Files
YwxAppThink/app/backend/view/hook/index.html
T
yangwx 18101cf11a feat: 上线前安全加固与发布工程化;appmall 由插件迁移为独立应用
安全(P0)
- 发布包签名:新增 scripts/package_keygen.php、scripts/package_verify.php、
  ywxapp\service\PackageVerifier;FrameworkService::apply() 解压前强制验签
  (ywxapp.framework_package_verify,默认开启)
- JWT 收紧:config/jwt.php 移除公开默认密钥,JwtService::assertStrongSecret()
  校验非空 / 长度≥32 / 已知弱值;.env.production.example 键名由 JWT_SECRET_KEY 修正为 JWT_SECRET
- /api/v1/Article:免登录白名单收窄为只读接口,写操作字段白名单 + assertOwner() 越权校验
- 开发者令牌:查找接口不再回显明文、统一失败文案 + 限流
- TemplateInstaller:文件名白名单 + realpath 归一化 + 目录内断言,修复 Zip Slip;补 use ZipArchive
- 后台登录:接入验证码、失败锁定与登录限流(config/ratelimit.php)
- 缓存 / Session 驱动可由 .env 覆盖(CACHE_DRIVER / SESSION_TYPE),集群部署改 redis
- paycenter 支付日志开关改为 PAY_LOG,不再跟随 APP_DEBUG

工程化 / 交付
- 新增 CHANGELOG.md 与 .env.production.example;composer.lock 入库锁定依赖版本
- 插件离线安装 CLI 增加 --uid,后台上传安装透传 uid,付费插件授权校验可通过
- 授权拒绝文案区分「未携带 uid」与「未找到有效授权」,便于排障
- .gitignore 放行 .env.production.example / .env.addon.example / .gitattributes / public/.htaccess

结构
- appmall 由 addon/appmall 迁移为独立应用 app/appmall(市场 / 开发者中心 / 审核 / 分润)
2026-10-22 00:53:39 +08:00

91 lines
4.3 KiB
HTML

<div class="layui-fluid">
<div class="layui-card">
<div class="layui-card-header">模板钩子(共 {$total} 个埋点)</div>
<div class="layui-card-body">
<blockquote class="layui-elem-quote layui-quote-nm">
模板里 <code>{:hook('钩子名', $vars)}</code> 是埋点;插件用
<code>HookService::mount()</code> / <code>register()</code> 或监听
<code>HookRender</code> 事件挂内容。本页只做诊断:埋点是否存在、挂了谁。
<br>
收集型事件监听:{if $hasListener}<span class="layui-badge layui-bg-green">已注册</span>{else}<span class="layui-badge">无</span>{/if}
(事件方式无法枚举到具体插件,排查时优先看「已挂载」列)
</blockquote>
<div style="margin-bottom:12px;">
<button class="layui-btn layui-btn-sm {if $devOn}layui-btn-danger{else /}layui-btn-normal{/if}"
id="btnDevMode" data-on="{if $devOn}0{else /}1{/if}">
<i class="layui-icon layui-icon-template-1"></i>
{if $devOn}关闭钩点标注{else /}开启钩点标注{/if}
</button>
<span class="layui-word-aux" style="margin-left:8px;">
开启后打开任意后台页面:每个 hook() 埋点会显示蓝色虚线框 + 「⟡ 钩子名」标签(灰色「(空)」表示尚无插件挂载)。
仅在本机浏览器生效(cookie),不会随前台页面暴露给访客。
</span>
</div>
<table class="layui-table" lay-skin="line">
<colgroup>
<col width="240">
<col width="240">
<col>
</colgroup>
<thead>
<tr>
<th>钩子名</th>
<th>已挂载</th>
<th>埋点位置</th>
</tr>
</thead>
<tbody>
{empty name="rows"}
<tr>
<td colspan="3" style="text-align:center;">暂无埋点</td>
</tr>
{/empty}
{volist name="rows" id="row"}
<tr>
<td><code>{$row.name}</code></td>
<td>
{empty name="row.mounts"}
<span class="layui-badge">未挂载</span>
{else /}
{volist name="row.mounts" id="m"}
<div style="margin-bottom:4px;">
<span class="layui-badge layui-bg-cyan">{$m.addon ?: '核心'}</span>
<span class="layui-badge layui-bg-gray">w{$m.weight}</span>
<span style="font-size:12px;">{$m.target}</span>
</div>
{/volist}
{/empty}
</td>
<td style="font-size:12px;color:#666;">
{volist name="row.files" id="f"}
<div>{$f}</div>
{/volist}
</td>
</tr>
{/volist}
</tbody>
</table>
</div>
</div>
</div>
<script>
layui.use(['jquery', 'layer', 'http'], function () {
var $ = layui.jquery, layer = layui.layer, http = layui.http;
$('#btnDevMode').on('click', function () {
var btn = $(this);
http.post('{:url("devMode")}', { on: btn.data('on') }).then(function (r) {
if (r && r.code === 0) {
layer.msg(r.msg || '已切换', { icon: 1 });
setTimeout(function () { location.reload(); }, 800);
} else {
layer.msg((r && r.msg) || '切换失败', { icon: 2 });
}
}).catch(function (err) {
layer.msg('请求失败:' + (err && err.message ? err.message : '网络异常'), { icon: 2 });
});
});
});
</script>