 yangwx
|
18101cf11a
|
feat: 上线前安全加固与发布工程化；appmall 由插件迁移为独立应用
安全（P0）
- 发布包签名：新增 scripts/package_keygen.php、scripts/package_verify.php、
ywxapp\service\PackageVerifier；FrameworkService::apply() 解压前强制验签
（ywxapp.framework_package_verify，默认开启）
- JWT 收紧：config/jwt.php 移除公开默认密钥，JwtService::assertStrongSecret()
校验非空 / 长度≥32 / 已知弱值；.env.production.example 键名由 JWT_SECRET_KEY 修正为 JWT_SECRET
- /api/v1/Article：免登录白名单收窄为只读接口，写操作字段白名单 + assertOwner() 越权校验
- 开发者令牌：查找接口不再回显明文、统一失败文案 + 限流
- TemplateInstaller：文件名白名单 + realpath 归一化 + 目录内断言，修复 Zip Slip；补 use ZipArchive
- 后台登录：接入验证码、失败锁定与登录限流（config/ratelimit.php）
- 缓存 / Session 驱动可由 .env 覆盖（CACHE_DRIVER / SESSION_TYPE），集群部署改 redis
- paycenter 支付日志开关改为 PAY_LOG，不再跟随 APP_DEBUG
工程化 / 交付
- 新增 CHANGELOG.md 与 .env.production.example；composer.lock 入库锁定依赖版本
- 插件离线安装 CLI 增加 --uid，后台上传安装透传 uid，付费插件授权校验可通过
- 授权拒绝文案区分「未携带 uid」与「未找到有效授权」，便于排障
- .gitignore 放行 .env.production.example / .env.addon.example / .gitattributes / public/.htaccess
结构
- appmall 由 addon/appmall 迁移为独立应用 app/appmall（市场 / 开发者中心 / 审核 / 分润）
|
2026-10-22 00:53:39 +08:00 |
|
|
ywxapp
|
1d49e6f5ee
|
feat: 公共表更名 common/member 前缀 + 插件命令自动加载 + 版本 1.1.1
- 18 张公共表更名（addon/attachment/configure/links/spider_log/spider_stat/sms/notice/ad/task/prop/medal/help/card -> common_*，member_wallets->member_wallet，score_rule/score_log -> member_*，addon_config->common_addonconf），模型全部对齐新表名，Db 直引用清零
- Attachment 模型补 表名绑定，修复富文本上传查 wxapp_attachment 1146 隐患
- install.sql + 迁移 SQL：backend_admin/backend_role delete_at 默认 0，修复软删除(NULL != 0)误过滤导致后台菜单为空
- AppService::boot() 支持插件 info.php 声明 commands 自动注册插件命令（psr-4 自动加载，坏类名自动跳过）
- 各插件（haonav/mqttbroker/wxchat/articles/blog/forum 等）字段与配置同步调整
- 框架版本 1.1.0 -> 1.1.1
|
2026-08-20 20:19:15 +08:00 |
|
|
ywxapp
|
303f548664
|
fix: 修正打包脚本插件目录名(addon)、重建框架文件清单、修复 install.sql(sms 表冲突/菜单归属/权限名拼写)
|
2026-08-16 17:42:18 +08:00 |
|
|
ywxapp
|
6c1a106bc1
|
chore: 重写初始提交(清空历史,整理后全量提交)
|
2026-08-16 16:54:14 +08:00 |
|