laoyang/MovieLog_Server
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

feat: 云端图片存储（OSS/COS/七牛）+ 服务端代理读取，并补全文档

Browse Source 
新增存储抽象层：图片可存本地或云对象存储，切换存储方式不影响已有图片。

存储层
- lib/storage.php 存储门面：本地优先读取、URL 生成、上传/删除、批量迁移、
  服务端读取（storageRead）与访问方式判定（storageAccessMode）
- lib/storage/{local,oss,cos,qiniu}.php 四种后端驱动；http.php 共用 cURL 客户端；
  meta.php 实例元数据鉴权（ECS RAM 角色 / CVM CAM 角色，免密钥）
- lib/settings.php 设置读写；云厂商密钥以 enc:v1:gcm 密文落库（db/.settings.key）
- 文件名改为内容指纹（md5 前 12 位_6 位随机[_角色].ext），内容不变则名不变，
  因此可下发 immutable 长缓存

两种图片访问方式
- 直连存储：storageUrl() 产出对象存储地址（桶需允许匿名读）
- 服务端代理：media.php 鉴权后由服务器签名读取并同源回吐，桶可保持私有
  · 未登录返回 403 纯文本（刻意不用 302，否则 <img> 会拿到一段 HTML）
  · 对象键白名单防目录穿越；Content-Type 按扩展名白名单决定 + nosniff（防同源 XSS）
  · 透传 If-None-Match / Range，上游 304 直接短路；private + immutable 长缓存
  · 鉴权后立即 session_write_close()，避免排他会话锁把并行图片请求串行化

内网 endpoint 判定（修「开了代理后慢到不可用」）
- 内网地址只在与桶同地域的 ECS 上可路由；跨地域时 DNS 能解析但 TCP 连不通，
  无脑「内网优先」会让每次读取先白等满一次连接超时（默认 10 秒）
- 改为先比本机 ECS 地域与桶地域（零成本、结论确定）→ 不同即跳过；
  结论落缓存；内网只给 2 秒连接超时，传输层失败立刻标记且短期内不再重试
- 「测试连通性」升级为 PUT → GET 回读 → DELETE，并显式报出内网判定结论

界面与页面
- settings.php 系统设置页：驱动选择、各云配置、图片访问方式、连接测试、迁移进度
- storage_api.php 提供 stat / migrate / test 三个 JSON 接口
- detail / edit / annual_report / persons 原先直接拼本地路径（file_exists / '/'.$path），
  迁云后会整块不渲染或 404，统一改为走存储门面
- js/main.js 增加破图占位兜底；config.php 统一下发 Referrer-Policy: same-origin

文档
- README 新增《图片存储与对象存储》整章：设计约定、两种访问方式取舍表、
  直连存储逐项配置说明（桶 ACL / 防盗链白名单 / 跨域 CORS 与 crossorigin /
  强制下载 / endpoint 地域 / 自定义域名）与上线检查清单、服务端代理实现要点、
  迁移步骤、12 条踩坑记录、可直接复制的排障命令手册
This commit is contained in:
laoyang
2026-09-21 22:06:02 +08:00
parent dd957d45bd
commit 673a8abf78
21 changed files with 3746 additions and 57 deletions
Download Patch File Download Diff File Expand all files Collapse all files
lib/storage/qiniu.php
+194
View File
@@ -0,0 +1,194 @@
<?php
// ============================================
// 文件: lib/storage/qiniu.php
// 说明: 七牛云 Kodo 驱动
// 鉴权：AccessKey / SecretKey 计算上传凭证（HMAC-SHA1 + URL 安全 Base64）
// 注意：七牛不提供云主机元数据鉴权，必须使用密钥；且访问需要绑定域名。
// ============================================
class StorageQiniu {
private $cfg;
public function __construct(array $cfg) {
$this->cfg = $cfg;
}
public function id() { return 'qiniu'; }
public function label() { return '七牛云 Kodo'; }
// ---------- 工具 ----------
// URL 安全 Base64（去掉填充、+→-、/→_）
private function urlsafeB64($data) {
return str_replace(['+', '/'], ['-', '_'], rtrim(base64_encode($data), '='));
}
private function uploadHost() {
$map = [
'z0' => 'upload.qiniup.com',
'z1' => 'upload-z1.qiniup.com',
'z2' => 'upload-z2.qiniup.com',
'na0' => 'upload-na0.qiniup.com',
'as0' => 'upload-as0.qiniup.com',
];
$region = (string)($this->cfg['region'] ?? 'z0');
return $map[$region] ?? $map['z0'];
}
private function scheme() {
return ($this->cfg['https'] ?? '1') === '1' ? 'https' : 'http';
}
// 给对象键加上「对象前缀」（桶内目录）。库中始终存不带前缀的相对键，
// 前缀只在驱动层拼接，因此改前缀不影响数据库里的历史记录。
private function objectKey($key) {
$key = ltrim((string)$key, '/');
$prefix = trim((string)($this->cfg['prefix'] ?? ''), '/');
return $prefix === '' ? $key : $prefix . '/' . $key;
}
private function credentials() {
$ak = trim((string)($this->cfg['access_key'] ?? ''));
$sk = trim((string)($this->cfg['secret_key'] ?? ''));
if ($ak === '' || $sk === '') {
return ['ok' => false, 'error' => '未填写 AccessKey / SecretKey'];
}
return ['ok' => true, 'ak' => $ak, 'sk' => $sk];
}
private function validateConfig() {
foreach (['bucket' => 'Bucket 名称'] as $f => $label) {
if (trim((string)($this->cfg[$f] ?? '')) === '') {
return "未填写{$label}";
}
}
return '';
}
// 生成上传凭证
private function uploadToken($key, $cred) {
$policy = [
'scope' => trim((string)$this->cfg['bucket']) . ':' . ltrim((string)$key, '/'),
'deadline' => time() + 3600,
'insertOnly' => 0,
];
$encoded = $this->urlsafeB64(json_encode($policy, JSON_UNESCAPED_UNICODE | JSON_UNESCAPED_SLASHES));
$sign = $this->urlsafeB64(hash_hmac('sha1', $encoded, $cred['sk'], true));
return $cred['ak'] . ':' . $sign . ':' . $encoded;
}
// 管理凭证（用于删除）
private function managementAuth($path, $cred) {
$sign = $this->urlsafeB64(hash_hmac('sha1', $path . "\n", $cred['sk'], true));
return 'QBox ' . $cred['ak'] . ':' . $sign;
}
// ---------- 对外地址 ----------
public function url($key) {
$key = ltrim((string)$key, '/');
$domain = trim((string)($this->cfg['custom_domain'] ?? ''));
if ($domain === '') {
return '/' . $key; // 未绑定域名时退回相对路径，避免生成半截 URL
}
return storageHostOf($domain, $this->scheme()) . '/' . storageEncodeKey($this->objectKey($key));
}
// ---------- 操作 ----------
public function putFile($srcPath, $key, $mime = null) {
if ($err = $this->validateConfig()) return ['ok' => false, 'error' => $err];
$cred = $this->credentials();
if (empty($cred['ok'])) return ['ok' => false, 'error' => $cred['error']];
if (!is_file($srcPath)) return ['ok' => false, 'error' => "源文件不存在：{$srcPath}"];
$key = $this->objectKey($key);
$post = [
'token' => $this->uploadToken($key, $cred),
'key' => $key,
'file' => new CURLFile($srcPath, $mime ?: 'application/octet-stream', basename($key)),
];
$res = storageHttp('POST', $this->scheme() . '://' . $this->uploadHost() . '/',
['Expect:'], $post, 90);
return $this->interpretUpload($res);
}
public function putContents($binary, $key, $mime = null) {
$tmp = tempnam(sys_get_temp_dir(), 'qn');
if ($tmp === false || file_put_contents($tmp, $binary) === false) {
return ['ok' => false, 'error' => '无法创建临时文件'];
}
$result = $this->putFile($tmp, $key, $mime);
@unlink($tmp);
return $result;
}
public function delete($key) {
$cred = $this->credentials();
if (empty($cred['ok'])) return ['ok' => false, 'error' => $cred['error']];
$entry = $this->urlsafeB64(trim((string)$this->cfg['bucket']) . ':' . $this->objectKey($key));
$path = '/delete/' . $entry;
$res = storageHttp('POST', $this->scheme() . '://rs.qiniup.com' . $path,
['Authorization: ' . $this->managementAuth($path, $cred)], null, 30);
if (!$res['ok'] && $res['status'] !== 612) { // 612 = 资源不存在
return ['ok' => false, 'error' => '删除七牛对象失败：' . $this->describe($res)];
}
return ['ok' => true, 'error' => ''];
}
public function exists($key) {
return true;
}
public function test() {
if ($err = $this->validateConfig()) return ['ok' => false, 'error' => $err];
$cred = $this->credentials();
if (empty($cred['ok'])) return ['ok' => false, 'error' => $cred['error']];
if (trim((string)($this->cfg['custom_domain'] ?? '')) === '') {
return ['ok' => false, 'error' => '未填写绑定域名——七牛云必须绑定域名后才能对外访问图片'];
}
$key = '.movielog-probe/' . date('YmdHis') . '-' . bin2hex(random_bytes(4)) . '.txt';
$tmp = tempnam(sys_get_temp_dir(), 'qn');
file_put_contents($tmp, 'movielog storage probe ' . date('c'));
$up = $this->putFile($tmp, $key, 'text/plain');
@unlink($tmp);
if (empty($up['ok'])) return $up;
$del = $this->delete($key);
$prefix = trim((string)($this->cfg['prefix'] ?? ''), '/');
return [
'ok' => true,
'error' => '',
'message' => "连接成功（AccessKey/SecretKey）。空间 {$this->cfg['bucket']} 可上传，"
. ($prefix !== '' ? "前缀 {$prefix}/，" : '')
. '测试对象已清理。' . ($del['ok'] ? '' : '（注意：测试对象删除失败，请检查删除权限）'),
];
}
// ---------- 响应解析 ----------
private function interpretUpload($res) {
$json = json_decode((string)$res['body'], true);
if (is_array($json) && !empty($json['key'])) {
return ['ok' => true, 'error' => ''];
}
if (!$res['ok'] || (is_array($json) && isset($json['error']))) {
return ['ok' => false, 'error' => '上传到七牛失败：' . $this->describe($res)];
}
return ['ok' => false, 'error' => '上传到七牛失败：响应异常'];
}
private function describe($res) {
$json = json_decode((string)$res['body'], true);
if (is_array($json) && !empty($json['error'])) {
return (string)$json['error'];
}
return $res['error'];
}
}