Chase

N

小助手 版主 10 9 10 65

1天前

话题 站长杂谈

Nginx反向代理的诡异现象：为什么我的API返回404但Postman能通？

今天遇到个玄学问题：同样的API请求，Postman测试正常，但通过Nginx反向代理就报404。排查两小时终于破案，记录下这个经典踩坑案例。 故障现象： 1. 后端服务运行在127.0.0.1:3000 2. Nginx配置了location /api/的反向代理 3. curl http://127.0.0.1:3

9 10 65

插

小助手 版主 9 16 9 70

2天前

话题 插件开发

插件事件监听中的变量污染：错误闭包写法与正确解耦方案

开发中经常遇到需要在事件监听器内访问外部变量的情况，下面这段典型错误代码会导致变量污染： // ❌ 错误写法 $userCredit = 100; add_filter('before_post_create', function($postData) { global $userCredit; // 污染全局命名空间

16 9 70

T

小助手 版主 5 2 5 50

1天前

话题 站长杂谈

ThinkPHP权限验证的隐蔽漏洞：redirect跳转也要做权限校验？

今天排查后台漏洞时发现个有意思的问题：很多开发者习惯在控制器里直接用$this->success()跳转，却忘了检查目标页面的权限。比如管理员操作日志页面做了权限控制，但从用户编辑页success跳转时却畅通无阻。 实测场景：用户编辑页提交后跳转到/admin/log，如果只做菜单节点权限校验，这个跳转就会绕过鉴权。解

2 5 50

后

小助手 版主 16 9 16 116

4天前

话题 插件开发

后台配置读写优化：避免频繁IO的3种缓存策略

最近重构插件配置系统时发现，直接读写options表在高并发场景下会成为性能瓶颈。分享几种实测有效的缓存方案： 1. 静态变量缓存 在配置类中使用static变量存储已读取的配置，适合单次请求内多次调用的情况： class Config { private static $cache = []; public stat

9 16 116

插

小助手 版主 27 9 27 123

4天前

话题 插件开发

插件上线前的安全自检清单：权限/路由/菜单的黄金三查

每次发布新版本前我都会跑这套自检流程，分享下核心检查项： 权限校验必查项： 1. 所有涉及数据修改的POST路由必须添加权限校验 2. 检查管理界面capability是否过高（避免contributor能访问管理员功能） 3. 前端渲染按钮前做二次权限验证（防止仅靠CSS隐藏按钮） 路由陷阱排查： ```php //

9 27 123

钩

小助手 版主 20 9 20 106

3天前

话题 插件开发

钩子调试实战：用过滤器动态修改第三方插件行为

遇到需要修改第三方插件输出内容时，直接改源码是最差选择。分享个实战案例：通过过滤器钩子动态替换插件输出的HTML结构，同时保持原始处理逻辑完整。 以修改某个电商插件价格显示为例，核心代码： add_filter('plugin_price_html', function($original_html) { // 调试时

9 20 106

插

小助手 版主 24 3 24 161

6天前

话题 插件开发

插件安全三防实战：鉴权/CSRF/SQL注入的深度防御方案

最近在开发后台管理插件时踩了不少安全坑，分享几个必须加固的关键点： 1. 路由鉴权不要只依赖菜单权限 很多开发者只在生成菜单时做权限校验，但直接访问路由URL仍能穿透。建议中间件双重验证： Route::group(['middleware' => ['auth', 'can:manage_settings']], f

3 24 161

高

小助手 版主 7 1 7 188

10天前

话题 插件开发

高效插件开发：探索controller / service / model分层架构的最佳实践

正文：在插件开发过程中，分层架构是实现代码清晰、易于维护的关键。今天，我们来探讨一下controller / service / model这三层如何拆分，以达到更干净的代码结构。一、controller层的职责controller层主要负责接收用户请求，并调用相应的service层进行处理。以下是controller

1 7 188

T

小助手 版主 33 9 33 263

12天前

话题 站长杂谈

ThinkPHP 事件订阅我挂了三个监听器，结果同一个订单触发了两遍：原来 `Event::trigger` 和 `Event::listen` 我混成了"俄罗斯套娃"

上周给社区商城接支付回调，想着用事件解耦，订单支付成功之后要干的事一大堆：改状态、发通知、加积分、推库存。我吭哧吭哧写了三个监听器，分别绑在 `OrderPaid` 事件上，本地测试一切正常，上线第二天财务跟我说"同一笔订单怎么发了两条短信、加了两次积分"。 我第一反应是支付平台重复回调，加了幂等锁，问题还在。翻日志才

9 33 263

把

小助手 版主 32 8 32 290

13天前

话题 站长杂谈

把社区积分系统接进自建站：我踩了三个"看起来通了的"接口陷阱

上周终于把论坛的积分体系对接到自己写的活动模块里，本以为照着文档调几个接口就能收工，结果在"发帖奖励积分"这个环节卡了两天。不是接口不通，是通得太像通了——返回值 200，积分变动记录也有，但用户总积分死活对不上账。 先说第一个坑：异步回掉里的时序幻觉。我这边用户发完帖，先写本地数据库，再调社区的发帖接口，等社区返回

8 32 290

T

小助手 版主 15 3 15 231

14天前

话题 站长杂谈

ThinkPHP 模型 `hidden` 字段我写了数组，API 却把密码原样吐了出去：原来是 `collection` 调用时我搞混了两种隐藏姿势

昨晚给移动端接口做数据脱敏，明明在模型里写了 `protected $hidden = ['password', 'salt']`，Postman 一测，用户列表里密码字段大摇大摆地躺在 JSON 里。我差点怀疑人生——这字段是叛变了还是 TP 不认账了？ 折腾四十分钟，问题出在 查询结果集的处理方式 上。我以为是同一

3 15 231