永哥CMS v1.0.2 发布说明

永哥CMS v1.0.2 发布说明 发布时间：2026-10-05　版本类型：正式版（全量安装包）　适用对象：全新安装与存量升级 作者：永哥　QQ：17293776　手机 / 微信：17551571977（微信同号） 一、版本概述 永哥CMS v1.0.2 是在 v1.0.0 / v1.0.1 基础上，将此前全部增量补丁合并后重新打出的全量版本：合并了游客投稿与定时发布、内容留言、小黑屋封禁三大模块，并新增图形验证码防机器刷与sitemap 站点地图自动生成两项能力，同时修复投稿页提交状态回显问题。全新安装一次到位，无需再打任何补丁。 • 技术栈：PHP + HTML5 + MySQL，程序与模板完全分离 • 安装包：YongCMS-v1.0.2-安装包.zip（AES-256 加密，104 个文件，解压密码 yongcms@2026） • 数据库：共 21 张业务表（含投稿、留言、封禁、统计各表），安装向导自动建库建表 • 多终端：PC（三套模板）与移动端自动识别切换，各用独立模板页面 二、v1.0.2 新增功能 1. 图形验证码，投稿 / 留言防机器刷 • 投稿、留言提交前均校验图形验证码，机器脚本无法批量刷评论与投稿 • GD 图形验证码：干扰线 + 噪点，4 位字符自动剔除 0/O/1/l/I 易混淆项，点击图片即可刷新 • 服务器不支持 GD 时自动降级为算术题验证码，功能不中断 • 安全校验：验证码存入 Session，5 分钟有效、一次性销毁、hash_equals 安全比对、大小写不敏感 2. 游客投稿 + 定时发布 • 前台 index.php?m=submit 提供投稿表单，游客填写标题、栏目、内容即可投稿，无需登录 • 投稿进入临时文章库，默认待审核，管理员审核通过后发布到正式栏目 • 管理员可在后台「投稿 / 定时库」创建定时文章，设定发布时间，到点自动上线 • 同 IP 5 分钟内限投 1 篇，防止刷屏 3. 内容留言（自动拦截外链垃圾留言） • 文章、软件下载、小视频详情页底部均有留言区，游客直接留言 • 自动记录昵称、内容、IP、浏览器 UA、设备类型（PC / 平板 / 手机）与操作系统 • 外链垃圾留言自动拦截：含 http/https 链接、location.href、window.location、document.location、script 标签、iframe 标签、JS 伪协议、meta 刷新等一律拒绝 • 后台「留言管理」可删除、隐藏 / 显示、修改留言内容 4. 小黑屋封禁 • 后台「小黑屋封禁」按 IP 地址或浏览器 UA 封禁访客，支持时长：1 小时 / 1 天 / 7 天 / 30 天 / 永久，并记录封禁原因 • 被封禁访客访问任何页面显示 403「您已被列入小黑屋」，页面展示封禁原因与剩余时间 • 前台 index.php?m=blackhouse 公示小黑屋记录（仅展示原因与时间，保护隐私）；记录超 100 条自动输出公告 5. sitemap 站点地图自动生成 • sitemap.xml 随内容更新自动生成，文章、栏目、分类等 URL 自动收录，搜索引擎抓取更快更全 三、修复与优化 • 修复投稿页三态回显：提交成功、提交失败、未提交三种状态正确区分展示 • 合并 v1.0.1 全部补丁，产出全量安装包，一次安装即最新版 • 安装包重组时排除 data 目录，避免密钥与日志随包泄露；包内不含测试文件与打包脚本 四、完整功能清单（v1.0.2 全量） 功能模块 说明 新闻 / 文章 发布、编辑、更新，栏目自由建，前台模板标签调用，改版不动程序 多媒体管理 图片、音频、视频统一入库管理 知识库 支持文档站、帮助中心、FAQ 场景 软件下载 本地上传文件 + 网盘链接发布，两条通道并存，下载走 token 鉴权 小视频 本地上传 MP4 / WebM / OGG 或平台嵌入代码（抖音 / B 站 / 快手等），前台直接播放 图片采集 后台粘贴网络图片 URL 批量下载，自选存放目录，可选登记多媒体 模板标签 程序与模板完全分离，{cms:site}、{cms:article}、{cms:list}、{cms:var} 等标签取数，模板无 PHP 代码 多终端访问 PC 与手机各自独立模板，按访问设备自动切换 投稿 / 留言 前台投稿、留言发布，后台统一审核管理，可随时开关 验证码防刷 投稿、留言提交校验图形验证码，无 GD 自动降级算术题 IP / UA 封禁 后台一键封禁，验证码 + 封禁双重防护 站点地图 sitemap.xml 随内容更新自动生成 访问统计 内置统计子模块（7 张统计表），访问量、来源与趋势可视化 静态 / 伪静态 后台一键生成 Apache、Nginx、宝塔面板、IIS7+、IIS6 五大平台规则，自动写入网站根目录，无需手写 安全加密 AES-256-CBC 加密配置与敏感文件存储，文件置于 Web 根目录之外，下载走随机 token 流式输出；数据库密码不以明文落盘 安装向导 环境检测 → 配置写入 → 数据库导入 → 管理员创建，几分钟完成安装 五、运行环境要求 项目 要求 推荐 Web 服务器 Apache / Nginx / IIS 任意一种 Apache（宝塔 / phpstudy 自带） PHP 版本 PHP 7.4 及以上 PHP 8.0 - 8.2 数据库 MySQL 5.6+ / MariaDB 10+ MySQL 8.0 PHP 扩展 pdo_mysql 或 mysqli 均开启；GD 可选（无 GD 时验证码自动降级算术题） 六、安装与升级方式 方式 A：全新安装（新手推荐） 1. 下载 YongCMS-v1.0.2-安装包.zip，使用密码 yongcms@2026 解压全部源码到网站根目录 2. 访问 你的域名/install，按安装向导填写数据库与管理员信息 3. 安装向导自动建库建表（21 张表已全部内置），几分钟完成 方式 B：存量站点升级（v1.0 / v1.0.1 用户） 1. 备份：备份数据库与网站目录 2. 执行 SQL：对现有库执行 install/sql/upgrade_v102_submit_comment_ban.sql（{pre} 替换为实际表前缀，如 yc_） 3. 覆盖文件：将 index.php、includes/、admin/、templates/ 覆盖到网站根目录，刷新后台即可看到新菜单 七、新增路由与后台菜单 新增路由： 路由 说明 index.php?m=submit 游客投稿页面 index.php?m=captcha 验证码图片输出 index.php?m=blackhouse 小黑屋公示页 index.php?m=comment 留言提交接口（成功后返回原页） index.php?m=comment&act=list 留言分页列表（Ajax / 普通请求均可） 后台新增菜单： • 内容管理 → 投稿 / 定时库（submit.php） • 内容管理 → 留言管理（comment.php） • 站务管理 → 小黑屋封禁（ban.php） 八、模板开发者说明 • 四套模板（pc / pc2 / pc3 / mobile）均已内置新页面：submit.html（投稿页）、blackhouse.html（小黑屋公示页） • 文章 / 下载 / 小视频详情页已内置留言区调用标签：{cms:var name="comment_area"} • 验证码在模板中以 {cms:var name="captcha_html"} 输出，样式可直接改模板，程序与模板完全分离 九、安全风险与应对建议 以下风险与对策基于 v1.0.2 源码实际实现整理，供站长部署与运维时对照检查。 风险一：留言 / 投稿内容注入（XSS） • 风险说明：留言与投稿内容按「黑名单」过滤（拦截 http/https 外链、script / iframe 标签、JS 伪协议、meta 刷新、href / src 夹带链接等），但恶意提交者可能借助 img onerror、svg onload、data: 协议、编码变形等方式绕过关键词过滤；若前台直接原样输出留言内容，存在存储型 XSS 风险。 • 应对建议：留言与投稿内容入库前统一 strip_tags 剥离标签，并二次过滤事件属性（on* 前缀全部剔除）；输出端强制转义（htmlspecialchars），双保险最稳妥；后台留言管理中定期清理异常内容，发现即删除或隐藏。 风险二：验证码可被换 IP 绕过 • 风险说明：图形验证码本身实现较严密（Session 存储、300 秒过期、一次性销毁、hash_equals 防时序攻击、无 GD 时降级算术题），但当前仅投稿有「同 IP 5 分钟限投 1 篇」限制，留言在换 IP / 代理环境下仍可能被批量提交。 • 应对建议：留言提交同样增加频率限制（同 IP 短时内限 N 条，如 60 秒内 1 条）；额外记录并校验提交间隔与页面停留时长，过滤纯脚本行为；封禁维度同时覆盖 IP 与 UA（封禁模块已支持），异常提交直接进小黑屋。 风险三：加密兜底方案较弱（异或混淆） • 风险说明：敏感文件路径与配置使用 AES-256-CBC（openssl 优先），但在缺少 openssl 扩展的环境自动降级为异或混淆，异或方案密钥固化、无随机 IV，若攻击者拿到密文与源码可离线破解。 • 应对建议：服务器必须安装 php-openssl 扩展，部署前在后台「环境检测」中确认加密模式为 AES 而非 XOR；主密钥文件（master.key）务必存放在 Web 根目录之外，且禁止通过 URL 访问 data/ 目录；建议后续版本升级为 AES-256-GCM（自带完整性校验，防御 padding oracle 攻击），并在密文中附带随机 IV。 风险四：上传文件类型校验 • 风险说明：软件下载支持本地上传文件，若仅校验扩展名后缀，恶意用户可能上传伪装成图片 / 文档的 PHP 脚本，配合可执行目录形成 WebShell 风险。 • 应对建议：上传白名单校验扩展名（zip / rar / 7z / jpg / png / mp4 等），并二次校验 MIME 与文件头魔数；上传目录禁止执行 PHP（Apache 关闭 engine 或 .htaccess 拒绝、Nginx location 规则 deny all）；文件名重命名后入库（时间戳 + 随机串），不使用用户原始文件名落盘。 风险五：数据库与后台口令 • 风险说明：数据库密码采用 AES-256-CBC 加密存储、安装配置不以明文落盘，攻击面较可控；但若后台口令过弱，攻击者可借弱口令进入后台上传恶意文件或篡改内容。 • 应对建议：初始管理员密码必须修改为强口令（10 位以上、含大小写与数字符号），后台定期更换；后台可加访问 IP 白名单或部署路径访问密钥（伪静态 / 基础认证）；生产环境关闭 PHP 错误显示（display_errors = Off），避免路径与配置信息泄露。 风险六：日志与备份泄露 • 风险说明：运行日志、调试文件若存放在 Web 可访问目录且未加保护，可能被直接下载，间接暴露目录结构甚至敏感路径。 • 应对建议：data/（日志 / 密钥 / 缓存）目录放于 Web 根目录之外，或在 Web 根内通过规则禁止访问；数据库备份文件命名随机化，备份后立即移出 Web 可访问目录；v1.0.2 安装包已从打包清单中排除 data 目录，交付即不含运行期敏感文件，保持此约定即可。 风险七：SQL 注入 • 风险说明：数据层统一走 PDO 预处理（prepare + execute 参数绑定），注入面已大幅收窄；但任何后续新增 SQL 若字符串拼接用户输入，仍会引入注入风险。 • 应对建议：所有查询一律使用参数绑定，禁止拼接用户输入进 SQL；数据库账号按最小权限创建（仅授业务库增删改查，不授 DDL / 其他库权限）；后台与前台请求分别校验请求来源（Referer）与表单令牌（CSRF Token），防止跨站请求伪造。 十、常见问题 • 升级后看不到新菜单：清理后台浏览器缓存，或确认 admin/index.php 已覆盖 • 留言不显示：检查是否被外链过滤器误拦（含链接会被拦截），以及后台留言管理中是否处于「隐藏」状态 • 封禁没生效：确认 SQL 已执行、includes/init.php 已覆盖；封禁按访客当前 IP / UA 精确匹配，换 IP 后需重新封禁 • 升级需要重装吗：不需要，存量数据全部保留 • 验证码不显示图片：服务器未安装 GD 扩展，系统已自动降级为算术题验证码，安装 GD 扩展即可恢复图形验证码 十一、联系方式 • 作者：永哥 • QQ：17293776 • 手机 / 微信：17551571977（微信同号） 遇到任何安装、使用问题，直接联系永哥，免费指导。感谢使用永哥CMS，祝使用愉快！