 | +| **门面 + 驱动** | 页面只调用 `lib/storage.php` 门面（`storageUrl` / `storageExists` / `storagePutFile` / `storageDelete` / `storageRead` / `storageAccessMode` …），不直接碰 SDK。加云厂商 = 加一个 `lib/storage/*.php` 驱动 | +| **密钥加密落库** | 云厂商 AccessKey 以 `enc:v1:gcm:` 密文存进 `settings` 表，密钥文件 `db/.settings.key`。**该文件丢失后密文不可恢复**，只能重新填写密钥。用实例角色（免密钥）则不存在这个问题 | +| **对象前缀** | 桶内可再套一层目录（如 `movielog/`）。前缀只在驱动层拼接，库中键始终干净。同一个桶给多个站点用时靠它隔离 | + +### 2. 两种图片访问方式：怎么选 + +| | **直连存储**（direct） | **服务端代理**（proxy） | +| --- | --- | --- | +| 图片 URL | `https://.oss-….aliyuncs.com/movielog/uploads/…` | `/media.php?k=uploads/…`（同源） | +| 桶权限要求 | **必须公共读**（或对每个对象签名，但那样 URL 会过期） | **可以私有**，服务器用实例角色/AK 签名读取 | +| 防盗链白名单 | 需要包含本站域名，或保持「允许空 Referer」（本项目统一下发 `Referrer-Policy: same-origin`，跨域请求不带 Referer） | 不需要（浏览器根本不访问对象存储） | +| 跨域 CORS | 只有想在浏览器里**读像素**（裁剪）时才需要 | **完全不需要**（同源） | +| 谁能看到图 | 任何拿到 URL 的人 | 必须登录本站 | +| 流量路径 | 浏览器 ⇄ 对象存储（不走服务器带宽） | 浏览器 ⇄ 你的服务器 ⇄ 对象存储（**双倍流量、占服务器带宽**） | +| 额外延迟 | 无 | 每张图多一次服务器到存储的往返（同地域约 10–30 ms；跨地域约 60–100 ms） | +| 适用 | 对性能敏感、图片可公开、愿意维护桶策略 | **希望桶保持私有**、不想维护防盗链/CORS、图片需要登录才可见 | + +> **建议**：个人/家庭站点优先选**服务端代理**——桶私有、免防盗链、免 CORS、裁剪天然可用。只有当图片确实可以公开、且希望省下服务器中转带宽与流量时，才用直连。 +> +> 选择位置：**系统设置 → 图片访问方式**。切换后无需重启，立即生效（回滚就是切回另一项）。 + +### 3. 直连存储：对象存储必须怎么配（重点） + +直连模式下，图片是**浏览器直接去对象存储取**的。因此下面每一项都会直接影响「图片能不能显示」。逐项过一遍。 + +#### ① 桶读写权限：必须允许匿名读取 + +浏览器请求对象存储时**不带任何身份**，所以桶（或该目录下的对象）必须允许匿名 GET。 + +| 云 | 控制台位置 | 要选的值 | +| --- | --- | --- | +| 阿里云 OSS | Bucket → **读写权限**（ACL） | **公共读** | +| 腾讯云 COS | 存储桶 → **权限管理** → 访问权限 | **公有读私有写** | +| 七牛 Kodo | 空间设置 → 访问控制 | **公开** | + +⚠️ 改成公共读意味着**任何人拿到 URL 就能看图**。如果存的是私人内容，请用服务端代理而不是直连。 + +#### ② 防盗链（Referer 白名单）：开了就必须放行本站 + +防盗链是对象存储的「只允许特定来源引用」策略。**开了但没把本站域名加进白名单，就会出现最迷惑的现象**： + +> 把图片 URL 直接粘到浏览器地址栏 → **能打开**；同一个 URL 放在页面 `` 里 → **403**。 + +原因是浏览器对子资源（``/` + \ No newline at end of file diff --git a/config.php b/config.php index d7d117d..b451b61 100644 --- a/config.php +++ b/config.php @@ -11,6 +11,13 @@ ini_set('display_errors', 1); session_start(); +// 跨域资源引用策略：本站页面加载对象存储（OSS / COS / 七牛）等第三方域名的图片时， +// 浏览器不发送 Referer，避免被云厂商的防盗链（bucket referer policy）拦成 403。 +// 同源请求（本站自身的页面与接口）仍照常携带 Referer，不影响任何安全检查。 +if (!headers_sent()) { + header('Referrer-Policy: same-origin'); +} + // 项目根目录（lib/ 下的模块统一用它拼接绝对路径） define('ROOT_DIR', __DIR__); @@ -32,11 +39,13 @@ foreach ([POSTER_DIR, TICKET_DIR, PHOTO_DIR, AVATAR_DIR] as $dir) { } // ===== 功能模块 ===== -require_once ROOT_DIR . '/lib/db.php'; // 数据库连接与初始化 -require_once ROOT_DIR . '/lib/helpers.php'; // 通用工具函数 -require_once ROOT_DIR . '/lib/auth.php'; // 登录校验与账号管理 -require_once ROOT_DIR . '/lib/movies.php'; // 电影 / 影院 / 搜索 -require_once ROOT_DIR . '/lib/stats.php'; // 统计与年度报告 +require_once ROOT_DIR . '/lib/db.php'; // 数据库连接与初始化 +require_once ROOT_DIR . '/lib/settings.php'; // 系统设置读写 +require_once ROOT_DIR . '/lib/storage.php'; // 对象存储门面（含各云厂商驱动） +require_once ROOT_DIR . '/lib/helpers.php'; // 通用工具函数 +require_once ROOT_DIR . '/lib/auth.php'; // 登录校验与账号管理 +require_once ROOT_DIR . '/lib/movies.php'; // 电影 / 影院 / 搜索 +require_once ROOT_DIR . '/lib/stats.php'; // 统计与年度报告 // 初始化数据库 initDB(); diff --git a/detail.php b/detail.php index 759a702..404e488 100644 --- a/detail.php +++ b/detail.php @@ -345,13 +345,14 @@ $admin = getCurrentAdmin(); $movie['photo_path'], 'label' => '📸 旧照片']; } foreach ($movie['photos'] as $p) { - if (file_exists(__DIR__ . '/' . $p['photo_path'])) { + if (storageExists($p['photo_path'] ?? '')) { $all_photos[] = ['path' => $p['photo_path'], 'label' => '📸 观影照片']; } } @@ -361,14 +362,14 @@ $admin = getCurrentAdmin();

🖼️ 影像记录 张

-
- 电影票 +
+ 电影票 🎫 电影票
-
- 观影照片 +
+ 观影照片
diff --git a/edit.php b/edit.php index a3ed957..f48c874 100644 --- a/edit.php +++ b/edit.php @@ -328,10 +328,10 @@ if (empty($current_person_ids)) {
- - + +
- + 暂无海报 @@ -347,10 +347,10 @@ if (empty($current_person_ids)) {
- - + +
- + 暂无票根 @@ -369,8 +369,8 @@ if (empty($current_person_ids)) {
- - + +
diff --git a/js/main.js b/js/main.js index 6bc4e29..f763a84 100644 --- a/js/main.js +++ b/js/main.js @@ -48,3 +48,24 @@ function toggleNewCinema() { var group = document.getElementById('newCinemaGroup'); group.style.display = select.value === 'new' ? 'block' : 'none'; } + +// ---------- 图片破图回退 ---------- + +// 服务端代理模式下，图片需要登录才能读取（media.php 未登录返回 403）。 +// 会话过期后页面上的图片会加载失败——统一替换为内联占位图，避免满屏破图。 +// 注意：error 事件不冒泡，必须用捕获阶段监听；占位图用 data URI，不依赖任何文件。 +(function () { + var PLACEHOLDER = 'data:image/svg+xml;charset=utf-8,' + encodeURIComponent( + '' + + '' + + '图片不可用'); + + document.addEventListener('error', function (e) { + var el = e.target; + if (!el || el.tagName !== 'IMG') return; + if (el.dataset.fallbackApplied === '1') return; // 防死循环 + el.dataset.fallbackApplied = '1'; + el.src = PLACEHOLDER; + }, true); +})(); diff --git a/lib/db.php b/lib/db.php index 0087d7a..1e9f2c5 100644 --- a/lib/db.php +++ b/lib/db.php @@ -91,6 +91,15 @@ function initDB() { ) "); + // 系统设置表（键值结构，用于存储方式等配置） + $db->exec(" + CREATE TABLE IF NOT EXISTS settings ( + name TEXT PRIMARY KEY, + value TEXT, + updated_at DATETIME DEFAULT CURRENT_TIMESTAMP + ) + "); + // ===== 迁移字段 ===== try { $db->exec("ALTER TABLE cinemas ADD COLUMN color TEXT DEFAULT '#888888'"); } catch (PDOException $e) {} try { $db->exec("ALTER TABLE admins ADD COLUMN avatar TEXT"); } catch (PDOException $e) {} diff --git a/lib/helpers.php b/lib/helpers.php index 1c606e5..4044338 100644 --- a/lib/helpers.php +++ b/lib/helpers.php @@ -2,6 +2,8 @@ // ============================================ // 文件: lib/helpers.php // 说明: 通用工具函数（输出转义、文件名、颜色、上传文件读写、图片 URL） +// 图片的读写与 URL 生成一律通过 lib/storage.php 收口， +// 以便在“本地硬盘”与“对象存储”之间切换。 // ============================================ // 允许上传的图片扩展名 @@ -14,12 +16,42 @@ function h($str) { return htmlspecialchars($str, ENT_QUOTES, 'UTF-8'); } -// 生成唯一文件名 -function uniqueFilename($original) { +// 生成带「内容指纹」的文件名：_<6位随机>[_角色].ext +// +// 设计： +// - 指纹段取图片内容的 md5 前 12 位，便于识别/比对同一张图（同名同图）； +// - 再拼 6 位随机后缀，保证文件名唯一——避免同一张图被多条记录引用时， +// 删掉其一就把共用的文件一起删掉（删除逻辑不做引用计数）； +// - 角色段沿用原语义（poster / ticket / photo / avatar），便于人工排查。 +function fingerprintedFilename($binary, $ext, $role = '') { + $ext = strtolower((string)$ext); + if (!in_array($ext, allowedImageExts())) { + $ext = 'jpg'; + } + $fingerprint = substr(md5((string)$binary), 0, 12); + $rand = bin2hex(random_bytes(3)); // 6 个十六进制字符 + $role = trim((string)$role); + return $fingerprint . '_' . $rand . ($role !== '' ? '_' . $role : '') . '.' . $ext; +} + +// 文件名是否已经是「该内容的」指纹名（前 12 位 == 内容 md5 前 12 位）。 +// 迁移时用它跳过已改过名的文件，保证重复迁移幂等（不会每次都换新随机后缀）。 +function isFingerprintedName($filename, $binary) { + $base = basename((string)$filename); + if (strlen($base) < 12) return false; + return substr(md5((string)$binary), 0, 12) === substr($base, 0, 12); +} + +// 生成唯一文件名。传入 $binary 时按内容指纹命名；否则退化为时间戳 + uniqid。 +// （保留 $binary 可选，是为了兼容"拿不到内容"的调用场景。） +function uniqueFilename($original, $binary = null) { $ext = strtolower(pathinfo($original, PATHINFO_EXTENSION)); if (!in_array($ext, allowedImageExts())) { $ext = 'jpg'; } + if ($binary !== null && $binary !== '') { + return fingerprintedFilename($binary, $ext); + } return date('YmdHis') . '_' . uniqid() . '.' . $ext; } @@ -29,18 +61,24 @@ function normalizeHexColor($color, $fallback = '#888888') { return preg_match('/^#[a-fA-F0-9]{6}$/', $color) ? $color : $fallback; } -// 删除项目内已存在的上传文件（文件不存在时静默跳过） -function deleteStoredFile($relative_path) { - if (!empty($relative_path)) { - $full = ROOT_DIR . '/' . $relative_path; - if (file_exists($full)) { - return unlink($full); - } +// 把绝对目录转换成相对 ROOT_DIR 的键前缀（如 /x/uploads/posters/ → uploads/posters/） +function relPathOfDir($absDir) { + $rel = str_replace('\\', '/', (string)$absDir); + $root = rtrim(str_replace('\\', '/', ROOT_DIR), '/') . '/'; + if (strpos($rel, $root) === 0) { + $rel = substr($rel, strlen($root)); } - return false; + return rtrim($rel, '/') . '/'; } -// 处理单个图片上传字段，成功返回相对路径，失败返回 null +// 删除已保存的文件（本地与云端按当前存储方式处理，不存在时静默跳过） +function deleteStoredFile($relative_path) { + if (empty($relative_path)) return false; + return storageDelete($relative_path); +} + +// 处理单个图片上传字段，成功返回相对键（如 uploads/posters/x.jpg），失败返回 null +// 注意：$target_dir 为兼容保留，实际落盘位置由存储层根据键推导 function uploadImageFile($field, $target_dir, $relative_prefix) { if (!isset($_FILES[$field]) || $_FILES[$field]['error'] !== UPLOAD_ERR_OK) { return null; @@ -49,11 +87,15 @@ function uploadImageFile($field, $target_dir, $relative_prefix) { if (!in_array($ext, allowedImageExts())) { return null; } - $filename = uniqueFilename($_FILES[$field]['name']); - if (!move_uploaded_file($_FILES[$field]['tmp_name'], $target_dir . $filename)) { + $tmpPath = $_FILES[$field]['tmp_name']; + $binary = @file_get_contents($tmpPath); + $filename = uniqueFilename($_FILES[$field]['name'], $binary === false ? null : $binary); + $key = $relative_prefix . $filename; + $mime = storageMimeOfFile($tmpPath); + if (!storagePutFile($tmpPath, $key, $mime)) { return null; } - return $relative_prefix . $filename; + return $key; } // 处理多张图片上传字段（如 photos[] / new_photos[]），写入 movie_photos 表 @@ -71,27 +113,31 @@ function uploadMultiplePhotos($field, $movie_id) { if (!in_array($ext, allowedImageExts())) { continue; } - $filename = uniqueFilename($files['name'][$i]); - if (!move_uploaded_file($files['tmp_name'][$i], PHOTO_DIR . $filename)) { + $tmpPath = $files['tmp_name'][$i]; + $binary = @file_get_contents($tmpPath); + $filename = uniqueFilename($files['name'][$i], $binary === false ? null : $binary); + $key = 'uploads/photos/' . $filename; + $mime = storageMimeOfFile($tmpPath); + if (!storagePutFile($tmpPath, $key, $mime)) { continue; } $stmt = $db->prepare("INSERT INTO movie_photos (movie_id, photo_path) VALUES (?, ?)"); - $stmt->execute([$movie_id, 'uploads/photos/' . $filename]); + $stmt->execute([$movie_id, $key]); } } -// 海报 URL +// 海报 URL（不存在时回退占位图） function posterUrl($path) { - if ($path && file_exists(ROOT_DIR . '/' . $path)) { - return '/' . $path; + if (!storageExists($path)) { + return '/assets/placeholder-poster.jpg'; } - return '/assets/placeholder-poster.jpg'; + return storageUrl($path); } // ===== 头像处理 ===== function getAvatarUrl($avatar_path, $name = '') { - if ($avatar_path && file_exists(ROOT_DIR . '/' . $avatar_path)) { - return '/' . $avatar_path; + if (storageExists($avatar_path)) { + return storageUrl($avatar_path); } if (!empty($name)) { $letter = mb_substr($name, 0, 1, 'UTF-8'); @@ -108,11 +154,9 @@ function saveBase64Image($base64_data, $save_dir, $prefix = 'avatar') { $base64_data = substr($base64_data, strpos($base64_data, 'base64,') + 7); } $binary = base64_decode($base64_data); - if ($binary === false) return false; + if ($binary === false || $binary === '') return false; - $finfo = finfo_open(FILEINFO_MIME_TYPE); - $mime = finfo_buffer($finfo, $binary); - finfo_close($finfo); + $mime = storageMimeFromContents($binary); $ext_map = [ 'image/jpeg' => 'jpg', @@ -123,9 +167,9 @@ function saveBase64Image($base64_data, $save_dir, $prefix = 'avatar') { if (!isset($ext_map[$mime])) return false; $ext = $ext_map[$mime]; - $filename = date('YmdHis') . '_' . uniqid() . '_' . $prefix . '.' . $ext; - $filepath = $save_dir . $filename; - if (file_put_contents($filepath, $binary) === false) return false; + $filename = fingerprintedFilename($binary, $ext, $prefix); + $key = relPathOfDir($save_dir) . $filename; + if (!storagePutContents($binary, $key, $mime)) return false; - return str_replace(ROOT_DIR . '/', '', $filepath); + return $key; } diff --git a/lib/settings.php b/lib/settings.php new file mode 100644 index 0000000..66839b5 --- /dev/null +++ b/lib/settings.php @@ -0,0 +1,363 @@ + false]; + return $flags; +} + +/** + * 惰性取得 32 字节站点密钥，首次调用时自动生成。 + * @return string|false 密钥原始字节；false 表示加密不可用 + */ +function settingsCryptoKey() { + static $key = null; + if ($key !== null) return $key; + + if (!function_exists('openssl_encrypt')) return $key = false; + + $file = settingsKeyFile(); + + if (is_file($file)) { + $raw = @file_get_contents($file); + if ($raw !== false) { + $decoded = base64_decode(trim($raw), true); + if ($decoded !== false && strlen($decoded) === 32) return $key = $decoded; + } + // 文件存在但内容损坏：不覆盖（覆盖会让仍可用的旧密钥彻底失效），仅报不可用 + return $key = false; + } + + $dir = dirname($file); + if (!is_dir($dir) && !@mkdir($dir, 0755, true)) return $key = false; + + try { + $fresh = random_bytes(32); + } catch (Exception $e) { + return $key = false; + } + if (@file_put_contents($file, base64_encode($fresh) . "\n") === false) return $key = false; + @chmod($file, 0600); + return $key = $fresh; +} + +// 加密能力是否可用（设置页展示用） +function settingsEncryptionAvailable() { + return settingsCryptoKey() !== false; +} + +// 当前实际使用的加密算法名（设置页展示用） +function settingsCipherLabel() { + if (!settingsEncryptionAvailable()) return ''; + return in_array('aes-256-gcm', openssl_get_cipher_methods(), true) + ? 'AES-256-GCM' + : 'AES-256-CBC + HMAC-SHA256'; +} + +// 是否发生过解密失败（密钥丢失/损坏） +function settingsDecryptFailed() { + $flags = &settingsCryptoFlags(); + return $flags['decrypt_failed']; +} + +/** + * 加密一个值。优先 AES-256-GCM（AEAD），老环境退化为 AES-256-CBC + HMAC-SHA256。 + * @return string|null null 表示加密不可用 + */ +function settingsEncrypt($plain) { + $plain = (string)$plain; + if ($plain === '') return ''; + + $key = settingsCryptoKey(); + if ($key === false) return null; + + $useGcm = in_array('aes-256-gcm', openssl_get_cipher_methods(), true); + + if ($useGcm) { + $iv = random_bytes(12); + $tag = ''; + $ct = openssl_encrypt($plain, 'aes-256-gcm', $key, OPENSSL_RAW_DATA, $iv, $tag, '', 16); + if ($ct === false) return null; + return SETTINGS_ENC_PREFIX . 'gcm:' . base64_encode($iv . $tag . $ct); + } + + $iv = random_bytes(16); + $ct = openssl_encrypt($plain, 'aes-256-cbc', $key, OPENSSL_RAW_DATA, $iv); + if ($ct === false) return null; + $mac = hash_hmac('sha256', $iv . $ct, $key, true); + return SETTINGS_ENC_PREFIX . 'cbc:' . base64_encode($iv . $mac . $ct); +} + +/** + * 解密一个值。 + * 非密文（历史遗留的明文）原样返回，便于无损升级； + * 密文但解不开时返回 null（调用方应视为"未配置"）。 + */ +function settingsDecrypt($stored) { + $stored = (string)$stored; + if (strpos($stored, SETTINGS_ENC_PREFIX) !== 0) return $stored; + + $key = settingsCryptoKey(); + if ($key === false) { + $flags = &settingsCryptoFlags(); + $flags['decrypt_failed'] = true; + return null; + } + + $body = substr($stored, strlen(SETTINGS_ENC_PREFIX)); + $sep = strpos($body, ':'); + if ($sep === false) { + $flags = &settingsCryptoFlags(); + $flags['decrypt_failed'] = true; + return null; + } + $algo = substr($body, 0, $sep); + $raw = base64_decode(substr($body, $sep + 1), true); + + if ($raw === false) { + $flags = &settingsCryptoFlags(); + $flags['decrypt_failed'] = true; + return null; + } + + $fail = function () { + $flags = &settingsCryptoFlags(); + $flags['decrypt_failed'] = true; + return null; + }; + + if ($algo === 'gcm') { + if (strlen($raw) < 12 + 16) return $fail(); + $iv = substr($raw, 0, 12); + $tag = substr($raw, 12, 16); + $ct = substr($raw, 28); + $pt = openssl_decrypt($ct, 'aes-256-gcm', $key, OPENSSL_RAW_DATA, $iv, $tag); + return $pt === false ? $fail() : $pt; + } + + if ($algo === 'cbc') { + if (strlen($raw) < 16 + 32 + 16) return $fail(); + $iv = substr($raw, 0, 16); + $mac = substr($raw, 16, 32); + $ct = substr($raw, 48); + if (!hash_equals($mac, hash_hmac('sha256', $iv . $ct, $key, true))) return $fail(); + $pt = openssl_decrypt($ct, 'aes-256-cbc', $key, OPENSSL_RAW_DATA, $iv); + return $pt === false ? $fail() : $pt; + } + + return $fail(); +} + +// 是否为敏感设置项 +function settingsIsSensitive($name) { + static $set = null; + if ($set === null) $set = array_flip(settingsSensitiveNames()); + return isset($set[$name]); +} + +// 直接落库（加密后写入），绕过内存缓存——仅供内部升级使用 +function settingsRawPut($name, $value) { + try { + $enc = settingsEncrypt($value); + if ($enc === null) return false; // 加密不可用时宁可不动，避免写入不可解密的数据 + $db = getDB(); + $stmt = $db->prepare("INSERT OR REPLACE INTO settings (name, value, updated_at) VALUES (?, ?, CURRENT_TIMESTAMP)"); + $stmt->execute([$name, $enc]); + return true; + } catch (PDOException $e) { + return false; + } +} + +// 读取全部设置到静态缓存（每次请求只查一次库） +function &settingsCache() { + static $cache = null; + if ($cache === null) { + $cache = []; + try { + $db = getDB(); + $rows = $db->query("SELECT name, value FROM settings"); + $upgrade = []; + foreach ($rows as $row) { + $name = $row['name']; + $raw = (string)$row['value']; + + if (!settingsIsSensitive($name)) { + $cache[$name] = $raw; + continue; + } + + if (strpos($raw, SETTINGS_ENC_PREFIX) === 0) { + $plain = settingsDecrypt($raw); + // 解不开时按"未配置"处理：站点继续可用，只是需要重新填密钥 + $cache[$name] = $plain === null ? '' : $plain; + } else { + // 历史明文：本次读到后自动升级为密文 + $cache[$name] = $raw; + $upgrade[$name] = $raw; + } + } + foreach ($upgrade as $name => $plain) { + settingsRawPut($name, $plain); + } + } catch (PDOException $e) { + // 表尚未建立时退化为"全部使用默认值"，不阻断页面 + $cache = []; + } + } + return $cache; +} + +// 读取单个设置 +function getSetting($name, $default = null) { + $cache = &settingsCache(); + return array_key_exists($name, $cache) ? $cache[$name] : $default; +} + +// 读取布尔型设置 +function getSettingBool($name, $default = false) { + $v = getSetting($name, null); + if ($v === null || $v === '') return $default; + return $v === '1' || $v === 1 || $v === true; +} + +// 读取 JSON 型设置（解析失败时返回 $default） +function getSettingJson($name, $default = []) { + $raw = getSetting($name, null); + if ($raw === null || $raw === '') return $default; + $decoded = json_decode($raw, true); + return is_array($decoded) ? $decoded : $default; +} + +// 写入单个设置（敏感项自动加密后落库，内存缓存里始终是明文） +function setSetting($name, $value) { + $value = (string)$value; + $store = $value; + + if (settingsIsSensitive($name)) { + $enc = settingsEncrypt($value); + // 加密不可用时退回明文，保证功能可用（设置页会显著告警） + if ($enc !== null) $store = $enc; + } + + $db = getDB(); + $stmt = $db->prepare("INSERT OR REPLACE INTO settings (name, value, updated_at) VALUES (?, ?, CURRENT_TIMESTAMP)"); + $stmt->execute([$name, $store]); + $cache = &settingsCache(); + $cache[$name] = $value; +} + +// 写入 JSON 型设置 +function setSettingJson($name, array $value) { + setSetting($name, json_encode($value, JSON_UNESCAPED_UNICODE | JSON_UNESCAPED_SLASHES)); +} + +// 删除单个设置 +function deleteSetting($name) { + $db = getDB(); + $stmt = $db->prepare("DELETE FROM settings WHERE name = ?"); + $stmt->execute([$name]); + $cache = &settingsCache(); + unset($cache[$name]); +} + +// ===== 存储相关设置的便捷读取 ===== + +// 当前生效的存储驱动标识：local / oss / cos / qiniu +function currentStorageDriver() { + $d = getSetting('storage_driver', 'local'); + return in_array($d, ['local', 'oss', 'cos', 'qiniu'], true) ? $d : 'local'; +} + +// 全部驱动的配置（形如 ['oss' => [...], 'cos' => [...]]） +function allStorageConfigs() { + return getSettingJson('storage_config', []); +} + +// 指定驱动的配置（合并默认值） +function storageConfigFor($driver) { + $defaults = [ + 'oss' => [ + 'auth_mode' => 'ak', // ak | ecs_role + 'access_key_id' => '', + 'access_key_secret' => '', + 'bucket' => '', + 'endpoint' => '', // 例：oss-cn-beijing.aliyuncs.com + 'prefix' => '', // 对象前缀（桶内目录），可留空 + 'ram_role_name' => '', // 留空则自动发现 + 'custom_domain' => '', // 可选，CDN / 自定义域名 + 'internal_endpoint' => '1', // 服务端读取优先走内网 endpoint（同地域免流量费） + 'https' => '1', + ], + 'cos' => [ + 'auth_mode' => 'ak', // ak | cvm_role + 'secret_id' => '', + 'secret_key' => '', + 'bucket' => '', // 含 APPID，例：mybucket-1250000000 + 'region' => '', // 例：ap-beijing + 'prefix' => '', // 对象前缀（桶内目录），可留空 + 'cam_role_name' => '', // 留空则自动发现 + 'custom_domain' => '', + 'https' => '1', + ], + 'qiniu' => [ + 'access_key' => '', + 'secret_key' => '', + 'bucket' => '', + 'region' => 'z0', // z0 华东 / z1 华北 / z2 华南 / na0 北美 / as0 亚太 + 'prefix' => '', // 对象前缀（桶内目录），可留空 + 'custom_domain' => '', // 七牛必须绑定域名才能访问 + 'https' => '1', + ], + ]; + $cfg = allStorageConfigs(); + $saved = isset($cfg[$driver]) && is_array($cfg[$driver]) ? $cfg[$driver] : []; + return array_merge($defaults[$driver] ?? [], $saved); +} + +// 保存指定驱动的配置 +function saveStorageConfig($driver, array $values) { + $cfg = allStorageConfigs(); + $cfg[$driver] = $values; + setSettingJson('storage_config', $cfg); +} + +// 所有驱动的显示名 +function storageDriverLabels() { + return [ + 'local' => '本地硬盘', + 'oss' => '阿里云 OSS', + 'cos' => '腾讯云 COS', + 'qiniu' => '七牛云 Kodo', + ]; +} diff --git a/lib/storage.php b/lib/storage.php new file mode 100644 index 0000000..58e2512 --- /dev/null +++ b/lib/storage.php @@ -0,0 +1,380 @@ + date('Y-m-d H:i:s'), + 'message' => storageShortError($message), + 'driver' => currentStorageDriver(), + ]); +} + +function storageLastError() { + return getSettingJson('storage_last_error', []); +} + +function storageClearError() { + deleteSetting('storage_last_error'); +} + +// ---------- 写入 ---------- + +/** + * 上传一个本地文件到当前存储。云端失败时自动回退到本地保存。 + * @return bool 是否成功（含回退成功的场景） + */ +function storagePutFile($srcPath, $key, $mime = null) { + $key = ltrim((string)$key, '/'); + if ($key === '' || !is_file($srcPath)) { + storageRecordError('上传失败：源文件不存在或目标键为空'); + return false; + } + $mime = $mime ?: storageMimeOfFile($srcPath); + $driver = storage(); + + if ($driver->id() === 'local') { + $r = $driver->putFile($srcPath, $key, $mime); + if (empty($r['ok'])) storageRecordError($r['error']); + return !empty($r['ok']); + } + + $r = $driver->putFile($srcPath, $key, $mime); + if (!empty($r['ok'])) return true; + + // 云端失败 → 回退本地，避免丢图 + $fallback = new StorageLocal(); + $l = $fallback->putFile($srcPath, $key, $mime); + storageRecordError('云端上传失败，已自动回退为本地保存。原因：' . $r['error']); + return !empty($l['ok']); +} + +// 上传一段二进制内容（用于 base64 裁剪结果） +function storagePutContents($binary, $key, $mime = null) { + $key = ltrim((string)$key, '/'); + if ($key === '' || $binary === '' || $binary === null) { + storageRecordError('上传失败：内容为空或目标键为空'); + return false; + } + $mime = $mime ?: 'application/octet-stream'; + $driver = storage(); + + if ($driver->id() === 'local') { + $r = $driver->putContents($binary, $key, $mime); + if (empty($r['ok'])) storageRecordError($r['error']); + return !empty($r['ok']); + } + + $r = $driver->putContents($binary, $key, $mime); + if (!empty($r['ok'])) return true; + + $fallback = new StorageLocal(); + $l = $fallback->putContents($binary, $key, $mime); + storageRecordError('云端上传失败，已自动回退为本地保存。原因：' . $r['error']); + return !empty($l['ok']); +} + +// ---------- 删除 ---------- + +/** + * 删除一个对象：本地有就删本地；当前是远端存储时同时尝试删除云端对象。 + */ +function storageDelete($key) { + if ($key === null || trim((string)$key) === '') return false; + $key = ltrim((string)$key, '/'); + if (preg_match('#^[a-z][a-z0-9+.-]*://#i', $key)) return false; // 绝对 URL 无法定位对象 + + $ok = false; + $local = new StorageLocal(); + if ($local->exists($key)) { + $ok = (bool)$local->delete($key); + } + if (storageIsRemote()) { + $r = storage()->delete($key); + if (empty($r['ok'])) { + storageRecordError($r['error']); + } else { + $ok = true; + } + } + return $ok; +} + +// ---------- 读取 / URL ---------- + +// 是否为绝对地址（http/https/协议相对） +function storageIsAbsoluteUrl($path) { + return (bool)preg_match('#^(https?:)?//#i', (string)$path); +} + +// 本地是否已存在该文件 +function storageHasLocalFile($key) { + $key = ltrim((string)$key, '/'); + return $key !== '' && is_file(ROOT_DIR . '/' . $key); +} + +// ---------- 图片访问方式 ---------- +// direct：图片 URL 直接指向存储（要求桶可被匿名读取，或由防盗链/签名兜底） +// proxy ：图片 URL 指向本站 media.php，由服务端凭实例角色/密钥读取后回吐 +// —— 桶可以设为「私有」，且因同源交付，Canvas 读像素（裁剪）也不再受限 +function storageAccessMode() { + return ((string)getSetting('storage_access_mode', 'direct')) === 'proxy' ? 'proxy' : 'direct'; +} + +// 指向本站代理的图片地址。 +// 逐段编码、保留斜杠（与 storageEncodeKey 同样的策略）：URL 可读、nginx 日志好看。 +// 目录穿越由 media.php 侧的白名单负责，不依赖这里的编码。 +function storageProxyUrl($key) { + $parts = array_map('rawurlencode', explode('/', ltrim((string)$key, '/'))); + return '/media.php?k=' . implode('/', $parts); +} + +/** + * 生成可访问的 URL。规则： + * 1. 已经是绝对地址 → 原样返回 + * 2. 本地存在同名文件 → 走本地路径（同源，无需绕代理） + * 3. 代理模式 → 指向本站 media.php + * 4. 否则交给当前驱动生成 + */ +function storageUrl($key) { + if ($key === null || trim((string)$key) === '') return null; + $key = (string)$key; + if (storageIsAbsoluteUrl($key)) return $key; + $trimmed = ltrim($key, '/'); + if (storageHasLocalFile($trimmed)) return '/' . $trimmed; + if (storageAccessMode() === 'proxy') return storageProxyUrl($trimmed); + return storage()->url($trimmed); +} + +/** + * 服务端读取对象内容（供 media.php 回吐）。 + * 本地优先：本地有文件就直接读盘，省一次外网往返；否则交给驱动。 + * $conditional 为透传给上游的条件头（如 ['If-None-Match: "abc"']）。 + */ +function storageRead($key, array $conditional = []) { + $key = ltrim((string)$key, '/'); + if ($key === '') { + return ['ok' => false, 'status' => 400, 'headers' => [], 'body' => '', 'error' => '缺少对象键']; + } + + if (storageHasLocalFile($key)) { + $abs = ROOT_DIR . '/' . $key; + $body = @file_get_contents($abs); + if ($body !== false) { + return [ + 'ok' => true, + 'status' => 200, + 'headers' => [ + 'content-type' => storageMimeOfFile($abs), + 'content-length' => (string)strlen($body), + 'etag' => '"' . md5($body) . '"', + 'last-modified' => gmdate('D, d M Y H:i:s \G\M\T', (int)@filemtime($abs)), + ], + 'body' => $body, + 'error' => '', + ]; + } + } + + $drv = storage(); + if (!method_exists($drv, 'get')) { + return [ + 'ok' => false, 'status' => 501, 'headers' => [], 'body' => '', + 'error' => '当前存储驱动（' . $drv->label() . '）暂不支持服务端读取', + ]; + } + return $drv->get($key, $conditional); +} + +/** + * 判断图片是否"应当被视为存在"。 + * 本地：真实检查文件；云端：键非空即视为存在（远端不做逐次 HEAD 探测）。 + */ +function storageExists($key) { + if ($key === null || trim((string)$key) === '') return false; + if (storageIsAbsoluteUrl($key)) return true; + if (storageHasLocalFile($key)) return true; + return storageIsRemote(); +} + +// ---------- MIME ---------- + +function storageMimeOfFile($path) { + if (function_exists('finfo_open') && is_file($path)) { + $finfo = finfo_open(FILEINFO_MIME_TYPE); + if ($finfo) { + $mime = finfo_file($finfo, $path); + finfo_close($finfo); + if ($mime) return $mime; + } + } + return storageMimeFromName($path); +} + +function storageMimeFromContents($binary) { + if (function_exists('finfo_open')) { + $finfo = finfo_open(FILEINFO_MIME_TYPE); + if ($finfo) { + $mime = finfo_buffer($finfo, $binary); + finfo_close($finfo); + if ($mime) return $mime; + } + } + return 'application/octet-stream'; +} + +function storageMimeFromName($name) { + $map = [ + 'jpg' => 'image/jpeg', 'jpeg' => 'image/jpeg', + 'png' => 'image/png', 'gif' => 'image/gif', 'webp' => 'image/webp', + 'txt' => 'text/plain', + ]; + $ext = strtolower(pathinfo((string)$name, PATHINFO_EXTENSION)); + return $map[$ext] ?? 'application/octet-stream'; +} + +// ---------- 诊断（设置页用）---------- + +// 探测当前服务器是否位于某朵云上（仅做可达性判断，不拉取凭据） +function storageDetectCloudHost() { + $hosts = ['aliyun' => 'ECS（阿里云）', 'tencent' => 'CVM（腾讯云）']; + $found = []; + foreach ($hosts as $key => $label) { + $cred = $key === 'aliyun' + ? aliyunEcsRamCredentials('', true) + : tencentCvmCamCredentials('', true); + if (!empty($cred['ok'])) { + $found[$key] = ['label' => $label, 'role' => $cred['role'] ?? '', 'expires' => $cred['expires'] ?? 0]; + } + } + return $found; +} + +// ---------- 迁移改名：改写数据库里的图片引用 ---------- + +/** + * 数据库里所有存放「图片相对键」的字段（表, 字段）。 + * + * 迁移时若把文件按指纹改名，必须一并改写这些引用， + * 否则库里仍指向旧名，图片会裂开——特别是勾选了"迁移后删除本地文件"时无法回退。 + */ +function storageImageRefFields() { + return [ + ['movies', 'poster_path'], + ['movies', 'ticket_path'], + ['movies', 'photo_path'], // 遗留字段，仍可能有历史数据 + ['movie_photos', 'photo_path'], + ['persons', 'avatar'], + ['admins', 'avatar'], + ]; +} + +/** + * 把所有等于 $oldKey 的图片引用改写为 $newKey。 + * 同一条旧键被多行引用时会一次全部改掉。 + * + * @return int 受影响行数合计 + */ +function storageRewriteImageRef($oldKey, $newKey) { + $oldKey = (string)$oldKey; + $newKey = (string)$newKey; + if ($oldKey === '' || $newKey === '' || $oldKey === $newKey) return 0; + + try { + $db = getDB(); + } catch (Throwable $e) { + return 0; + } + + $affected = 0; + foreach (storageImageRefFields() as $pair) { + list($table, $column) = $pair; + // 表名/字段名来自上面的硬编码清单，非用户输入 + try { + $stmt = $db->prepare("UPDATE {$table} SET {$column} = ? WHERE {$column} = ?"); + $stmt->execute([$newKey, $oldKey]); + $affected += $stmt->rowCount(); + } catch (PDOException $e) { + // 表或字段不存在（旧库）时跳过，不阻断迁移 + } + } + return $affected; +} diff --git a/lib/storage/cos.php b/lib/storage/cos.php new file mode 100644 index 0000000..8683031 --- /dev/null +++ b/lib/storage/cos.php @@ -0,0 +1,228 @@ +cfg = $cfg; + } + + public function id() { return 'cos'; } + + public function label() { return '腾讯云 COS'; } + + // ---------- 凭据 ---------- + + private function credentials() { + if ($this->cred !== null) return $this->cred; + + if (($this->cfg['auth_mode'] ?? 'ak') === 'cvm_role') { + $c = tencentCvmCamCredentials($this->cfg['cam_role_name'] ?? ''); + if (empty($c['ok'])) return $this->cred = ['ok' => false, 'error' => $c['error']]; + return $this->cred = $c; + } + + if (trim((string)($this->cfg['secret_id'] ?? '')) === '' + || trim((string)($this->cfg['secret_key'] ?? '')) === '') { + return $this->cred = ['ok' => false, 'error' => '未填写 SecretId / SecretKey']; + } + return $this->cred = [ + 'ok' => true, + 'id' => trim($this->cfg['secret_id']), + 'secret' => trim($this->cfg['secret_key']), + 'token' => '', + 'error' => '', + ]; + } + + // ---------- 寻址 ---------- + + private function useHttps() { + return ($this->cfg['https'] ?? '1') === '1'; + } + + private function scheme() { + return $this->useHttps() ? 'https' : 'http'; + } + + private function host() { + return trim((string)$this->cfg['bucket']) . '.cos.' . trim((string)$this->cfg['region']) . '.myqcloud.com'; + } + + // 给对象键加上「对象前缀」（桶内目录）。库中始终存不带前缀的相对键， + // 前缀只在驱动层拼接，因此改前缀不影响数据库里的历史记录。 + private function objectKey($key) { + $key = ltrim((string)$key, '/'); + $prefix = trim((string)($this->cfg['prefix'] ?? ''), '/'); + return $prefix === '' ? $key : $prefix . '/' . $key; + } + + private function pathOf($key) { + return '/' . storageEncodeKey(ltrim((string)$key, '/')); + } + + private function objectUrl($key) { + return $this->scheme() . '://' . $this->host() . $this->pathOf($key); + } + + public function url($key) { + $key = $this->objectKey($key); + $custom = trim((string)($this->cfg['custom_domain'] ?? '')); + if ($custom !== '') { + return storageHostOf($custom, $this->useHttps()) . '/' . storageEncodeKey($key); + } + return $this->scheme() . '://' . $this->host() . '/' . storageEncodeKey($key); + } + + // ---------- 签名 V5 ---------- + + private function authorization($method, $path, $cred) { + $signTime = (time() - 60) . ';' . (time() + 3600); + + // 参与签名的请求头（键必须小写并按字典序排列） + $headers = ['host' => $this->host()]; + if (($cred['token'] ?? '') !== '') { + $headers['x-cos-security-token'] = $cred['token']; + } + ksort($headers); + + $headerPairs = []; + $headerNames = []; + foreach ($headers as $k => $v) { + $headerNames[] = $k; + $headerPairs[] = $k . '=' . rawurlencode($v); + } + $httpHeaders = implode('&', $headerPairs); + $headerList = implode(';', $headerNames); + + $httpString = strtolower($method) . "\n" + . $path . "\n" + . "\n" // 无 URL 参数 + . $httpHeaders . "\n"; + + $stringToSign = "sha1\n" . $signTime . "\n" . sha1($httpString) . "\n"; + $signKey = hash_hmac('sha1', $signTime, $cred['secret']); + $signature = hash_hmac('sha1', $stringToSign, $signKey); + + return [ + 'q-sign-algorithm=sha1', + 'q-ak=' . $cred['id'], + 'q-sign-time=' . $signTime, + 'q-key-time=' . $signTime, + 'q-header-list=' . $headerList, + 'q-url-param-list=', + 'q-signature=' . $signature, + ]; + } + + private function buildHeaders($method, $key, $contentType, $cred) { + $path = $this->pathOf($key); + $parts = $this->authorization($method, $path, $cred); + $headers = ['Authorization: ' . implode('&', $parts)]; + if ($contentType !== '') { + $headers[] = 'Content-Type: ' . $contentType; + } + if (($cred['token'] ?? '') !== '') { + $headers[] = 'x-cos-security-token: ' . $cred['token']; + } + return $headers; + } + + private function validateConfig() { + foreach (['bucket' => '存储桶名称（含 APPID）', 'region' => '地域 Region'] as $f => $label) { + if (trim((string)($this->cfg[$f] ?? '')) === '') { + return "未填写{$label}"; + } + } + return ''; + } + + // ---------- 操作 ---------- + + public function putFile($srcPath, $key, $mime = null) { + return $this->putContents(file_get_contents($srcPath), $key, $mime ?: 'application/octet-stream'); + } + + public function putContents($binary, $key, $mime = null) { + if ($err = $this->validateConfig()) return ['ok' => false, 'error' => $err]; + $cred = $this->credentials(); + if (empty($cred['ok'])) return ['ok' => false, 'error' => $cred['error']]; + + $key = $this->objectKey($key); + $mime = $mime ?: 'application/octet-stream'; + $res = storageHttp('PUT', $this->objectUrl($key), + $this->buildHeaders('PUT', $key, $mime, $cred), $binary, 60); + + if (!$res['ok']) { + return ['ok' => false, 'error' => '上传到 COS 失败：' . $this->describe($res)]; + } + return ['ok' => true, 'error' => '']; + } + + public function delete($key) { + $cred = $this->credentials(); + if (empty($cred['ok'])) return ['ok' => false, 'error' => $cred['error']]; + + $key = $this->objectKey($key); + $res = storageHttp('DELETE', $this->objectUrl($key), + $this->buildHeaders('DELETE', $key, '', $cred), null, 30); + + if (!$res['ok'] && $res['status'] !== 404) { + return ['ok' => false, 'error' => '删除 COS 对象失败：' . $this->describe($res)]; + } + return ['ok' => true, 'error' => '']; + } + + public function exists($key) { + return true; + } + + public function test() { + if ($err = $this->validateConfig()) return ['ok' => false, 'error' => $err]; + $cred = $this->credentials(); + if (empty($cred['ok'])) return ['ok' => false, 'error' => $cred['error']]; + + // 探测对象也走前缀，顺便验证前缀目录的写权限 + $raw = '.movielog-probe/' . date('YmdHis') . '-' . bin2hex(random_bytes(4)) . '.txt'; + $key = $this->objectKey($raw); + $body = 'movielog storage probe ' . date('c'); + + $res = storageHttp('PUT', $this->objectUrl($key), + $this->buildHeaders('PUT', $key, 'text/plain', $cred), $body, 20); + if (!$res['ok']) { + return ['ok' => false, 'error' => '写入测试失败：' . $this->describe($res)]; + } + + $del = $this->delete($raw); // delete() 内部会自行加前缀，故传原始键 + $mode = ($this->cfg['auth_mode'] ?? 'ak') === 'cvm_role' + ? 'CVM CAM 角色（免密钥）' : 'SecretId/SecretKey'; + $prefix = trim((string)($this->cfg['prefix'] ?? ''), '/'); + + return [ + 'ok' => true, + 'error' => '', + 'message' => "连接成功（{$mode}）。桶 {$this->cfg['bucket']} 可读写，" + . ($prefix !== '' ? "前缀 {$prefix}/，" : '') + . '测试对象已清理。' . ($del['ok'] ? '' : '（注意：测试对象删除失败，请检查删除权限）'), + ]; + } + + private function describe($res) { + $body = trim((string)$res['body']); + $json = json_decode($body, true); + if (is_array($json)) { + $code = $json['Code'] ?? ''; + $msg = $json['Message'] ?? ''; + if ($code || $msg) return trim("{$code} {$msg}"); + } + return $res['error']; + } +} diff --git a/lib/storage/http.php b/lib/storage/http.php new file mode 100644 index 0000000..b091ef6 --- /dev/null +++ b/lib/storage/http.php @@ -0,0 +1,145 @@ +bool,'status'=>int,'headers'=>array,'body'=>string,'error'=>string] + */ +function storageHttp($method, $url, array $headers = [], $body = null, $timeout = 30, $insecure = false, $connectTimeout = null) { + $respHeaders = []; + $ch = curl_init(); + curl_setopt_array($ch, [ + CURLOPT_URL => $url, + CURLOPT_RETURNTRANSFER => true, + CURLOPT_CUSTOMREQUEST => strtoupper($method), + CURLOPT_HTTPHEADER => $headers, + CURLOPT_CONNECTTIMEOUT => $connectTimeout === null + ? min(10, max(3, $timeout)) + : max(1, (int)$connectTimeout), + CURLOPT_TIMEOUT => $timeout, + CURLOPT_FOLLOWLOCATION => false, + CURLOPT_SSL_VERIFYPEER => !$insecure, + CURLOPT_SSL_VERIFYHOST => $insecure ? 0 : 2, + CURLOPT_HEADERFUNCTION => function ($ch, $line) use (&$respHeaders) { + $pos = strpos($line, ':'); + if ($pos !== false) { + $name = strtolower(trim(substr($line, 0, $pos))); + $respHeaders[$name] = trim(substr($line, $pos + 1)); + } + return strlen($line); + }, + ]); + $ca = storageCaBundle(); + if ($ca && !$insecure) { + curl_setopt($ch, CURLOPT_CAINFO, $ca); + } + if ($body !== null) { + curl_setopt($ch, CURLOPT_POSTFIELDS, $body); + } + + $out = curl_exec($ch); + $err = curl_error($ch); + $errno = curl_errno($ch); + $status = (int)curl_getinfo($ch, CURLINFO_RESPONSE_CODE); + curl_close($ch); + + if ($out === false) { + return [ + 'ok' => false, 'status' => 0, 'headers' => [], + 'body' => '', + 'error' => $errno === CURLE_OPERATION_TIMEDOUT + ? "请求超时（{$timeout}s）" + : "网络错误({$errno}): {$err}", + ]; + } + + return [ + 'ok' => $status >= 200 && $status < 300, + 'status' => $status, + 'headers' => $respHeaders, + 'body' => $out, + 'error' => $status >= 200 && $status < 300 ? '' : "HTTP {$status}", + ]; +} + +// 生成对象的访问 URL（路径部分逐段编码，保留斜杠） +function storageEncodeKey($key) { + $key = ltrim((string)$key, '/'); + $segments = explode('/', $key); + return implode('/', array_map('rawurlencode', $segments)); +} + +// 解析 host 形式：bucket.endpoint 或自定义域名 +function storageHostOf($domain, $useHttps = true) { + $domain = preg_replace('#^https?://#i', '', trim((string)$domain)); + return ($useHttps ? 'https://' : 'http://') . rtrim($domain, '/'); +} + +// 统一把失败信息压缩成一行，便于写入设置页展示 +function storageShortError($text, $max = 200) { + $text = preg_replace('/\s+/', ' ', trim((string)$text)); + return mb_strlen($text, 'UTF-8') > $max ? mb_substr($text, 0, $max, 'UTF-8') . '…' : $text; +} diff --git a/lib/storage/local.php b/lib/storage/local.php new file mode 100644 index 0000000..210cc4f --- /dev/null +++ b/lib/storage/local.php @@ -0,0 +1,118 @@ +absPath($key); + $dir = dirname($target); + if (!is_dir($dir) && !@mkdir($dir, 0755, true)) { + return ['ok' => false, 'error' => "无法创建目录：{$dir}"]; + } + if (@rename($srcPath, $target)) { + @chmod($target, 0644); + return ['ok' => true, 'error' => '']; + } + if (@copy($srcPath, $target)) { + @unlink($srcPath); + @chmod($target, 0644); + return ['ok' => true, 'error' => '']; + } + return ['ok' => false, 'error' => "写入文件失败：{$key}（请检查目录权限）"]; + } + + public function putContents($binary, $key, $mime = null) { + $target = $this->absPath($key); + $dir = dirname($target); + if (!is_dir($dir) && !@mkdir($dir, 0755, true)) { + return ['ok' => false, 'error' => "无法创建目录：{$dir}"]; + } + if (@file_put_contents($target, $binary) === false) { + return ['ok' => false, 'error' => "写入文件失败：{$key}（请检查目录权限）"]; + } + @chmod($target, 0644); + return ['ok' => true, 'error' => '']; + } + + public function delete($key) { + $target = $this->absPath($key); + if (is_file($target)) { + return @unlink($target); + } + return true; // 不存在视为成功 + } + + public function url($key) { + return '/' . ltrim((string)$key, '/'); + } + + public function exists($key) { + return is_file($this->absPath($key)); + } + + /** + * 服务端读取对象。本地驱动直接读盘。 + * 返回结构与 storageHttp() 同构（etag / last-modified 供 media.php 做 304 判断）。 + */ + public function get($key, array $extra = []) { + $abs = $this->absPath($key); + if (!is_file($abs) || !is_readable($abs)) { + return ['ok' => false, 'status' => 404, 'headers' => [], 'body' => '', 'error' => '对象不存在']; + } + $body = @file_get_contents($abs); + if ($body === false) { + return ['ok' => false, 'status' => 500, 'headers' => [], 'body' => '', 'error' => '读取文件失败']; + } + return [ + 'ok' => true, + 'status' => 200, + 'headers' => [ + 'content-type' => storageMimeOfFile($abs), + 'content-length' => (string)strlen($body), + 'etag' => '"' . md5($body) . '"', + 'last-modified' => gmdate('D, d M Y H:i:s \G\M\T', (int)@filemtime($abs)), + ], + 'body' => $body, + 'error' => '', + ]; + } + + public function test() { + // 验证上传目录可写 + $probe = UPLOAD_DIR . '.storage_test_' . uniqid(); + if (@file_put_contents($probe, 'ok') === false) { + return ['ok' => false, 'error' => '上传目录不可写：' . UPLOAD_DIR]; + } + @unlink($probe); + $free = @disk_free_space(ROOT_DIR); + $msg = '本地存储正常，上传目录可写。'; + if ($free !== false) { + $msg .= ' 剩余空间 ' . formatBytes($free) . '。'; + } + return ['ok' => true, 'error' => '', 'message' => $msg]; + } + + private function absPath($key) { + return ROOT_DIR . '/' . ltrim((string)$key, '/'); + } +} + +// 字节数格式化（设置页展示用） +function formatBytes($bytes, $precision = 2) { + $units = ['B', 'KB', 'MB', 'GB', 'TB']; + $bytes = max(0, (float)$bytes); + $i = 0; + while ($bytes >= 1024 && $i < count($units) - 1) { + $bytes /= 1024; + $i++; + } + return round($bytes, $i === 0 ? 0 : $precision) . ' ' . $units[$i]; +} diff --git a/lib/storage/meta.php b/lib/storage/meta.php new file mode 100644 index 0000000..021f31e --- /dev/null +++ b/lib/storage/meta.php @@ -0,0 +1,207 @@ +bool,'id'=>string,'secret'=>string,'token'=>string,'expires'=>int,'error'=>string] + */ +function aliyunEcsRamCredentials($roleName = '', $force = false) { + static $memo = []; + $roleName = trim((string)$roleName); + $memoKey = 'aliyun:' . $roleName; + if (!$force && isset($memo[$memoKey])) return $memo[$memoKey]; + + // 跨请求缓存（临时凭据有效期通常 >= 1 小时） + if (!$force) { + $cached = getSettingJson('cache_meta_aliyun', []); + if (!empty($cached['expires']) && $cached['expires'] > time() + 300 + && ($cached['role'] ?? '') === $roleName) { + return $memo[$memoKey] = $cached + ['ok' => true, 'error' => '']; + } + } + + $base = 'http://100.100.100.200/latest/meta-data/ram/security-credentials/'; + + // IMDSv2：先取一次性 token（实例关闭 v1 时必须） + $token = ''; + $t = storageHttp('PUT', 'http://100.100.100.200/latest/api/token', + ['X-aliyun-ecs-metadata-token-ttl-seconds: 21600'], null, STORAGE_META_TIMEOUT); + if ($t['ok'] && trim($t['body']) !== '') { + $token = trim($t['body']); + } + $authHeader = $token !== '' ? ["X-aliyun-ecs-metadata-token: {$token}"] : []; + + // 角色名 + if ($roleName === '') { + $r = storageHttp('GET', $base, $authHeader, null, STORAGE_META_TIMEOUT); + if (!$r['ok']) { + return $memo[$memoKey] = aliyunMetaFail($r, '无法访问 ECS 元数据服务'); + } + $first = trim(strtok($r['body'], "\r\n")); + if ($first === '') { + return $memo[$memoKey] = aliyunMetaFail(null, '该实例未绑定 RAM 角色'); + } + $roleName = $first; + } + + $r = storageHttp('GET', $base . rawurlencode($roleName), $authHeader, null, STORAGE_META_TIMEOUT); + if (!$r['ok']) { + return $memo[$memoKey] = aliyunMetaFail($r, "获取 RAM 角色 {$roleName} 的临时凭据失败"); + } + $json = json_decode($r['body'], true); + if (!is_array($json) || empty($json['AccessKeyId']) || empty($json['AccessKeySecret'])) { + $returned = is_array($json) ? ($json['Code'] ?? '') : ''; + return $memo[$memoKey] = aliyunMetaFail(null, '元数据返回内容异常' . ($returned ? "（{$returned}）" : '')); + } + + $expires = !empty($json['Expiration']) ? (int)strtotime($json['Expiration']) : time() + 1800; + $cred = [ + 'ok' => true, + 'id' => (string)$json['AccessKeyId'], + 'secret' => (string)$json['AccessKeySecret'], + 'token' => (string)($json['SecurityToken'] ?? ''), + 'expires' => $expires, + 'error' => '', + 'role' => $roleName, + ]; + setSettingJson('cache_meta_aliyun', $cred); + return $memo[$memoKey] = $cred; +} + +function aliyunMetaFail($resp, $prefix) { + $detail = $resp === null ? '' : ($resp['error'] ?? ''); + return [ + 'ok' => false, 'id' => '', 'secret' => '', 'token' => '', 'expires' => 0, + 'error' => $prefix . ($detail ? "：{$detail}" : '') + . '（请确认服务器位于阿里云 ECS，且实例已绑定 RAM 角色；否则请改用 AccessKey 方式）', + ]; +} + +/** + * 当前 ECS 所在地域 ID（如 cn-qingdao、cn-beijing）。不在阿里云 ECS 上时返回空串。 + * + * 用途：判断「内网 endpoint 能不能用」。`oss--internal.aliyuncs.com` + * **只在与该桶同地域的 ECS 上可路由**；跨地域时 DNS 照常解析（秒回 A 记录） + * 但 TCP 永远连不通，于是每次读取都要先白等一次连接超时——这是「服务端代理 + * 慢到不可用」的典型成因。先比地域，可以完全免掉这类探测。 + * + * 地域不会变，结果缓存 1 小时。 + * + * @param bool $force 忽略缓存强制重取 + * @return string 地域 ID，未知时为空串 + */ +function aliyunEcsRegion($force = false) { + static $memo = null; + if (!$force && $memo !== null) return $memo; + + if (!$force) { + $cached = getSettingJson('cache_ecs_region', []); + if (!empty($cached['expires']) && $cached['expires'] > time()) { + return $memo = (string)($cached['region'] ?? ''); + } + } + + $r = storageHttp('GET', 'http://100.100.100.200/latest/meta-data/region-id', + [], null, STORAGE_META_TIMEOUT, false, 2); + $region = $r['ok'] ? trim((string)$r['body']) : ''; + if ($region !== '' && !preg_match('#^[A-Za-z0-9-]+$#', $region)) $region = ''; + + setSettingJson('cache_ecs_region', ['region' => $region, 'expires' => time() + 3600]); + return $memo = $region; +} + +/** + * 腾讯云 CVM：获取 CAM 角色的临时密钥。 + * + * @param string $roleName 指定的 CAM 角色名；留空则自动发现 + * @param bool $force 忽略缓存强制刷新 + * @return array ['ok'=>bool,'id'=>string,'secret'=>string,'token'=>string,'expires'=>int,'error'=>string] + */ +function tencentCvmCamCredentials($roleName = '', $force = false) { + static $memo = []; + $roleName = trim((string)$roleName); + $memoKey = 'tencent:' . $roleName; + if (!$force && isset($memo[$memoKey])) return $memo[$memoKey]; + + if (!$force) { + $cached = getSettingJson('cache_meta_tencent', []); + if (!empty($cached['expires']) && $cached['expires'] > time() + 300 + && ($cached['role'] ?? '') === $roleName) { + return $memo[$memoKey] = $cached + ['ok' => true, 'error' => '']; + } + } + + // 腾讯云元数据服务需要先获取会话 token + $token = ''; + $t = storageHttp('PUT', 'http://metadata.tencentyun.com/latest/api/token', + ['X-ttc-metadata-token-ttl-seconds: 21600'], null, STORAGE_META_TIMEOUT); + if ($t['ok'] && trim($t['body']) !== '') { + $token = trim($t['body']); + } + $authHeader = $token !== '' ? ["X-ttc-metadata-token: {$token}"] : []; + + $base = 'http://metadata.tencentyun.com/latest/meta-data/cam/security-credentials/'; + + if ($roleName === '') { + $r = storageHttp('GET', $base, $authHeader, null, STORAGE_META_TIMEOUT); + if (!$r['ok']) { + return $memo[$memoKey] = tencentMetaFail($r, '无法访问 CVM 元数据服务'); + } + $first = trim(strtok($r['body'], "\r\n")); + if ($first === '') { + return $memo[$memoKey] = tencentMetaFail(null, '该实例未绑定 CAM 角色'); + } + $roleName = $first; + } + + $r = storageHttp('GET', $base . rawurlencode($roleName), $authHeader, null, STORAGE_META_TIMEOUT); + if (!$r['ok']) { + return $memo[$memoKey] = tencentMetaFail($r, "获取 CAM 角色 {$roleName} 的临时密钥失败"); + } + $json = json_decode($r['body'], true); + if (!is_array($json) || empty($json['TmpSecretId']) || empty($json['TmpSecretKey'])) { + $returned = is_array($json) ? ($json['Code'] ?? '') : ''; + return $memo[$memoKey] = tencentMetaFail(null, '元数据返回内容异常' . ($returned ? "（{$returned}）" : '')); + } + + $cred = [ + 'ok' => true, + 'id' => (string)$json['TmpSecretId'], + 'secret' => (string)$json['TmpSecretKey'], + 'token' => (string)($json['Token'] ?? ''), + 'expires' => !empty($json['ExpiredTime']) ? (int)$json['ExpiredTime'] : time() + 1800, + 'error' => '', + 'role' => $roleName, + ]; + setSettingJson('cache_meta_tencent', $cred); + return $memo[$memoKey] = $cred; +} + +function tencentMetaFail($resp, $prefix) { + $detail = $resp === null ? '' : ($resp['error'] ?? ''); + return [ + 'ok' => false, 'id' => '', 'secret' => '', 'token' => '', 'expires' => 0, + 'error' => $prefix . ($detail ? "：{$detail}" : '') + . '（请确认服务器位于腾讯云 CVM，且实例已绑定 CAM 角色；否则请改用 SecretId 方式）', + ]; +} + +// 清除元数据凭据缓存（设置页"重新探测"时使用） +function clearMetaCredentialCache() { + deleteSetting('cache_meta_aliyun'); + deleteSetting('cache_meta_tencent'); + deleteSetting('cache_ecs_region'); + deleteSetting('cache_oss_internal'); +} diff --git a/lib/storage/oss.php b/lib/storage/oss.php new file mode 100644 index 0000000..b4662b9 --- /dev/null +++ b/lib/storage/oss.php @@ -0,0 +1,427 @@ +cfg = $cfg; + } + + public function id() { return 'oss'; } + + public function label() { return '阿里云 OSS'; } + + // ---------- 凭据 ---------- + + private function credentials() { + if ($this->cred !== null) return $this->cred; + + if (($this->cfg['auth_mode'] ?? 'ak') === 'ecs_role') { + $c = aliyunEcsRamCredentials($this->cfg['ram_role_name'] ?? ''); + if (empty($c['ok'])) return $this->cred = ['ok' => false, 'error' => $c['error']]; + return $this->cred = $c; + } + + if (trim((string)($this->cfg['access_key_id'] ?? '')) === '' + || trim((string)($this->cfg['access_key_secret'] ?? '')) === '') { + return $this->cred = ['ok' => false, 'error' => '未填写 AccessKey ID / AccessKey Secret']; + } + return $this->cred = [ + 'ok' => true, + 'id' => trim($this->cfg['access_key_id']), + 'secret' => trim($this->cfg['access_key_secret']), + 'token' => '', + 'error' => '', + ]; + } + + // ---------- 寻址 ---------- + + private function useHttps() { + return ($this->cfg['https'] ?? '1') === '1'; + } + + private function scheme() { + return $this->useHttps() ? 'https' : 'http'; + } + + private function endpoint() { + return preg_replace('#^https?://#i', '', trim((string)($this->cfg['endpoint'] ?? ''))); + } + + /** + * 服务端读取时优先使用的内网 endpoint（ECS ↔ OSS 同地域内网流量免费、更快）。 + * 只把标准的 `.aliyuncs.com` 推导为 `-internal.aliyuncs.com`； + * 自定义域名 / VPC 域名 / 已是内网域名的一律不猜，返回空串表示"不适用"。 + */ + private function internalEndpoint() { + if (($this->cfg['internal_endpoint'] ?? '1') === '0') return ''; + $ep = $this->endpoint(); + if ($ep === '' || strpos($ep, '-internal.') !== false) return ''; + if (preg_match('#^(oss-[a-z0-9-]+)\.aliyuncs\.com$#i', $ep, $m)) { + return $m[1] . '-internal.aliyuncs.com'; + } + return ''; + } + + // 给对象键加上「对象前缀」（桶内目录）。库中始终存不带前缀的相对键， + // 前缀只在驱动层拼接，因此改前缀不影响数据库里的历史记录。 + private function objectKey($key) { + $key = ltrim((string)$key, '/'); + $prefix = trim((string)($this->cfg['prefix'] ?? ''), '/'); + return $prefix === '' ? $key : $prefix . '/' . $key; + } + + private function host() { + return trim((string)$this->cfg['bucket']) . '.' . $this->endpoint(); + } + + private function objectUrl($key) { + return $this->scheme() . '://' . $this->host() . '/' . storageEncodeKey($key); + } + + // 对外访问地址（优先自定义域名） + public function url($key) { + $key = $this->objectKey($key); + $custom = trim((string)($this->cfg['custom_domain'] ?? '')); + if ($custom !== '') { + return storageHostOf($custom, $this->useHttps()) . '/' . storageEncodeKey($key); + } + return $this->scheme() . '://' . $this->host() . '/' . storageEncodeKey($key); + } + + // ---------- 签名 ---------- + + private function authorization($method, $key, $contentType, $date, $cred) { + $canonicalizedHeaders = ''; + if (($cred['token'] ?? '') !== '') { + $canonicalizedHeaders = "x-oss-security-token:{$cred['token']}\n"; + } + $canonicalizedResource = '/' . trim((string)$this->cfg['bucket']) . '/' . ltrim((string)$key, '/'); + $stringToSign = $method . "\n" // VERB + . "\n" // Content-MD5（未使用） + . $contentType . "\n" // Content-Type + . $date . "\n" // Date + . $canonicalizedHeaders + . $canonicalizedResource; + $signature = base64_encode(hash_hmac('sha1', $stringToSign, $cred['secret'], true)); + return 'OSS ' . $cred['id'] . ':' . $signature; + } + + private function buildHeaders($method, $key, $contentType, $cred) { + $date = gmdate('D, d M Y H:i:s \G\M\T'); + $headers = [ + 'Date: ' . $date, + 'Content-Type: ' . $contentType, + 'Authorization: ' . $this->authorization($method, $key, $contentType, $date, $cred), + ]; + if (($cred['token'] ?? '') !== '') { + $headers[] = 'x-oss-security-token: ' . $cred['token']; + } + return $headers; + } + + /** + * GET/HEAD 的请求头。故意**不发送** Content-Type 头（签名串里的 Content-Type 用空串）， + * 这是 OSS 签名 V1 对读取类请求的标准做法。 + * $extra 里放条件/断点头（If-None-Match、If-Modified-Since、Range）—— + * 它们不属于 CanonicalizedOSSHeaders（只有 x-oss-* 才计入），因此不影响签名。 + */ + private function readHeaders($key, $cred, array $extra = [], $method = 'GET') { + $date = gmdate('D, d M Y H:i:s \G\M\T'); + $headers = [ + 'Date: ' . $date, + 'Authorization: ' . $this->authorization($method, $key, '', $date, $cred), + ]; + if (($cred['token'] ?? '') !== '') { + $headers[] = 'x-oss-security-token: ' . $cred['token']; + } + foreach ($extra as $h) { + $headers[] = $h; + } + return $headers; + } + + // ---------- 内网 endpoint 可用性 ---------- + // + // 内网 endpoint（oss-<地域>-internal.aliyuncs.com）只在**与桶同地域**的 ECS 上 + // 可路由。跨地域时 DNS 会照常解析出一个 A 记录（解析耗时 ~1ms，看不出异常）， + // 但 TCP 连接永远建不起来，只能等满连接超时。若不做判定就无脑"内网优先"， + // 每读一张图都要先白等一次超时再回退公网——图片多的页面直接慢到不可用。 + // 所以这里先比地域（零成本、结论确定），拿不准才真的探一次，并把结论缓存下来。 + + /** 桶所在地域（从标准 endpoint 解析）；自定义/VPC 域名返回空串。 */ + private function bucketRegion() { + if (preg_match('#^oss-([a-z0-9-]+?)(?:-internal)?\.aliyuncs\.com$#i', $this->endpoint(), $m)) { + return strtolower($m[1]); + } + return ''; + } + + /** + * 探测内网 endpoint 是否可用，并把结论写入缓存。 + * @param bool $force 忽略缓存结论重新探测（设置页"测试连通性"用） + * @return array ['ok'=>bool,'reason'=>string] + */ + private function probeInternal($force = false) { + $internal = $this->internalEndpoint(); + $out = ['ok' => false, 'reason' => '']; + + if ($internal === '') { + return ['ok' => false, 'reason' => '未启用，或 endpoint 不是标准 OSS 域名']; + } + + $bucketRegion = $this->bucketRegion(); + $ecsRegion = function_exists('aliyunEcsRegion') ? aliyunEcsRegion($force) : ''; + + if ($bucketRegion !== '' && $ecsRegion !== '' && $bucketRegion !== $ecsRegion) { + // 跨地域：不必探测，内网一定不通 + $out['reason'] = "本机在 {$ecsRegion}、桶在 {$bucketRegion}，不是同一地域"; + } else { + $cred = $this->credentials(); + if (empty($cred['ok'])) { + $out['reason'] = '凭据不可用，无法探测'; + } else { + // 对桶根发一个签名 HEAD：只要拿到任何 HTTP 状态码就说明内网可路由 + // （没有 ListBucket 权限会回 403，但这已经证明网络通）。 + $url = $this->scheme() . '://' . trim((string)$this->cfg['bucket']) . '.' . $internal . '/'; + $res = storageHttp('HEAD', $url, $this->readHeaders('/', $cred, [], 'HEAD'), + null, 3, false, 2); + $out['ok'] = $res['status'] > 0; + $out['reason'] = $out['ok'] + ? "内网可达（HTTP {$res['status']}）" + : '内网 endpoint 连接失败：' . ($res['error'] ?? ''); + } + } + + setSettingJson('cache_oss_internal', [ + 'endpoint' => $internal, + 'ok' => $out['ok'] ? 1 : 0, + 'reason' => $out['reason'], + 'expires' => time() + ($out['ok'] ? 3600 : 1800), + ]); + return $out; + } + + /** 内网 endpoint 现在能不能用（结论走缓存，不会每个请求都探测）。 */ + private function internalUsable() { + $internal = $this->internalEndpoint(); + if ($internal === '') return false; + + $cache = getSettingJson('cache_oss_internal', []); + if (!empty($cache['expires']) && $cache['expires'] > time() + && ($cache['endpoint'] ?? '') === $internal) { + return !empty($cache['ok']); + } + return !empty($this->probeInternal()['ok']); + } + + /** 内网这次真的连不上 → 立刻记下，半小时内不再重试（避免每张图都白等）。 */ + private function markInternalDown($reason) { + if ($this->internalEndpoint() === '') return; + setSettingJson('cache_oss_internal', [ + 'endpoint' => $this->internalEndpoint(), + 'ok' => 0, + 'reason' => $reason, + 'expires' => time() + 1800, + ]); + } + + /** + * 供设置页展示：内网 endpoint 的推导结果与可用性判定。 + * @param bool $probe 强制重新探测 + * @return array ['endpoint'=>string,'ok'=>bool,'reason'=>string] + */ + public function internalStatus($probe = false) { + $internal = $this->internalEndpoint(); + if ($internal === '') return ['endpoint' => '', 'ok' => false, 'reason' => '']; + + $cache = getSettingJson('cache_oss_internal', []); + $cached = !empty($cache['expires']) && $cache['expires'] > time() + && ($cache['endpoint'] ?? '') === $internal; + + if ($probe || !$cached) { + $r = $this->probeInternal($probe); + return ['endpoint' => $internal, 'ok' => !empty($r['ok']), 'reason' => (string)$r['reason']]; + } + return [ + 'endpoint' => $internal, + 'ok' => !empty($cache['ok']), + 'reason' => (string)($cache['reason'] ?? ''), + ]; + } + + private function validateConfig() { + foreach (['bucket' => 'Bucket 名称', 'endpoint' => 'Endpoint'] as $f => $label) { + if (trim((string)($this->cfg[$f] ?? '')) === '') { + return "未填写{$label}"; + } + } + return ''; + } + + // ---------- 操作 ---------- + + public function putFile($srcPath, $key, $mime = null) { + return $this->putContents(file_get_contents($srcPath), $key, $mime ?: 'application/octet-stream'); + } + + public function putContents($binary, $key, $mime = null) { + if ($err = $this->validateConfig()) return ['ok' => false, 'error' => $err]; + $cred = $this->credentials(); + if (empty($cred['ok'])) return ['ok' => false, 'error' => $cred['error']]; + + $key = $this->objectKey($key); + $mime = $mime ?: 'application/octet-stream'; + $res = storageHttp('PUT', $this->objectUrl($key), + $this->buildHeaders('PUT', $key, $mime, $cred), $binary, 60); + + if (!$res['ok']) { + return ['ok' => false, 'error' => '上传到 OSS 失败：' . $this->describe($res)]; + } + return ['ok' => true, 'error' => '']; + } + + public function delete($key) { + $cred = $this->credentials(); + if (empty($cred['ok'])) return ['ok' => false, 'error' => $cred['error']]; + + $key = $this->objectKey($key); + $res = storageHttp('DELETE', $this->objectUrl($key), + $this->buildHeaders('DELETE', $key, '', $cred), null, 30); + + // 对象本就不存在时视为成功 + if (!$res['ok'] && $res['status'] !== 404) { + return ['ok' => false, 'error' => '删除 OSS 对象失败：' . $this->describe($res)]; + } + return ['ok' => true, 'error' => '']; + } + + public function exists($key) { + return true; // 远端不做逐次 HEAD 探测，交由页面兜底 + } + + /** + * 服务端读取对象（供 media.php 代理回吐）。 + * 私有桶同样可读——用的是实例角色 / AccessKey 签名，与桶的公共读权限无关。 + * $extra 用于透传条件头（If-None-Match / If-Modified-Since）与 Range，实现 304 短路与断点。 + * 返回结构与 storageHttp() 同构：['ok','status','headers','body','error'] + */ + public function get($key, array $extra = []) { + if ($err = $this->validateConfig()) { + return ['ok' => false, 'status' => 0, 'headers' => [], 'body' => '', 'error' => $err]; + } + $cred = $this->credentials(); + if (empty($cred['ok'])) { + return ['ok' => false, 'status' => 0, 'headers' => [], 'body' => '', 'error' => $cred['error']]; + } + + $key = $this->objectKey($key); + $headers = $this->readHeaders($key, $cred, $extra); + + // 候选主机：内网优先（同地域内网流量免费、延迟更低），传输层失败再回退公网。 + // 内网是否**真的可用**先判定（结论有缓存）——跨地域时内网不可路由， + // 无脑尝试会让每张图先白等一次连接超时。 + // Authorization 的 CanonicalizedResource 只含 /bucket/key，与主机无关，故可复用同一组头。 + $hosts = []; + $internal = $this->internalEndpoint(); + if ($internal !== '' && $this->internalUsable()) $hosts[] = $internal; + $hosts[] = $this->endpoint(); + + $res = null; + foreach ($hosts as $i => $host) { + $isInternal = ($internal !== '' && $host === $internal); + $url = $this->scheme() . '://' . trim((string)$this->cfg['bucket']) . '.' . $host + . '/' . storageEncodeKey($key); + // 内网只给 2 秒连接超时：万一判定失效，也只损失 2 秒而不是默认的 10 秒 + $res = storageHttp('GET', $url, $headers, null, 60, false, $isInternal ? 2 : null); + if ($res['status'] === 0) { + if ($isInternal) { + $this->markInternalDown('连接失败：' . ($res['error'] ?? '')); + } + if (isset($hosts[$i + 1])) continue; // 连不上 → 换下一个主机 + } + break; + } + return $res ?: ['ok' => false, 'status' => 0, 'headers' => [], 'body' => '', 'error' => '无法连接 OSS']; + } + + public function test() { + if ($err = $this->validateConfig()) return ['ok' => false, 'error' => $err]; + $cred = $this->credentials(); + if (empty($cred['ok'])) return ['ok' => false, 'error' => $cred['error']]; + + // 探测对象也走前缀，顺便验证前缀目录的写权限 + $raw = '.movielog-probe/' . date('YmdHis') . '-' . bin2hex(random_bytes(4)) . '.txt'; + $key = $this->objectKey($raw); + $binary = 'movielog storage probe ' . date('c'); + + $res = storageHttp('PUT', $this->objectUrl($key), + $this->buildHeaders('PUT', $key, 'text/plain', $cred), $binary, 20); + if (!$res['ok']) { + return ['ok' => false, 'error' => '写入测试失败：' . $this->describe($res)]; + } + + // 回读验证：「服务端代理」模式（media.php）完全依赖这条读取链路， + // 所以测试连通性必须把 GET 也走一遍——写入成功不等于读得回来。 + $read = $this->get($raw); + $readErr = ''; + if (!$read['ok']) { + $readErr = $this->describe($read); + } elseif (trim((string)$read['body']) !== trim($binary)) { + $readErr = '回读到的内容与写入不一致'; + } + + $del = $this->delete($raw); // delete() 内部会自行加前缀，故传原始键 + $mode = ($this->cfg['auth_mode'] ?? 'ak') === 'ecs_role' + ? 'ECS RAM 角色（免密钥）' : 'AccessKey'; + $prefix = trim((string)($this->cfg['prefix'] ?? ''), '/'); + + // 内网 endpoint 的结论要明说：跨地域时它是**静默拖慢**的元凶， + // 不报出来用户根本无从察觉。 + $internalNote = ''; + if ($this->internalEndpoint() !== '') { + $probe = $this->probeInternal(true); + $internalNote = $probe['ok'] + ? "服务端读取走内网 {$probe['endpoint']}（{$probe['reason']}）。" + : '内网 endpoint 已自动跳过（原因：' . $probe['reason'] . '），' + . '读取改走公网 ' . $this->endpoint() . '，功能不受影响。'; + } + + return [ + 'ok' => true, + 'read_ok' => $readErr === '', + 'error' => '', + 'message' => "连接成功（{$mode}）。桶 {$this->cfg['bucket']} 可读写，" + . ($prefix !== '' ? "前缀 {$prefix}/，" : '') + . ($readErr === '' + ? '服务端读取已验证——可安全启用「服务端代理」访问方式。' + : "但服务端读取失败：{$readErr}（请先排查读取权限，暂不要启用「服务端代理」）。") + . $internalNote + . '测试对象已清理。' . ($del['ok'] ? '' : '（注意：测试对象删除失败，请检查删除权限）'), + ]; + } + + // 把 HTTP 响应压成一句可读的错误 + private function describe($res) { + $body = trim((string)$res['body']); + if ($body !== '') { + if (preg_match('#(.*?)#s', $body, $m)) { + $code = preg_match('#(.*?)#s', $body, $c) ? $c[1] : ''; + return trim("{$code} {$m[1]}"); + } + if (preg_match('#(.*?)#s', $body, $c)) { + return $c[1]; + } + } + return $res['error']; + } +} diff --git a/lib/storage/qiniu.php b/lib/storage/qiniu.php new file mode 100644 index 0000000..810ed8c --- /dev/null +++ b/lib/storage/qiniu.php @@ -0,0 +1,194 @@ +cfg = $cfg; + } + + public function id() { return 'qiniu'; } + + public function label() { return '七牛云 Kodo'; } + + // ---------- 工具 ---------- + + // URL 安全 Base64（去掉填充、+→-、/→_） + private function urlsafeB64($data) { + return str_replace(['+', '/'], ['-', '_'], rtrim(base64_encode($data), '=')); + } + + private function uploadHost() { + $map = [ + 'z0' => 'upload.qiniup.com', + 'z1' => 'upload-z1.qiniup.com', + 'z2' => 'upload-z2.qiniup.com', + 'na0' => 'upload-na0.qiniup.com', + 'as0' => 'upload-as0.qiniup.com', + ]; + $region = (string)($this->cfg['region'] ?? 'z0'); + return $map[$region] ?? $map['z0']; + } + + private function scheme() { + return ($this->cfg['https'] ?? '1') === '1' ? 'https' : 'http'; + } + + // 给对象键加上「对象前缀」（桶内目录）。库中始终存不带前缀的相对键， + // 前缀只在驱动层拼接，因此改前缀不影响数据库里的历史记录。 + private function objectKey($key) { + $key = ltrim((string)$key, '/'); + $prefix = trim((string)($this->cfg['prefix'] ?? ''), '/'); + return $prefix === '' ? $key : $prefix . '/' . $key; + } + + private function credentials() { + $ak = trim((string)($this->cfg['access_key'] ?? '')); + $sk = trim((string)($this->cfg['secret_key'] ?? '')); + if ($ak === '' || $sk === '') { + return ['ok' => false, 'error' => '未填写 AccessKey / SecretKey']; + } + return ['ok' => true, 'ak' => $ak, 'sk' => $sk]; + } + + private function validateConfig() { + foreach (['bucket' => 'Bucket 名称'] as $f => $label) { + if (trim((string)($this->cfg[$f] ?? '')) === '') { + return "未填写{$label}"; + } + } + return ''; + } + + // 生成上传凭证 + private function uploadToken($key, $cred) { + $policy = [ + 'scope' => trim((string)$this->cfg['bucket']) . ':' . ltrim((string)$key, '/'), + 'deadline' => time() + 3600, + 'insertOnly' => 0, + ]; + $encoded = $this->urlsafeB64(json_encode($policy, JSON_UNESCAPED_UNICODE | JSON_UNESCAPED_SLASHES)); + $sign = $this->urlsafeB64(hash_hmac('sha1', $encoded, $cred['sk'], true)); + return $cred['ak'] . ':' . $sign . ':' . $encoded; + } + + // 管理凭证（用于删除） + private function managementAuth($path, $cred) { + $sign = $this->urlsafeB64(hash_hmac('sha1', $path . "\n", $cred['sk'], true)); + return 'QBox ' . $cred['ak'] . ':' . $sign; + } + + // ---------- 对外地址 ---------- + + public function url($key) { + $key = ltrim((string)$key, '/'); + $domain = trim((string)($this->cfg['custom_domain'] ?? '')); + if ($domain === '') { + return '/' . $key; // 未绑定域名时退回相对路径，避免生成半截 URL + } + return storageHostOf($domain, $this->scheme()) . '/' . storageEncodeKey($this->objectKey($key)); + } + + // ---------- 操作 ---------- + + public function putFile($srcPath, $key, $mime = null) { + if ($err = $this->validateConfig()) return ['ok' => false, 'error' => $err]; + $cred = $this->credentials(); + if (empty($cred['ok'])) return ['ok' => false, 'error' => $cred['error']]; + if (!is_file($srcPath)) return ['ok' => false, 'error' => "源文件不存在：{$srcPath}"]; + + $key = $this->objectKey($key); + $post = [ + 'token' => $this->uploadToken($key, $cred), + 'key' => $key, + 'file' => new CURLFile($srcPath, $mime ?: 'application/octet-stream', basename($key)), + ]; + $res = storageHttp('POST', $this->scheme() . '://' . $this->uploadHost() . '/', + ['Expect:'], $post, 90); + + return $this->interpretUpload($res); + } + + public function putContents($binary, $key, $mime = null) { + $tmp = tempnam(sys_get_temp_dir(), 'qn'); + if ($tmp === false || file_put_contents($tmp, $binary) === false) { + return ['ok' => false, 'error' => '无法创建临时文件']; + } + $result = $this->putFile($tmp, $key, $mime); + @unlink($tmp); + return $result; + } + + public function delete($key) { + $cred = $this->credentials(); + if (empty($cred['ok'])) return ['ok' => false, 'error' => $cred['error']]; + + $entry = $this->urlsafeB64(trim((string)$this->cfg['bucket']) . ':' . $this->objectKey($key)); + $path = '/delete/' . $entry; + $res = storageHttp('POST', $this->scheme() . '://rs.qiniup.com' . $path, + ['Authorization: ' . $this->managementAuth($path, $cred)], null, 30); + + if (!$res['ok'] && $res['status'] !== 612) { // 612 = 资源不存在 + return ['ok' => false, 'error' => '删除七牛对象失败：' . $this->describe($res)]; + } + return ['ok' => true, 'error' => '']; + } + + public function exists($key) { + return true; + } + + public function test() { + if ($err = $this->validateConfig()) return ['ok' => false, 'error' => $err]; + $cred = $this->credentials(); + if (empty($cred['ok'])) return ['ok' => false, 'error' => $cred['error']]; + if (trim((string)($this->cfg['custom_domain'] ?? '')) === '') { + return ['ok' => false, 'error' => '未填写绑定域名——七牛云必须绑定域名后才能对外访问图片']; + } + + $key = '.movielog-probe/' . date('YmdHis') . '-' . bin2hex(random_bytes(4)) . '.txt'; + $tmp = tempnam(sys_get_temp_dir(), 'qn'); + file_put_contents($tmp, 'movielog storage probe ' . date('c')); + $up = $this->putFile($tmp, $key, 'text/plain'); + @unlink($tmp); + if (empty($up['ok'])) return $up; + + $del = $this->delete($key); + $prefix = trim((string)($this->cfg['prefix'] ?? ''), '/'); + return [ + 'ok' => true, + 'error' => '', + 'message' => "连接成功（AccessKey/SecretKey）。空间 {$this->cfg['bucket']} 可上传，" + . ($prefix !== '' ? "前缀 {$prefix}/，" : '') + . '测试对象已清理。' . ($del['ok'] ? '' : '（注意：测试对象删除失败，请检查删除权限）'), + ]; + } + + // ---------- 响应解析 ---------- + + private function interpretUpload($res) { + $json = json_decode((string)$res['body'], true); + if (is_array($json) && !empty($json['key'])) { + return ['ok' => true, 'error' => '']; + } + if (!$res['ok'] || (is_array($json) && isset($json['error']))) { + return ['ok' => false, 'error' => '上传到七牛失败：' . $this->describe($res)]; + } + return ['ok' => false, 'error' => '上传到七牛失败：响应异常']; + } + + private function describe($res) { + $json = json_decode((string)$res['body'], true); + if (is_array($json) && !empty($json['error'])) { + return (string)$json['error']; + } + return $res['error']; + } +} diff --git a/media.php b/media.php new file mode 100644 index 0000000..3458baa --- /dev/null +++ b/media.php @@ -0,0 +1,133 @@ + 拿到 HTML 只会变成破图。 +// 返回 403 纯文本，前端 js/main.js 会把它替换成占位图。 +if (empty($_SESSION['admin_id'])) { + http_response_code(403); + header('Content-Type: text/plain; charset=utf-8'); + header('X-Content-Type-Options: nosniff'); + echo '未登录'; + exit; +} + +// ---------- 立刻释放会话锁 ---------- +// PHP 的会话文件锁是**排他**的。若一直持有到脚本结束，同一个浏览器并行发起的 +// 每张图片请求都会串行等待（浏览器通常同时开 6 条连接，全部卡在同一把锁上）， +// 页面图片越多越慢——每张图的取回耗时被乘上图片数量。 +// 本页后续逻辑（白名单 → 读存储 → 回吐）不再需要读写会话，所以这里就放开。 +if (session_status() === PHP_SESSION_ACTIVE) { + session_write_close(); +} + +// ---------- 对象键白名单 ---------- +// 只允许 uploads/ 下四个图片目录里的「纯文件名」。严格限制可同时挡住： +// · 目录穿越（../../db/movies.db、../config.php） +// · absolute path / 协议前缀 / 查询串注入 +$key = isset($_GET['k']) ? (string)$_GET['k'] : ''; +if (!preg_match('#^uploads/(?:posters|tickets|photos|avatars)/[A-Za-z0-9][A-Za-z0-9._-]*$#', $key) + || strpos($key, '..') !== false) { + http_response_code(404); + header('Content-Type: text/plain; charset=utf-8'); + header('X-Content-Type-Options: nosniff'); + echo '对象不存在'; + exit; +} + +// ---------- 条件请求头透传给上游 ---------- +// 透传 If-None-Match / If-Modified-Since 后，命中缓存时 OSS 直接返回 304， +// 不必把图片字节拉回来；Range 一并透传（为将来的视频留路）。 +$conditional = []; +foreach ([ + 'HTTP_IF_NONE_MATCH' => 'If-None-Match', + 'HTTP_IF_MODIFIED_SINCE' => 'If-Modified-Since', + 'HTTP_RANGE' => 'Range', +] as $srvKey => $headerName) { + if (!empty($_SERVER[$srvKey])) { + $conditional[] = $headerName . ': ' . $_SERVER[$srvKey]; + } +} + +$res = storageRead($key, $conditional); + +// ---------- 上游 304：原样短路 ---------- +if ((int)($res['status'] ?? 0) === 304) { + http_response_code(304); + if (!empty($res['headers']['etag'])) header('ETag: ' . $res['headers']['etag']); + exit; +} + +// ---------- 读取失败 ---------- +if (empty($res['ok'])) { + $status = (int)($res['status'] ?? 0); + if ($status === 0) { + $status = 502; // 连不上存储 + } elseif ($status < 400 || $status > 599) { + $status = 404; + } + if ($status !== 404) { + // 把真实原因留到设置页的「最近错误」里，否则 403/501 会很难排查 + storageRecordError('media.php 读取 ' . $key . ' 失败：' + . trim((string)($res['error'] ?? '')) . '（HTTP ' . $status . '）'); + } + http_response_code($status); + header('Content-Type: text/plain; charset=utf-8'); + header('X-Content-Type-Options: nosniff'); + echo $status === 501 ? '该存储驱动暂不支持服务端读取' : '对象不存在'; + exit; +} + +$body = (string)$res['body']; +$srcHeaders = $res['headers'] ?? []; +$etag = (string)($srcHeaders['etag'] ?? ''); +$lastModified = (string)($srcHeaders['last-modified'] ?? ''); + +// ---------- 本端 304 判断（本地驱动不会有上游 304） ---------- +if ($etag !== '' && isset($_SERVER['HTTP_IF_NONE_MATCH']) + && trim((string)$_SERVER['HTTP_IF_NONE_MATCH']) === $etag) { + http_response_code(304); + header('ETag: ' . $etag); + exit; +} + +// ---------- Content-Type 按扩展名白名单决定 ---------- +// 绝不平铺上游返回的类型：否则桶里若被塞进 .html/.svg，就会以 text/html 在本站域下执行（XSS）。 +$ext = strtolower(pathinfo($key, PATHINFO_EXTENSION)); +$mime = [ + 'jpg' => 'image/jpeg', 'jpeg' => 'image/jpeg', 'png' => 'image/png', + 'gif' => 'image/gif', 'webp' => 'image/webp', 'bmp' => 'image/bmp', + 'avif' => 'image/avif', 'ico' => 'image/x-icon', + 'mp4' => 'video/mp4', 'webm' => 'video/webm', 'mov' => 'video/quicktime', +][$ext] ?? 'application/octet-stream'; + +// ---------- 状态码与响应头 ---------- +$contentRange = (string)($srcHeaders['content-range'] ?? ''); +if ($contentRange !== '' && (int)$res['status'] === 206) { + http_response_code(206); + header('Content-Range: ' . $contentRange); +} else { + http_response_code(200); +} + +header('Content-Type: ' . $mime); +header('Content-Length: ' . strlen($body)); +header('X-Content-Type-Options: nosniff'); // 禁止内容嗅探 +header('Content-Disposition: ' . ($mime === 'application/octet-stream' ? 'attachment' : 'inline')); +if ($etag !== '') header('ETag: ' . $etag); +if ($lastModified !== '') header('Last-Modified: ' . $lastModified); +// 文件名是内容指纹（md5 前 12 位 + 随机后缀），内容不会原地变更 → 可长缓存； +// private 表示仅当前浏览器可缓存（图片需登录才能读）。 +header('Cache-Control: private, max-age=31536000, immutable'); + +echo $body; diff --git a/nav.php b/nav.php index 6574905..239863c 100644 --- a/nav.php +++ b/nav.php @@ -59,6 +59,10 @@ $current_page = basename($_SERVER['PHP_SELF']); 👤 用户管理
+ > + ⚙️ 系统设置 + +
🚪 退出登录 diff --git a/persons.php b/persons.php index 4370fea..b4dee44 100644 --- a/persons.php +++ b/persons.php @@ -296,7 +296,7 @@ $preset_colors = [
- + @@ -305,7 +305,7 @@ $preset_colors = [
- 当前头像： + 当前头像： 删除
@@ -476,5 +476,6 @@ $preset_colors = [ // 另外，如果用户上传了文件但未裁剪直接取消，则不清除文件输入，但不会触发裁剪，所以正常。 + \ No newline at end of file diff --git a/settings.php b/settings.php new file mode 100644 index 0000000..a276973 --- /dev/null +++ b/settings.php @@ -0,0 +1,839 @@ + [ + 'auth_mode' => 'plain', + 'access_key_id' => 'plain', + 'access_key_secret' => 'secret', + 'bucket' => 'plain', + 'endpoint' => 'plain', + 'prefix' => 'plain', + 'ram_role_name' => 'plain', + 'custom_domain' => 'plain', + 'internal_endpoint' => 'plain', + 'https' => 'plain', + ], + 'cos' => [ + 'auth_mode' => 'plain', + 'secret_id' => 'plain', + 'secret_key' => 'secret', + 'bucket' => 'plain', + 'region' => 'plain', + 'prefix' => 'plain', + 'cam_role_name' => 'plain', + 'custom_domain' => 'plain', + 'https' => 'plain', + ], + 'qiniu' => [ + 'access_key' => 'plain', + 'secret_key' => 'secret', + 'bucket' => 'plain', + 'region' => 'plain', + 'prefix' => 'plain', + 'custom_domain' => 'plain', + 'https' => 'plain', + ], + ]; + + foreach ($fieldMap as $d => $fields) { + $old = storageConfigFor($d); + $in = isset($_POST[$d]) && is_array($_POST[$d]) ? $_POST[$d] : []; + $clearSecrets = !empty($in['clear_secrets']); + $new = []; + + foreach ($fields as $f => $kind) { + $posted = isset($in[$f]) ? trim((string)$in[$f]) : ''; + if ($kind === 'secret') { + if ($clearSecrets) { + $new[$f] = ''; + } else { + // 留空表示保持原值 + $new[$f] = $posted === '' ? (string)($old[$f] ?? '') : $posted; + } + } else { + $new[$f] = $posted !== '' ? $posted : (string)($old[$f] ?? ''); + } + } + // 复选框型字段（未勾选时浏览器不提交该字段，必须显式归零而不是沿用旧值） + $new['https'] = ($new['https'] ?? '') === '0' ? '0' : '1'; + if ($d === 'oss') { + $new['internal_endpoint'] = ($new['internal_endpoint'] ?? '') === '1' ? '1' : '0'; + } + + saveStorageConfig($d, $new); + } + + setSetting('storage_driver', $driver); + + // 图片访问方式：direct（直连存储）/ proxy（经 media.php 服务端代理读取） + $accessMode = ($_POST['storage_access_mode'] ?? 'direct') === 'proxy' ? 'proxy' : 'direct'; + setSetting('storage_access_mode', $accessMode); + + $message = '设置已保存。当前存储方式：' . (storageDriverLabels()[$driver] ?? $driver) + . '；图片访问方式：' . ($accessMode === 'proxy' ? '服务端代理' : '直连存储'); +} + +// ---------- 清除错误提示 ---------- +if ($_SERVER['REQUEST_METHOD'] === 'POST' && ($_POST['action'] ?? '') === 'clear_storage_error') { + storageClearError(); + $message = '已清除错误提示'; +} + +$drivers = storageDriverLabels(); +$current = currentStorageDriver(); +$configs = []; +foreach (['oss', 'cos', 'qiniu'] as $d) { + $configs[$d] = storageConfigFor($d); +} +$lastError = storageLastError(); +$isRemote = storageIsRemote(); +$remoteReady = $current !== 'local' && storageConfigComplete($current); + +// 本地图片统计（只读目录，不查库） +function localImageStat() { + $count = 0; $bytes = 0; + $base = UPLOAD_DIR; + if (!is_dir($base)) return ['count' => 0, 'bytes' => 0]; + $it = new RecursiveIteratorIterator( + new RecursiveDirectoryIterator($base, FilesystemIterator::SKIP_DOTS), + RecursiveIteratorIterator::LEAVES_ONLY + ); + foreach ($it as $f) { + if (!$f->isFile()) continue; + if ($f->getFilename() === '.htaccess') continue; + $count++; + $bytes += $f->getSize(); + } + return ['count' => $count, 'bytes' => $bytes]; +} +$localStat = localImageStat(); +?> + + + + + + 系统设置 - 电影日志 + + + + + +
+ +
+
+ + +
+ 最近一次存储错误（， + 驱动：）
+ +
+ + +
+
+ + +
+

图片存储方式

+
+ 图片可以存放在本站硬盘上，也可以托管到对象存储。改用对象存储后，图片不再占用服务器磁盘， + 以后搬迁网站时也不必搬运图片文件。
+ 切换存储方式不会影响已有图片：系统按"本地优先"读取， + 本地存在的文件继续走本地，新上传的图片才走云端。 +
+ +
+ + +
+ '默认方式，图片存在 uploads/ 目录', + 'oss' => '阿里云对象存储，支持 ECS 免密钥', + 'cos' => '腾讯云对象存储，支持 CVM 免密钥', + 'qiniu' => '七牛云对象存储，需绑定域名', + ]; + foreach ($drivers as $id => $label): ?> + + +
+ + + internalStatus(); + } + ?> +
+ +
+ + +
+
+ + +
+
阿里云 OSS 配置
+ +
+ + +
服务器在阿里云 ECS 上并已绑定 RAM 角色时，选第二项可完全不填密钥。
+
+ +
+
+ + +
+
+ + + + + +
+
+ + + +
+ + +
+
+ + +
在 OSS 控制台"概览"里查看，形如 oss-cn-地域.aliyuncs.com，不要带 https://。
+
+
+ +
仅在「服务端代理」访问方式下生效。服务器与桶同地域时， + 读取会改用 oss-<地域>-internal.aliyuncs.com——内网流量免费且更快。
+ 不同地域时内网地址连不通（DNS 能解析、TCP 建不起来）， + 硬走内网会让每次读取先白等一次连接超时。系统会自动判定地域、不可用就跳过并回退公网， + 不会因此变慢；此处结论见下方「当前状态」。
+ +
+ 当前判定： + + 内网可用 + + 已跳过内网，走公网 + + + + —— + +
+ +
+
+ + +
填写后图片会存到桶内该目录下，键变为 前缀/uploads/posters/xxx.jpg； + 同一个桶存放多个站点时用它区分。留空则直接放在桶根目录。
+
+
+ + +
填写后图片 URL 会使用该域名；留空则使用 OSS 默认域名。
+
+
+ + +
+
+ + +
+
腾讯云 COS 配置
+ +
+ + +
服务器在腾讯云 CVM 上并已绑定 CAM 角色时，选第二项可完全不填密钥。
+
+ +
+
+ + +
+
+ + + + + +
+
+ + + +
+ + +
COS 的桶名必须带 APPID 后缀。
+
+
+ + +
形如 ap-地域，在 COS 控制台桶的"概览"中可查。
+
+
+ + +
填写后图片会存到桶内该目录下，键变为 前缀/uploads/posters/xxx.jpg； + 同一个桶存放多个站点时用它区分。留空则直接放在桶根目录。
+
+
+ + +
+
+ + +
+
+ + +
+
七牛云 Kodo 配置
+ +
+ + +
+
+ + + + + +
+
+ + +
+
+ + +
+
+ + +
七牛云的对象必须通过绑定域名访问，未绑定域名则图片无法显示。
+
+
+ + +
填写后图片会存到空间内该目录下，键变为 前缀/uploads/posters/xxx.jpg； + 同一个空间存放多个站点时用它区分。留空则直接放在空间根目录。
+
+
+ + +
+
+ +
+ + + +
+
+
+ +
+

当前状态

+
+
生效方式
+
+ + + + 配置完整 + + 配置不完整，暂时按本地存储处理 + + + 本地存储 + +
+ +
图片访问方式
+
+ + 服务端代理 + 经 media.php 鉴权读取，桶可设为私有 + + 直连存储 + 图片 URL 直接指向存储 + +
+ + +
服务端读取通道
+
+ + 内网 + + 公网（已跳过内网） + + + + + +
+ + +
本地图片
+
张，占用
+ +
数据目录
+
+ + +
对象前缀
+
+ + + / + + 未设置，图片直接放在桶根目录 + +
+ + +
凭据加密
+
+ + 加密不可用 + + 未启用 openssl 或 db/ 目录不可写，云厂商密钥将以明文保存 + + + 解密失败 + + 密钥文件 db/.settings.key 丢失或损坏，请在各云厂商表单中重新填写密钥 + + + 已加密 + + ，密钥单独存放于 db/.settings.key（不在数据库内） + + +
+ + +
ECS 角色
+
+ + +
+ +
CVM 角色
+
+ + +
+ +
+
+ +
+

把已有图片迁移到云端

+
+ 迁移会把 uploads/ 目录下的图片逐个上传到当前对象存储，并按内容指纹重命名 + （<md5前12位>_<随机6位>.扩展名），同时自动改写数据库里对应的图片引用， + 因此已有记录不会裂图。已经是本内容指纹名的文件会跳过改名，重复迁移是安全的。
+ 执行顺序固定为先上传 → 再改库 → 最后才删本地：任一步失败都会停下并保留本地文件， + 加上"本地优先"渲染，页面不会出现裂图。云端若已存在旧名对象，会保留不删（不影响使用）。 +
+ + +
+ 当前未启用对象存储（或配置不完整），迁移功能暂不可用。请先选择云端存储并保存。 + （提示：当前驱动配置不完整，无法上传） +
+ +
+ + + +
+
+
尚未开始。
+
+ +
+ +
+ + + + diff --git a/storage_api.php b/storage_api.php new file mode 100644 index 0000000..bf9ca86 --- /dev/null +++ b/storage_api.php @@ -0,0 +1,273 @@ +Warning" 被 display_errors 打在 JSON 前面）。 +ini_set('display_errors', '0'); +ini_set('log_errors', '1'); +ob_start(); + +// 兜底：万一发生致命错误，丢弃半截输出，改回一个可读的 JSON 错误 +register_shutdown_function(function () { + $e = error_get_last(); + $fatal = $e && in_array($e['type'], [E_ERROR, E_PARSE, E_CORE_ERROR, E_COMPILE_ERROR, E_USER_ERROR], true); + if (!$fatal) return; + while (ob_get_level() > 0) { ob_end_clean(); } + if (!headers_sent()) { + header('Content-Type: application/json; charset=utf-8'); + } + echo json_encode(['ok' => false, 'error' => '服务器内部错误：' . $e['message']], JSON_UNESCAPED_UNICODE); +}); + +checkLogin(); + +header('Content-Type: application/json; charset=utf-8'); + +$action = $_POST['action'] ?? ($_GET['action'] ?? ''); + +// 把表单提交的配置合并到已保存配置之上（留空字段沿用旧值） +function mergePostedConfig($driver, array $posted) { + $saved = storageConfigFor($driver); + foreach ($saved as $k => $old) { + if (!array_key_exists($k, $posted)) continue; + if (is_array($posted[$k])) continue; + $val = trim((string)$posted[$k]); + if ($val === '') { + continue; // 留空：沿用已保存（与保存逻辑一致） + } + $saved[$k] = $val; + } + $saved['https'] = ($saved['https'] ?? '1') === '0' ? '0' : '1'; + return $saved; +} + +function jsonOut($data) { + echo json_encode($data, JSON_UNESCAPED_UNICODE | JSON_UNESCAPED_SLASHES); + exit; +} + +// 扫描 uploads/ 下的全部文件（返回相对 ROOT_DIR 的键，已排序） +function scanLocalUploadFiles() { + $out = []; + if (!is_dir(UPLOAD_DIR)) return $out; + $it = new RecursiveIteratorIterator( + new RecursiveDirectoryIterator(UPLOAD_DIR, FilesystemIterator::SKIP_DOTS), + RecursiveIteratorIterator::LEAVES_ONLY + ); + foreach ($it as $f) { + if (!$f->isFile()) continue; + $name = $f->getFilename(); + if ($name === '.htaccess' || $name[0] === '.') continue; + $rel = relPathOfDir($f->getPath()) . $name; + $out[] = $rel; + } + sort($out, SORT_STRING); + return $out; +} + +function localBytesOf(array $files) { + $b = 0; + foreach ($files as $f) { + $p = ROOT_DIR . '/' . $f; + if (is_file($p)) $b += filesize($p); + } + return $b; +} + +switch ($action) { + + // ---------- 测试连接 ---------- + case 'test': { + $driver = $_POST['driver'] ?? ''; + if (!in_array($driver, ['oss', 'cos', 'qiniu'], true)) { + jsonOut(['ok' => false, 'error' => '请选择云端存储方式后再测试']); + } + $posted = isset($_POST[$driver]) && is_array($_POST[$driver]) ? $_POST[$driver] : []; + $cfg = mergePostedConfig($driver, $posted); + + try { + $obj = storageDriverInstance($driver, $cfg); + $r = $obj->test(); + } catch (Throwable $e) { + jsonOut(['ok' => false, 'error' => '测试异常：' . $e->getMessage()]); + } + + if (!empty($r['ok'])) { + // 测试通过，顺手清掉历史错误提示 + if (currentStorageDriver() === $driver) { + storageClearError(); + } + jsonOut(['ok' => true, 'message' => $r['message'] ?? '连接成功']); + } + jsonOut(['ok' => false, 'error' => $r['error'] ?? '测试失败']); + } + + // ---------- 探测云主机身份 ---------- + case 'detect_cloud': { + clearMetaCredentialCache(); + $found = storageDetectCloudHost(); + if (empty($found)) { + jsonOut([ + 'ok' => false, + 'message' => '未检测到云主机实例元数据。说明当前服务器不在阿里云 ECS / 腾讯云 CVM 上，' + . '或实例未绑定角色——请改用密钥方式填写。', + ]); + } + $parts = []; + foreach ($found as $k => $info) { + $parts[] = $info['label'] . '，角色：' . ($info['role'] !== '' ? $info['role'] : '（未知）'); + } + jsonOut(['ok' => true, 'message' => '✔ 检测到：' . implode('；', $parts) . '，可使用免密钥方式。']); + } + + // ---------- 统计本地图片 ---------- + case 'stat': { + $files = scanLocalUploadFiles(); + $bytes = localBytesOf($files); + jsonOut([ + 'ok' => true, + 'local_total' => count($files), + 'local_bytes' => $bytes, + 'local_bytes_h' => formatBytes($bytes), + 'remote_ready' => storageIsRemote(), + ]); + } + + // ---------- 分批迁移 ---------- + case 'migrate': { + if (!storageIsRemote()) { + jsonOut(['ok' => false, 'error' => '当前未启用对象存储（或配置不完整），无法迁移']); + } + @set_time_limit(120); + + $driver = storage(); + if ($driver->id() === 'local') { + jsonOut(['ok' => false, 'error' => '当前驱动为本地存储，无法迁移']); + } + + // 游标形如 "<本次运行令牌>|<已处理条数>"。 + // 之所以不用「文件名游标」：迁移会把本地文件按内容指纹改名， + // 改名后的新名字可能排到游标之后，于是同一个文件会被再处理一遍 + // （线上出现过「进度 880/447」这种超过总数的数字）。 + // 这里把「本次运行要处理的文件清单」一次性冻结存档，之后按**下标**推进， + // 改名与否都不再影响进度；令牌用来识别并丢弃上一次遗留的清单。 + $cursor = (string)($_POST['cursor'] ?? ''); + $limit = (int)($_POST['limit'] ?? 10); + $limit = max(1, min(50, $limit)); + $deleteLocal = !empty($_POST['delete_local']); + + $token = ''; + $start = 0; + if ($cursor !== '' && strpos($cursor, '|') !== false) { + list($token, $idx) = explode('|', $cursor, 2); + $start = max(0, (int)$idx); + } + + $queue = null; + if ($token !== '') { + $saved = json_decode((string)getSetting('storage_migrate_queue', ''), true); + if (is_array($saved) && ($saved['run'] ?? '') === $token && is_array($saved['files'] ?? null)) { + $queue = $saved['files']; + } + } + if ($queue === null) { // 新一轮：重新冻结清单 + $queue = scanLocalUploadFiles(); + $token = bin2hex(random_bytes(6)); + $start = 0; + setSetting('storage_migrate_queue', + json_encode(['run' => $token, 'files' => $queue], JSON_UNESCAPED_UNICODE)); + } + + $total = count($queue); + $batch = array_slice($queue, $start, $limit); + + $migrated = 0; + $failed = 0; + $renamed = 0; + $refs = 0; + $errors = []; + + foreach ($batch as $rel) { + $abs = ROOT_DIR . '/' . $rel; + if (!is_file($abs)) { continue; } + + $binary = @file_get_contents($abs); + if ($binary === false || $binary === '') { + $failed++; + if (count($errors) < 20) $errors[] = $rel . ' → 读取源文件失败'; + continue; + } + + // 目标键：已经是本内容的指纹名就沿用（保证重复迁移幂等），否则按内容指纹改名 + if (isFingerprintedName($rel, $binary)) { + $newKey = $rel; + } else { + $ext = strtolower(pathinfo($rel, PATHINFO_EXTENSION)); + // 头像目录沿用 avatar 角色段，与正常上传的命名保持一致（便于人工排查） + $role = (basename(dirname($abs)) === 'avatars') ? 'avatar' : ''; + $newKey = relPathOfDir(dirname($abs)) . fingerprintedFilename($binary, $ext, $role); + } + + $up = $driver->putFile($abs, $newKey, storageMimeOfFile($abs)); + if (empty($up['ok'])) { + $failed++; + if (count($errors) < 20) $errors[] = $rel . ' → ' . ($up['error'] ?? '上传失败'); + continue; + } + + // 顺序不可颠倒：先上传成功 → 再改写数据库引用 → 再同步本地文件名 → 最后才删。 + // 任一步失败就停在这里，本地文件仍在，"本地优先" 渲染保证页面不会裂图。 + if ($newKey !== $rel) { + $refs += storageRewriteImageRef($rel, $newKey); + $renamed += 1; + + // 本地文件同步改成指纹名：一是本地 / 云端 / 数据库三者保持一致， + // 二是——即便不删除本地文件——下次迁移看到的已是指纹名，可直接跳过， + // 从而让「重复迁移」真正幂等（不会每次又换一个新的随机后缀）。 + $newAbs = ROOT_DIR . '/' . $newKey; + if ($abs !== $newAbs && @rename($abs, $newAbs)) { + $abs = $newAbs; + } + } + + $migrated++; + if ($deleteLocal) { + @unlink($abs); + } + } + + // 按「下标」推进：本批就是清单里的 [start, start+count(batch)) 段 + $processed = count($batch); + $next = $start + $processed; + $remaining = max(0, $total - $next); + if ($remaining === 0) { + // 本次跑完，清掉清单；下次点迁移会重新冻结一份（此时本地已是指纹名，直接复用键） + deleteSetting('storage_migrate_queue'); + } + + jsonOut([ + 'ok' => true, + 'processed' => $processed, + 'migrated' => $migrated, + 'renamed' => $renamed, + 'refs' => $refs, + 'failed' => $failed, + 'errors' => $errors, + 'cursor' => $token . '|' . $next, + 'has_more' => $remaining > 0, + 'total' => $total, + 'remaining' => $remaining, + ]); + } + + default: + jsonOut(['ok' => false, 'error' => '未知操作']); +}