3.2.35 CDN 加速加启用开关 + 预制白/黑名单，勾了不填地址拒绝保存 #4
「启用 CDN 加速」复选框放在 CDN 段最前。不勾时下面填什么都不产生作用， 前台与没装该功能完全一致（三个入口 should_rewrite / rewrite_html / buffer_start 都过 yang_cdn_active()）。 预制名单写进输入框的 std，用户可直接增删改，保存后以用户内容为准： 白名单 13 项（.avif .css .gif .jpeg .jpg .js .json .mp3 .mp4 .pdf .png .svg .webp）；黑名单 13 项安全后缀（.php* .phtml .phar .env .sql .bak .log .ini .sh .htaccess）。同时 yang_cdn_defaults() 给同一份 —— std 在运行时完全不生效，两处不同源就会出现「后台 13 项、前端 0 项」。 勾了开关但地址留空：保存被整单拒绝（validate_options 返回旧值），并 add_settings_error 提示。回调里绝不 update_option（会递归触发 sanitize_option_kratos，3.2.11 吃爆内存的路径）。另加 admin_init 进页面 提示，救「勾着但地址空」的老站点。 开关默认值按「地址是否非空」推算，老站点升级不丢加速；没填过地址的站点 默认不勾，避免第一次点保存就被「必须填地址」拦住。 顺带修掉 parse_url 对主机过于宽容导致的畸形地址（https://not a url at all 曾被当合法，会把全站静态资源拼成畸形地址）。 验证：_cdn335_logic.php 116/0 · _cdn335_falsify.php 22/0 · _admin335_cdn_check.py 74/0 · _admin335_falsify.py 23/0 · _pkgcheck335.py 117/0 · _pkgcheck335_falsify.py 27/0 · _cdn334_logic.php 92/0（向后兼容）· _cdn334_falsify.php 21/0
This commit is contained in:
@@ -63,6 +63,17 @@ class Options_Framework_Admin {
|
|||||||
add_action( 'optionsframework_after_validate', array( $this, 'save_options_notice' ) );
|
add_action( 'optionsframework_after_validate', array( $this, 'save_options_notice' ) );
|
||||||
|
|
||||||
add_action( 'optionsframework_after_sendmail', array( $this, 'send_mail_notice' ) );
|
add_action( 'optionsframework_after_sendmail', array( $this, 'send_mail_notice' ) );
|
||||||
|
|
||||||
|
/*
|
||||||
|
* 进设置页就检查 CDN 配置是否"勾了但没填地址"。
|
||||||
|
*
|
||||||
|
* 挂在 admin_init 上、在 options_page() 渲染之前跑，
|
||||||
|
* 这样 add_settings_error 的结果会被页面里的 settings_errors() 显示。
|
||||||
|
* 用 current_user_can 兜一层：虽然本类整体已经在
|
||||||
|
* optionsframework_init 里判过权限，但这个钩子单独挂，
|
||||||
|
* 以后若有人把它挪出去也不会漏权限判断。
|
||||||
|
*/
|
||||||
|
add_action( 'admin_init', array( $this, 'yang_cdn_config_notice' ), 21 );
|
||||||
}
|
}
|
||||||
|
|
||||||
public function add_top_options_page()
|
public function add_top_options_page()
|
||||||
@@ -284,6 +295,65 @@ class Options_Framework_Admin {
|
|||||||
}
|
}
|
||||||
}
|
}
|
||||||
|
|
||||||
|
/*
|
||||||
|
* ★ CDN 配置校验（3.2.35）
|
||||||
|
*
|
||||||
|
* 「勾了启用但地址为空」是**非法配置**，不是"关闭"。用户原话：
|
||||||
|
* 「如果点了这个复选框，但是 CDN 地址不填，那就不行，得提示他
|
||||||
|
* 说这个东西必须填。」所以这里拦住整个保存。
|
||||||
|
*
|
||||||
|
* ── 怎么做到"拒绝保存" ──────────────────────────────────
|
||||||
|
* 本函数是 register_setting() 的 sanitize_callback，WP 会把
|
||||||
|
* 它的返回值直接写进 options 表。所以**返回旧值就等于拒绝本次
|
||||||
|
* 保存**（新值一个字段都不落库），不需要额外抛异常或 unset。
|
||||||
|
*
|
||||||
|
* 为什么是"整单拒绝"而不是"只把开关取消"：用户明确选了这条路
|
||||||
|
* （选项一「整个保存被拒绝」）。附带效果是同一次里改的其它设置
|
||||||
|
* 也会一起作废 —— 这是有意的：提交了一个不合法的表单，就不该
|
||||||
|
* 让其中一部分悄悄生效，否则用户会以为"我保存成功了"。
|
||||||
|
*
|
||||||
|
* ── 为什么用 $_POST 而不是 $input ──────────────────────
|
||||||
|
* $input 已经过 WP 的 wp_unslash，但复选框"没勾"时这个键
|
||||||
|
* **根本不会出现在 POST 里**（浏览器不提交未勾选的 checkbox）。
|
||||||
|
* 而这里的 $input 是同名过滤器链上拿到的数组，语义一致；
|
||||||
|
* 用 $input 就够，且不依赖具体表单字段名。$clean 里已经有
|
||||||
|
* 经过 of_sanitize_checkbox() 的值，直接用它最准。
|
||||||
|
*/
|
||||||
|
if ( function_exists( 'yang_cdn_check_config' ) ) {
|
||||||
|
$cdn_enable = isset( $clean['cdn_enable'] ) ? $clean['cdn_enable'] : false;
|
||||||
|
$cdn_url = isset( $clean['cdn_url'] ) ? $clean['cdn_url'] : '';
|
||||||
|
$cdn_err = yang_cdn_check_config( $cdn_enable, $cdn_url );
|
||||||
|
|
||||||
|
if ( $cdn_err !== '' ) {
|
||||||
|
/*
|
||||||
|
* ⚠️ 这里**绝对不能**调 update_option() 把旧值写回去。
|
||||||
|
* 本函数就在 sanitize_option_kratos 过滤器上，
|
||||||
|
* update_option() 会再触发一次同名过滤器 ⇒ 无限递归
|
||||||
|
* ⇒ 吃爆内存（3.2.11 的事故，报错落在区块解析器上，
|
||||||
|
* 看那个报错会完全找错方向）。见下面 sendmail 分支的注释。
|
||||||
|
*
|
||||||
|
* 正确做法就是"返回旧值"：WP 自己会把它写进库，
|
||||||
|
* 结果与"没保存"等价。
|
||||||
|
*/
|
||||||
|
add_settings_error(
|
||||||
|
'options-framework',
|
||||||
|
'cdn_needs_url',
|
||||||
|
__( '未保存：', 'kratos' ) . $cdn_err,
|
||||||
|
'error'
|
||||||
|
);
|
||||||
|
/*
|
||||||
|
* 「保存成功」那条提示不用手动清：本函数在校验分支里
|
||||||
|
* 直接 return，后面的 do_action('optionsframework_after_validate')
|
||||||
|
* 根本不会执行，所以它不会被加进 settings_errors。
|
||||||
|
* 若改成"清一下"，反而是多余动作，会让人误以为
|
||||||
|
* 两条提示都会出现、需要手工压掉。
|
||||||
|
*/
|
||||||
|
|
||||||
|
$current = get_option( 'kratos' );
|
||||||
|
return is_array( $current ) ? $current : array();
|
||||||
|
}
|
||||||
|
}
|
||||||
|
|
||||||
if ( isset( $_POST['sendmail'] ) ) {
|
if ( isset( $_POST['sendmail'] ) ) {
|
||||||
/*
|
/*
|
||||||
* 测试发信要让「这一批新配置」立刻生效，但**绝对不能**
|
* 测试发信要让「这一批新配置」立刻生效，但**绝对不能**
|
||||||
@@ -340,6 +410,34 @@ class Options_Framework_Admin {
|
|||||||
$GLOBALS['__yang_sendmail_result'] = null;
|
$GLOBALS['__yang_sendmail_result'] = null;
|
||||||
}
|
}
|
||||||
|
|
||||||
|
/**
|
||||||
|
* 进入设置页时的状态提示
|
||||||
|
*
|
||||||
|
* ── 为什么需要在"进页面"时就提示 ────────────────────────────
|
||||||
|
* 保存时的拦截只在用户点保存那一刻生效。而"勾了启用但地址空"
|
||||||
|
* 这个状态还有另一种来源：**老站点从 3.2.34 升级上来**。
|
||||||
|
* 3.2.34 没有这个复选框，升级后如果用户清空过地址、又一直没动
|
||||||
|
* 过这个开关，他就是"看起来已启用、实际没生效"的状态。
|
||||||
|
* 这种人不会点保存（他没想改设置），所以只靠保存拦截永远救不到他。
|
||||||
|
*
|
||||||
|
* 提示放在 options_page() 渲染之前（本函数挂在 admin_init），
|
||||||
|
* add_settings_error 会随 settings_errors() 一起显示。
|
||||||
|
*/
|
||||||
|
function yang_cdn_config_notice() {
|
||||||
|
if ( ! function_exists( 'yang_cdn_missing_url' ) ) {
|
||||||
|
return;
|
||||||
|
}
|
||||||
|
if ( ! yang_cdn_missing_url() ) {
|
||||||
|
return;
|
||||||
|
}
|
||||||
|
add_settings_error(
|
||||||
|
'options-framework',
|
||||||
|
'cdn_missing_url',
|
||||||
|
__( '「启用 CDN 加速」是勾选状态，但 CDN 地址是空的，功能当前<b>没有生效</b>（前台与关闭时完全一样）。请填写 CDN 地址，或者取消勾选这个开关。', 'kratos' ),
|
||||||
|
'error'
|
||||||
|
);
|
||||||
|
}
|
||||||
|
|
||||||
/**
|
/**
|
||||||
* Display message when options have been saved
|
* Display message when options have been saved
|
||||||
*/
|
*/
|
||||||
|
|||||||
+270
-8
@@ -26,18 +26,102 @@
|
|||||||
* @license MIT License
|
* @license MIT License
|
||||||
*/
|
*/
|
||||||
|
|
||||||
|
/**
|
||||||
|
* 预制白名单（写死在主题代码里，同时作为后台输入框的默认内容）
|
||||||
|
*
|
||||||
|
* ── 为什么是这些扩展名 ──────────────────────────────────────
|
||||||
|
* 只收「内容不变、可以放心放到第三方节点上」的静态资源。
|
||||||
|
* 判据是三条：
|
||||||
|
* ① 按扩展名就能确定是静态文件，不需要服务端参与
|
||||||
|
* ② 不含用户私有内容（所以没有 .xml —— 那可能是 sitemap，
|
||||||
|
* 也可能是 RSS 导出，还可能含未公开数据）
|
||||||
|
* ③ 同一个文件在 CDN 上被读一千次也不会产生任何副作用
|
||||||
|
*
|
||||||
|
* ── 为什么带点写 ────────────────────────────────────────────
|
||||||
|
* 规则引擎里单个纯字母词会**同时**按「扩展名」和「路径子串」匹配
|
||||||
|
* （这是为了救 `uploads` 那条目录规则，见 yang_cdn_compile_rule）。
|
||||||
|
* 不带点的 `avif` 会命中 `/wp-content/uploads/avif-optimized/a.jpg`
|
||||||
|
* 这种路径；带点之后子串是 `.avif`，不会误伤。
|
||||||
|
*
|
||||||
|
* 这份清单会**预填进后台的白名单输入框**，用户可以随意增删改；
|
||||||
|
* 保存之后以用户的内容为准，主题不会再去覆盖它。
|
||||||
|
* 想恢复成这份默认内容，点后台的「恢复默认」即可。
|
||||||
|
*/
|
||||||
|
function yang_cdn_preset_include()
|
||||||
|
{
|
||||||
|
return array(
|
||||||
|
'.avif', '.css', '.gif', '.jpeg', '.jpg', '.js', '.json',
|
||||||
|
'.mp3', '.mp4', '.pdf', '.png', '.svg', '.webp',
|
||||||
|
);
|
||||||
|
}
|
||||||
|
|
||||||
|
/**
|
||||||
|
* 预制黑名单
|
||||||
|
*
|
||||||
|
* ── 为什么这份清单有必要 ────────────────────────────────────
|
||||||
|
* 硬性排除（yang_cdn_should_rewrite 的 ① ）已经挡住了 .php / .html
|
||||||
|
* 一类会直接改坏站点的后缀。但那只是「改了站点会坏」的下限，不是
|
||||||
|
* 「改了会出事」的全部：`.env`、`.sql`、`.bak`、`.log` 这些一旦
|
||||||
|
* 被推到第三方 CDN 节点上，等于把配置、数据库备份、错误日志公开了。
|
||||||
|
* 它们不在硬性排除里（因为主题没法预知用户装了哪些插件、
|
||||||
|
* 备份文件放在哪个目录），所以必须在默认配置里先拦住。
|
||||||
|
*
|
||||||
|
* 同样预填进后台的黑名单输入框，用户可以改。黑名单优先于白名单，
|
||||||
|
* 所以即使把白名单写成 `*`，这份黑名单里的后缀也不会走 CDN。
|
||||||
|
*/
|
||||||
|
function yang_cdn_preset_exclude()
|
||||||
|
{
|
||||||
|
return array(
|
||||||
|
'.php', '.php3', '.php4', '.php5', '.phtml', '.phar',
|
||||||
|
'.env', '.sql', '.bak', '.log', '.ini', '.sh', '.htaccess',
|
||||||
|
);
|
||||||
|
}
|
||||||
|
|
||||||
|
/** 预制清单 → 一行一条的文本（输入框与默认值都用这个形态） */
|
||||||
|
function yang_cdn_preset_text($list)
|
||||||
|
{
|
||||||
|
return implode("\n", $list);
|
||||||
|
}
|
||||||
|
|
||||||
|
/**
|
||||||
|
* 「启用」复选框的默认值
|
||||||
|
*
|
||||||
|
* ── 默认值为什么这么算 ──────────────────────────────────────
|
||||||
|
* 3.2.34 的语义是「填了 CDN 地址就生效」，没有开关。本版加了开关，
|
||||||
|
* 如果把它默认成「不勾」，那么升级上来的站点（地址早就填好、正在
|
||||||
|
* 正常工作）会在升级那一刻**静默失去加速**，而且用户不会去查
|
||||||
|
* 一个从没动过的复选框。
|
||||||
|
*
|
||||||
|
* 所以默认值取「地址非空就当作已启用」：
|
||||||
|
* · 老站点填过地址 → 默认勾选 → 升级后行为不变
|
||||||
|
* · 老站点没填地址 → 默认不勾 → 点保存不会被「必须填地址」拦住
|
||||||
|
* · 用户亲手保存过一次之后，库里就有明确的值，按用户的来
|
||||||
|
*
|
||||||
|
* ⚠️ 这里**不能**走 yang_cdn_opt()：那个函数会先取 yang_cdn_defaults()，
|
||||||
|
* 而 defaults 又调本函数，会无限递归。必须直接问 kratos_option。
|
||||||
|
*/
|
||||||
|
function yang_cdn_enable_default()
|
||||||
|
{
|
||||||
|
$u = kratos_option('cdn_url', '');
|
||||||
|
return is_string($u) && trim($u) !== '';
|
||||||
|
}
|
||||||
|
|
||||||
/**
|
/**
|
||||||
* 运行时默认值
|
* 运行时默认值
|
||||||
*
|
*
|
||||||
* 与 3.2.32 的教训一致：`std` 只在后台预填和恢复默认时有用，
|
* 与 3.2.32 的教训一致：`std` 只在后台预填和恢复默认时有用，
|
||||||
* **运行时取不到**。所以这里单独给一份，供 kratos_option() 回落。
|
* **运行时取不到**。所以这里单独给一份，供 kratos_option() 回落。
|
||||||
|
*
|
||||||
|
* 两个输入框的默认值就是预制清单 —— 这样「从未保存过配置」的站点
|
||||||
|
* 装好主题就有一套能用的规则（而不是"白名单为空 = 全部加速"）。
|
||||||
*/
|
*/
|
||||||
function yang_cdn_defaults()
|
function yang_cdn_defaults()
|
||||||
{
|
{
|
||||||
return array(
|
return array(
|
||||||
|
'cdn_enable' => yang_cdn_enable_default(),
|
||||||
'cdn_url' => '',
|
'cdn_url' => '',
|
||||||
'cdn_include' => '',
|
'cdn_include' => yang_cdn_preset_text(yang_cdn_preset_include()),
|
||||||
'cdn_exclude' => '',
|
'cdn_exclude' => yang_cdn_preset_text(yang_cdn_preset_exclude()),
|
||||||
);
|
);
|
||||||
}
|
}
|
||||||
|
|
||||||
@@ -55,6 +139,104 @@ function yang_cdn_opt($key)
|
|||||||
return is_string($v) ? $v : '';
|
return is_string($v) ? $v : '';
|
||||||
}
|
}
|
||||||
|
|
||||||
|
/**
|
||||||
|
* 把一个「复选框的值」判成真/假
|
||||||
|
*
|
||||||
|
* 抽出来是因为有三个地方要判：运行时（yang_cdn_enabled）、
|
||||||
|
* 保存校验（yang_cdn_check_config）、以及后台提示。
|
||||||
|
* 三处各写一份 `=== '1'` 的话，只要有一处写窄了就会表现成
|
||||||
|
* "勾了但功能不开"，而且极难查。
|
||||||
|
*/
|
||||||
|
function yang_cdn_truthy($v)
|
||||||
|
{
|
||||||
|
if (is_string($v)) {
|
||||||
|
$v = trim($v);
|
||||||
|
return $v !== '' && $v !== '0';
|
||||||
|
}
|
||||||
|
return (bool) $v;
|
||||||
|
}
|
||||||
|
|
||||||
|
/**
|
||||||
|
* 「启用 CDN 加速」复选框当前是不是勾着的
|
||||||
|
*
|
||||||
|
* ── 为什么真值判断要写得这么宽 ──────────────────────────────
|
||||||
|
* 这个值经过 Options Framework 的 of_sanitize_checkbox()，勾了存字符串
|
||||||
|
* '1'、没勾存 false。但历史数据里可能是 1 / '1' / true / 'on'，
|
||||||
|
* 也可能压根没有这个键（3.2.34 之前的站点）。所以一律按「真值」判，
|
||||||
|
* 不做 `=== '1'` 这种字面量比较 —— 那会让老站点全部变成"未启用"。
|
||||||
|
*/
|
||||||
|
function yang_cdn_enabled()
|
||||||
|
{
|
||||||
|
$d = yang_cdn_defaults();
|
||||||
|
return yang_cdn_truthy(kratos_option('cdn_enable', $d['cdn_enable']));
|
||||||
|
}
|
||||||
|
|
||||||
|
/**
|
||||||
|
* 功能此刻到底生不生效
|
||||||
|
*
|
||||||
|
* 三个条件同时满足才算生效：勾了开关、地址非空、地址能解析。
|
||||||
|
* 任何一条不满足都直接返回 false —— 这时前台行为与没装这个功能完全一致
|
||||||
|
* （不是"少改一点"，是**一个字节都不改**）。
|
||||||
|
*
|
||||||
|
* 把这四个判断收在一个函数里，是为了让「哪里算关闭」只有一处定义：
|
||||||
|
* 输出缓冲（yang_cdn_buffer_start）、整页改写（yang_cdn_rewrite_html）、
|
||||||
|
* 后台诊断（yang_cdn_test_url）三处都调它，不会出现
|
||||||
|
* "缓冲没接管但后台说已命中"这种自相矛盾。
|
||||||
|
*/
|
||||||
|
function yang_cdn_active()
|
||||||
|
{
|
||||||
|
if (!yang_cdn_enabled()) {
|
||||||
|
return false;
|
||||||
|
}
|
||||||
|
return yang_cdn_parse_url(yang_cdn_opt('cdn_url')) !== null;
|
||||||
|
}
|
||||||
|
|
||||||
|
/**
|
||||||
|
* 保存前的配置校验（★ 只在后台保存链路里用）
|
||||||
|
*
|
||||||
|
* ── 为什么参数要显式传进来，而不是直接读库 ──────────────────
|
||||||
|
* 本函数是在 register_setting 的 sanitize 回调里跑的。那一刻用户
|
||||||
|
* 刚提交的新值**还没写库**，直接调 yang_cdn_opt() / yang_cdn_enabled()
|
||||||
|
* 读到的是**上一次**的配置 —— 于是「勾了但没填地址」永远判不出来
|
||||||
|
* （上一次可能是合法的），而「上次勾了、这次取消勾选」会被误判成
|
||||||
|
* 非法并拒绝保存。这类"校验的是旧数据"的 bug 极难自查：表现成
|
||||||
|
* "提示时有时无"，取决于上一次存的是什么。
|
||||||
|
*
|
||||||
|
* 所以这里只接受调用方传进来的、**这一次提交的** $enable 与 $url。
|
||||||
|
*
|
||||||
|
* 返回 '' 表示没问题；返回非空字符串是给用户看的原因。
|
||||||
|
*/
|
||||||
|
function yang_cdn_check_config($enable, $url)
|
||||||
|
{
|
||||||
|
if (!yang_cdn_truthy($enable)) {
|
||||||
|
return '';
|
||||||
|
}
|
||||||
|
$url = is_string($url) ? trim($url) : '';
|
||||||
|
if ($url === '') {
|
||||||
|
return '「启用 CDN 加速」已勾选，但 CDN 地址是空的。请填写 CDN 地址，或者取消勾选这个开关。';
|
||||||
|
}
|
||||||
|
if (yang_cdn_parse_url($url) === null) {
|
||||||
|
return 'CDN 地址「' . $url . '」无法识别，请填写形如 https://cdn.example.com 的地址。';
|
||||||
|
}
|
||||||
|
return '';
|
||||||
|
}
|
||||||
|
|
||||||
|
/**
|
||||||
|
* 「勾了开关却没填地址」这种非法状态 —— 供后台提示用
|
||||||
|
*
|
||||||
|
* ── 为什么不在运行时判断，也不影响前台 ──────────────────────
|
||||||
|
* 这个状态在前台**等同于关闭**（yang_cdn_active() 会返回 false），
|
||||||
|
* 所以前台不需要它。它只是后台的一个提示条件：
|
||||||
|
* 用户下次进入设置页时，如果看到自己勾了但没填地址，应该被提醒。
|
||||||
|
*
|
||||||
|
* 判据必须与 yang_cdn_check_config() 的口径完全一致（勾了 + 空地址），
|
||||||
|
* 否则会出现"保存时拦住、进页面却不提示"这种前后矛盾。
|
||||||
|
*/
|
||||||
|
function yang_cdn_missing_url()
|
||||||
|
{
|
||||||
|
return yang_cdn_enabled() && trim(yang_cdn_opt('cdn_url')) === '';
|
||||||
|
}
|
||||||
|
|
||||||
/**
|
/**
|
||||||
* 解析 CDN 地址
|
* 解析 CDN 地址
|
||||||
*
|
*
|
||||||
@@ -83,15 +265,66 @@ function yang_cdn_parse_url($raw)
|
|||||||
return null;
|
return null;
|
||||||
}
|
}
|
||||||
|
|
||||||
|
/*
|
||||||
|
* ★ 主机名必须自己校验一遍 —— parse_url 对主机极其宽容。
|
||||||
|
*
|
||||||
|
* 实测（PHP 7.4 / 8.4 都一样）：
|
||||||
|
* parse_url('https://not a url at all') → host = 'not a url at all'
|
||||||
|
* parse_url('https://exa mple.com/x') → host = 'exa mple.com'
|
||||||
|
* parse_url('https://cdn..example.com') → host = 'cdn..example.com'
|
||||||
|
*
|
||||||
|
* 只判 `empty($p['host'])` 挡不住这些。后果不是"少加速一点"，而是
|
||||||
|
* **全站静态资源一起变成畸形地址**：用户把地址栏里的整串复制进来、
|
||||||
|
* 或者手打了空格，页面上每个 css/js/图都会拼成
|
||||||
|
* `https://not a url at all/wp-content/...` ⇒ 全部加载失败，
|
||||||
|
* 站点直接没有样式。而用户在后台看到的只是一个"填了地址"的框。
|
||||||
|
*
|
||||||
|
* 所以这里显式拒掉：空白、控制字符、分隔符、首尾点、连续点，
|
||||||
|
* 以及不属于「字母/数字/点/横线/下划线」的字符。
|
||||||
|
* 国际化域名（中文域名）放行 —— \p{L} 覆盖各类文字。
|
||||||
|
*/
|
||||||
|
$host = $p['host'];
|
||||||
|
$is_ipv6 = (substr($host, 0, 1) === '[' && substr($host, -1) === ']');
|
||||||
|
if (!$is_ipv6) {
|
||||||
|
/*
|
||||||
|
* ⚠️ 这里**只留两条**检查，刻意不写「空白字符单独判一条」。
|
||||||
|
*
|
||||||
|
* 空白（含 \t \n \r 与控制字符）以及 / ? # @ : \ 这些分隔符，
|
||||||
|
* 全都不在下面的字符集里 ⇒ 已经被字符集检查挡住了。
|
||||||
|
* 单独再写一条 `preg_match('/[\s\x00-\x1f\x7f]/')` 看着更"严密"，
|
||||||
|
* 实际是**恒被下一条覆盖的空转断言** —— 反向验证时拆掉它
|
||||||
|
* 探针照样全绿，谁也不知道它其实不起作用。
|
||||||
|
* 宁可少一条真的，不要多一条假的（判据要能证明自己有用）。
|
||||||
|
*/
|
||||||
|
if (substr($host, 0, 1) === '.' || substr($host, -1) === '.'
|
||||||
|
|| strpos($host, '..') !== false) {
|
||||||
|
return null;
|
||||||
|
}
|
||||||
|
if (!preg_match('/^(?:[A-Za-z0-9._\-]|\p{L})+\z/u', $host)) {
|
||||||
|
return null;
|
||||||
|
}
|
||||||
|
}
|
||||||
|
|
||||||
$scheme = !empty($p['scheme']) ? strtolower($p['scheme']) : 'https';
|
$scheme = !empty($p['scheme']) ? strtolower($p['scheme']) : 'https';
|
||||||
if ($scheme !== 'http' && $scheme !== 'https') {
|
if ($scheme !== 'http' && $scheme !== 'https') {
|
||||||
return null;
|
return null;
|
||||||
}
|
}
|
||||||
|
|
||||||
|
/*
|
||||||
|
* 子路径（CDN 地址可以是 `cdn.example.com/static`）同理：
|
||||||
|
* 路径里出现空白或控制字符，拼出来的资源地址就是非法的
|
||||||
|
* （`https://cdn.example.com/sta tic/a.css` 浏览器会当断点处理）。
|
||||||
|
* 合法的编码形式 `%20` 不受影响 —— 它不含真正的空白字符。
|
||||||
|
*/
|
||||||
|
$path = isset($p['path']) ? rtrim($p['path'], '/') : '';
|
||||||
|
if (preg_match('/[\s\x00-\x1f\x7f]/', $path)) {
|
||||||
|
return null;
|
||||||
|
}
|
||||||
|
|
||||||
return array(
|
return array(
|
||||||
'scheme' => $scheme,
|
'scheme' => $scheme,
|
||||||
'host' => strtolower($p['host']),
|
'host' => strtolower($host),
|
||||||
'path' => isset($p['path']) ? rtrim($p['path'], '/') : '',
|
'path' => $path,
|
||||||
);
|
);
|
||||||
}
|
}
|
||||||
|
|
||||||
@@ -284,6 +517,18 @@ function yang_cdn_rules()
|
|||||||
*/
|
*/
|
||||||
function yang_cdn_should_rewrite($url, $path)
|
function yang_cdn_should_rewrite($url, $path)
|
||||||
{
|
{
|
||||||
|
/*
|
||||||
|
* 功能没开 ⇒ 任何地址都不走 CDN。
|
||||||
|
*
|
||||||
|
* 这一条必须放在最前面，且不能只放在调用方（buffer_start / rewrite_html）：
|
||||||
|
* 本函数是「规则判定」的唯一出口，后台诊断、自测脚本、以及将来可能
|
||||||
|
* 新增的调用方都从它拿结论。只在入口挡的话，只要有人新加一个调用点
|
||||||
|
* 就会漏判，而漏判的表现是"关掉了还在加速"。
|
||||||
|
*/
|
||||||
|
if (!yang_cdn_active()) {
|
||||||
|
return false;
|
||||||
|
}
|
||||||
|
|
||||||
$rules = yang_cdn_rules();
|
$rules = yang_cdn_rules();
|
||||||
$include_cache = $rules['include'];
|
$include_cache = $rules['include'];
|
||||||
$exclude_cache = $rules['exclude'];
|
$exclude_cache = $rules['exclude'];
|
||||||
@@ -481,10 +726,17 @@ function yang_cdn_site_base()
|
|||||||
*/
|
*/
|
||||||
function yang_cdn_rewrite_html($html)
|
function yang_cdn_rewrite_html($html)
|
||||||
{
|
{
|
||||||
$cdn = yang_cdn_parse_url(yang_cdn_opt('cdn_url'));
|
/*
|
||||||
if ($cdn === null) {
|
* ⚠️ 这里必须**先查开关再查地址**，不能只靠 yang_cdn_parse_url() 返回 null。
|
||||||
|
*
|
||||||
|
* 3.2.34 只有「地址空了 = 关闭」一个条件；本版加了显式开关，
|
||||||
|
* 如果这里还只看地址，那么用户取消勾选后地址仍然躺在库里，
|
||||||
|
* 前台会继续改写 —— 开关等于没用，而且现象是"我关了它还在动"。
|
||||||
|
*/
|
||||||
|
if (!yang_cdn_active()) {
|
||||||
return $html;
|
return $html;
|
||||||
}
|
}
|
||||||
|
$cdn = yang_cdn_parse_url(yang_cdn_opt('cdn_url'));
|
||||||
if (strpos($html, 'http') === false && strpos($html, 'src=') === false
|
if (strpos($html, 'http') === false && strpos($html, 'src=') === false
|
||||||
&& strpos($html, 'href=') === false && strpos($html, 'url(') === false) {
|
&& strpos($html, 'href=') === false && strpos($html, 'url(') === false) {
|
||||||
return $html;
|
return $html;
|
||||||
@@ -651,8 +903,8 @@ function yang_cdn_buffer_start()
|
|||||||
if (isset($_GET['customize_changeset_uuid']) || isset($_GET['customize_preview'])) {
|
if (isset($_GET['customize_changeset_uuid']) || isset($_GET['customize_preview'])) {
|
||||||
return;
|
return;
|
||||||
}
|
}
|
||||||
// 站点还没配 CDN 地址 —— 直接不接管，零开销
|
// 功能没开（开关没勾 / 地址没填 / 地址解析不了）—— 直接不接管，零开销
|
||||||
if (yang_cdn_parse_url(yang_cdn_opt('cdn_url')) === null) {
|
if (!yang_cdn_active()) {
|
||||||
return;
|
return;
|
||||||
}
|
}
|
||||||
|
|
||||||
@@ -697,6 +949,16 @@ function yang_cdn_test_url($url)
|
|||||||
'reason' => '',
|
'reason' => '',
|
||||||
);
|
);
|
||||||
|
|
||||||
|
/*
|
||||||
|
* 诊断入口要**说清楚是哪个条件没满足**，而不是笼统说"被排除"。
|
||||||
|
* 后台用户看到「地址未填写」和「未命中白名单」是两种完全不同的
|
||||||
|
* 修法，混成一句话就等于没提示。
|
||||||
|
*/
|
||||||
|
if (!yang_cdn_enabled()) {
|
||||||
|
$r['reason'] = '「启用 CDN 加速」没有勾选，功能已关闭';
|
||||||
|
return $r;
|
||||||
|
}
|
||||||
|
|
||||||
if ($cdn === null) {
|
if ($cdn === null) {
|
||||||
$r['reason'] = 'CDN 地址未填写或无法解析';
|
$r['reason'] = 'CDN 地址未填写或无法解析';
|
||||||
return $r;
|
return $r;
|
||||||
|
|||||||
+58
-12
@@ -872,15 +872,27 @@ function kratos_options()
|
|||||||
);
|
);
|
||||||
|
|
||||||
/* ══════════════════════════════════════════════════════════
|
/* ══════════════════════════════════════════════════════════
|
||||||
* 十二、CDN 加速 —— 三个输入框，不多加
|
* 十二、CDN 加速 —— 一个开关 + 两个名单
|
||||||
*
|
*
|
||||||
* 用户明确要求「一共就这 3 个选项，不要弄得太复杂」。
|
* 3.2.34 原设计是「地址留空即关闭」，没有开关。本版（3.2.35）
|
||||||
* 所以这里没有开关、没有自动开关、没有服务商选择，只有：
|
* 按用户要求补了三件事：
|
||||||
* CDN 地址 / 白名单 / 黑名单
|
* ① 「启用 CDN 加速」复选框，作为总开关
|
||||||
* 地址留空 = 功能关闭。这比再加一个「启用」勾选框更省事，
|
* ② 白名单预填 13 类静态资源后缀（用户可改）
|
||||||
* 也不会出现「勾了启用但没填地址」这种半配置状态。
|
* ③ 黑名单预填安全相关后缀（用户可改）
|
||||||
|
*
|
||||||
|
* ── 预制内容为什么放在输入框里而不是硬编码 ──────────────────
|
||||||
|
* 用户明确选了这条路：「预制的这些就放在白名单的输入框里，
|
||||||
|
* 这样用户就可以直接修改；修改完之后，我们再把它保存下来，
|
||||||
|
* 按照用户修改的来执行。」
|
||||||
|
*
|
||||||
|
* 所以预制内容写在 std 里 —— 它只服务两件事：
|
||||||
|
* · 后台首次渲染时预填
|
||||||
|
* · 点「恢复默认」时还原成这份内容
|
||||||
|
* 一旦用户保存过，库里就有明确的值，运行时读的是库里的值，
|
||||||
|
* 主题**不会**再去覆盖用户改过的内容。
|
||||||
*
|
*
|
||||||
* 匹配逻辑（写进说明里，让用户看得到）：
|
* 匹配逻辑（写进说明里，让用户看得到）：
|
||||||
|
* 开关没勾 → 整个功能关闭，两套名单都不参与
|
||||||
* 先看黑名单 → 命中就保持原地址
|
* 先看黑名单 → 命中就保持原地址
|
||||||
* 黑名单没命中 → 再看白名单
|
* 黑名单没命中 → 再看白名单
|
||||||
* 黑名单优先级高于白名单
|
* 黑名单优先级高于白名单
|
||||||
@@ -890,20 +902,49 @@ function kratos_options()
|
|||||||
'type' => 'heading',
|
'type' => 'heading',
|
||||||
);
|
);
|
||||||
|
|
||||||
|
/*
|
||||||
|
* 开关必须是本段的第一个控件。
|
||||||
|
*
|
||||||
|
* std 用 yang_cdn_enable_default()（地址非空 ⇒ 默认勾选），
|
||||||
|
* 目的是**老站点升级不丢加速**：3.2.34 的站点只要填过地址就
|
||||||
|
* 一直在加速，升级后若默认不勾，它会静默失去加速，而用户不会
|
||||||
|
* 去查一个从没动过的复选框。
|
||||||
|
*/
|
||||||
|
$options[] = array(
|
||||||
|
'name' => __('启用 CDN 加速', 'kratos'),
|
||||||
|
'desc' => __('勾选后功能才生效。<b>没勾时，下面填什么都不产生作用</b>，前台与不装这个功能完全一致。'
|
||||||
|
. '<br>勾了但 CDN 地址留空是<b>不允许</b>的：点保存会被拦下来并提示必须填地址。', 'kratos'),
|
||||||
|
'id' => 'cdn_enable',
|
||||||
|
'std' => function_exists('yang_cdn_enable_default') ? yang_cdn_enable_default() : false,
|
||||||
|
'type' => 'checkbox',
|
||||||
|
);
|
||||||
|
|
||||||
$options[] = array(
|
$options[] = array(
|
||||||
'name' => __('CDN 地址', 'kratos'),
|
'name' => __('CDN 地址', 'kratos'),
|
||||||
'desc' => __('资源的加速前缀，例如 <code>https://cdn.example.com</code>。可以不带协议（自动按 https 补全）。<b>留空即关闭整个功能</b>，站点行为与不装这项功能完全一致。', 'kratos'),
|
'desc' => __('资源的加速前缀，例如 <code>https://cdn.example.com</code>。可以不带协议（自动按 https 补全）。'
|
||||||
|
. '<b>勾选了上面的开关，这一项就必须填</b>。', 'kratos'),
|
||||||
'id' => 'cdn_url',
|
'id' => 'cdn_url',
|
||||||
'std' => '',
|
'std' => '',
|
||||||
'type' => 'text',
|
'type' => 'text',
|
||||||
'placeholder' => 'https://cdn.example.com',
|
'placeholder' => 'https://cdn.example.com',
|
||||||
);
|
);
|
||||||
|
|
||||||
|
/*
|
||||||
|
* 白名单的 std 就是预制清单。
|
||||||
|
*
|
||||||
|
* ⚠️ std 在运行时**完全不生效**（kratos_option 只查库），所以
|
||||||
|
* 这里只负责「后台预填」与「恢复默认」。运行时若库里没有这个键，
|
||||||
|
* 由 yang_cdn_defaults() 提供同一份内容 —— 两处必须一致，
|
||||||
|
* 否则会出现"后台显示 13 项、运行时按 0 项算"的错位。
|
||||||
|
*/
|
||||||
$options[] = array(
|
$options[] = array(
|
||||||
'name' => __('白名单', 'kratos'),
|
'name' => __('白名单', 'kratos'),
|
||||||
'desc' => __('命中这些规则的文件<b>才</b>走 CDN。一行一条，<code>#</code> 或 <code>;</code> 开头的行是注释。<b>留空 = 所有静态文件都走 CDN</b>。', 'kratos'),
|
'desc' => __('命中这些规则的文件<b>才</b>走 CDN。一行一条，<code>#</code> 或 <code>;</code> 开头的行是注释。'
|
||||||
|
. '<br><b>这里已经预填了 13 类常用静态资源</b>，你可以直接改、加、删，保存后按你改的执行。'
|
||||||
|
. '<br>⚠️ 把它全部删空 = <b>所有静态文件都走 CDN</b>（不只是下面这 13 类）。'
|
||||||
|
. '不想让字体、图标字体之类的走 CDN，就把 <code>*</code> 换成具体后缀。', 'kratos'),
|
||||||
'id' => 'cdn_include',
|
'id' => 'cdn_include',
|
||||||
'std' => '',
|
'std' => function_exists('yang_cdn_preset_text') ? yang_cdn_preset_text(yang_cdn_preset_include()) : '',
|
||||||
'type' => 'code',
|
'type' => 'code',
|
||||||
'settings' => array('rows' => 10),
|
'settings' => array('rows' => 10),
|
||||||
);
|
);
|
||||||
@@ -917,15 +958,20 @@ function kratos_options()
|
|||||||
. '<br><code>/wp-content/uploads/</code> —— 以这个路径开头（以斜杠开头、不含星号）'
|
. '<br><code>/wp-content/uploads/</code> —— 以这个路径开头（以斜杠开头、不含星号）'
|
||||||
. '<br><code>*/uploads/*</code> —— 通配符，<code>*</code> 可以跨斜杠'
|
. '<br><code>*/uploads/*</code> —— 通配符，<code>*</code> 可以跨斜杠'
|
||||||
. '<br><code>uploads</code> —— 路径里含这几个字（子串）'
|
. '<br><code>uploads</code> —— 路径里含这几个字（子串）'
|
||||||
. '<br><code>~\/20\d\d\/~</code> —— 正则，对完整地址匹配',
|
. '<br><code>~\/20\d\d\/~</code> —— 正则，对完整地址匹配'
|
||||||
|
. '<br><br>扩展到字体也很常见：加一行 <code>.woff2 .woff .ttf .eot .otf</code> 即可。',
|
||||||
'type' => 'info',
|
'type' => 'info',
|
||||||
);
|
);
|
||||||
|
|
||||||
$options[] = array(
|
$options[] = array(
|
||||||
'name' => __('黑名单', 'kratos'),
|
'name' => __('黑名单', 'kratos'),
|
||||||
'desc' => __('命中的文件<b>即使符合白名单也不走 CDN</b>，保持原地址。一行一条，写法与白名单完全相同。<b>黑名单优先于白名单</b>：两边都命中时按黑名单处理。', 'kratos'),
|
'desc' => __('命中的文件<b>即使符合白名单也不走 CDN</b>，保持原地址。一行一条，写法与白名单完全相同。'
|
||||||
|
. '<b>黑名单优先于白名单</b>：两边都命中时按黑名单处理。'
|
||||||
|
. '<br><b>这里已经预填了安全相关的后缀</b>（<code>.php</code> <code>.env</code> <code>.sql</code> <code>.bak</code> <code>.log</code> 等）—— '
|
||||||
|
. '它们一旦被推到第三方 CDN 节点上，等于把配置、数据库备份、错误日志公开了。'
|
||||||
|
. '<b>建议保留这行</b>，即使白名单写的是 <code>*</code>。', 'kratos'),
|
||||||
'id' => 'cdn_exclude',
|
'id' => 'cdn_exclude',
|
||||||
'std' => '',
|
'std' => function_exists('yang_cdn_preset_text') ? yang_cdn_preset_text(yang_cdn_preset_exclude()) : '',
|
||||||
'type' => 'code',
|
'type' => 'code',
|
||||||
'settings' => array('rows' => 10),
|
'settings' => array('rows' => 10),
|
||||||
);
|
);
|
||||||
|
|||||||
@@ -1,7 +1,7 @@
|
|||||||
/*
|
/*
|
||||||
Theme Name: Kratos_Yang
|
Theme Name: Kratos_Yang
|
||||||
Text Domain: kratos_Yang
|
Text Domain: kratos_Yang
|
||||||
Version: 3.2.34
|
Version: 3.2.35
|
||||||
Requires PHP: 7.0
|
Requires PHP: 7.0
|
||||||
Description: 这是一个Kratos主题的分支版本，用来增加一些定制化功能。
|
Description: 这是一个Kratos主题的分支版本，用来增加一些定制化功能。
|
||||||
Tags: 博客, 双栏, 响应式, 自定义背景, 自定义颜色, 自定义图标, 自定义菜单, 特色图像, 收录优化, 邮件中心, 主题选项, 小工具, 文章置顶, 无障碍友好
|
Tags: 博客, 双栏, 响应式, 自定义背景, 自定义颜色, 自定义图标, 自定义菜单, 特色图像, 收录优化, 邮件中心, 主题选项, 小工具, 文章置顶, 无障碍友好
|
||||||
|
|||||||
Reference in New Issue
Block a user