yangwx
18101cf11a
安全（P0） - 发布包签名：新增 scripts/package_keygen.php、scripts/package_verify.php、 ywxapp\service\PackageVerifier；FrameworkService::apply() 解压前强制验签 （ywxapp.framework_package_verify，默认开启） - JWT 收紧：config/jwt.php 移除公开默认密钥，JwtService::assertStrongSecret() 校验非空 / 长度≥32 / 已知弱值；.env.production.example 键名由 JWT_SECRET_KEY 修正为 JWT_SECRET - /api/v1/Article：免登录白名单收窄为只读接口，写操作字段白名单 + assertOwner() 越权校验 - 开发者令牌：查找接口不再回显明文、统一失败文案 + 限流 - TemplateInstaller：文件名白名单 + realpath 归一化 + 目录内断言，修复 Zip Slip；补 use ZipArchive - 后台登录：接入验证码、失败锁定与登录限流（config/ratelimit.php） - 缓存 / Session 驱动可由 .env 覆盖（CACHE_DRIVER / SESSION_TYPE），集群部署改 redis - paycenter 支付日志开关改为 PAY_LOG，不再跟随 APP_DEBUG 工程化 / 交付 - 新增 CHANGELOG.md 与 .env.production.example；composer.lock 入库锁定依赖版本 - 插件离线安装 CLI 增加 --uid，后台上传安装透传 uid，付费插件授权校验可通过 - 授权拒绝文案区分「未携带 uid」与「未找到有效授权」，便于排障 - .gitignore 放行 .env.production.example / .env.addon.example / .gitattributes / public/.htaccess 结构 - appmall 由 addon/appmall 迁移为独立应用 app/appmall（市场 / 开发者中心 / 审核 / 分润）
58 lines
2.9 KiB
Markdown
58 lines
2.9 KiB
Markdown
# 数据表管理（可视化建表）
|
||
|
||
系统管理 → **数据表管理**（`/admin/datatable/index`）。和「数据库备份」是两件事：
|
||
那边管数据（备份 / 还原），这边管结构（建表 / 看结构 / 优化 / 删表）。
|
||
|
||
## 能做什么
|
||
|
||
| 功能 | 入口 | 说明 |
|
||
|------|------|------|
|
||
| 表列表 | 页面表格 | 表名、备注、引擎、行数、大小、字符集；支持关键字搜索与分页 |
|
||
| 新建表 | 顶部「新建表」 | 可视化字段设计 → **生成 SQL 预览** → 确认后执行 |
|
||
| 查看结构 | 行内「结构」 | 字段（类型 / 可空 / 默认值 / 键 / 注释）+ 完整建表语句，可复制 |
|
||
| 优化表 | 行内「优化」/ 顶部「优化选中」 | `OPTIMIZE TABLE` |
|
||
| 删除表 | 行内「删除」 | 需手动输入表全名二次确认；核心表直接禁止 |
|
||
|
||
建表成功后页面会给出下一步命令：
|
||
|
||
```bash
|
||
php think addon:crud <插件> -t <表名，不含前缀>
|
||
```
|
||
|
||
## 字段表单说明
|
||
|
||
每行一个字段：字段名、类型、长度 / 精度、默认值、注释，以及
|
||
无符号 / 可空 / 自增 / 主键 / 索引（无 / 普通 / 唯一）五个开关。
|
||
|
||
- 类型走白名单（21 种常用类型），整型不输出显示宽度（MySQL 8 已废弃）；
|
||
- `varchar` 默认长度 255、`decimal` 默认 `10,2`；
|
||
- 默认值 `NULL`、`CURRENT_TIMESTAMP`、数字字面量不加引号，其余按字符串处理；
|
||
- 自增字段必须同时是主键，且只能有一个（MySQL 硬性约束，表单提交前就拦下）。
|
||
|
||
## 安全约束
|
||
|
||
DDL 不可逆，这里比普通 CRUD 保守得多：
|
||
|
||
1. **白名单拼装**：表名、字段名、类型、长度、引擎、字符集、排序规则全部白名单校验，
|
||
用户输入的字符串一个字符都不会进入 SQL 语法结构；注释与默认值只做转义。
|
||
2. **只新建，不覆盖**：表已存在直接中止，绝不做 `DROP + CREATE`。
|
||
3. **删表双重闸**：必须回传与表名完全一致的确认串；`backend_admin` /
|
||
`backend_power` / `backend_role` / `backend_group` / `backend_log` /
|
||
`backend_menu` 列入保护名单，拒绝删除。
|
||
4. **全程留痕**：建表（含失败）、删表、优化都写 `backend_log`，
|
||
在「操作日志」里按 `datatable/create`、`datatable/drop` 可查。
|
||
|
||
## 权限节点
|
||
|
||
`datatable:index | create | structure | optimize | drop`，与菜单一同在首次访问时
|
||
由 `MenuRegistry`（`app/backend/library/MenuRegistry.php`）自动补录，无需手工加节点。
|
||
|
||
## 相关文件
|
||
|
||
| 文件 | 作用 |
|
||
|------|------|
|
||
| `app/backend/controller/Datatable.php` | 控制器：列表 / 结构 / 预览 / 建表 / 删表 / 优化 |
|
||
| `app/backend/view/datatable/index.html` | 列表页 + 建表弹窗 + 结构弹窗模板 |
|
||
| `public/static/backend/modules/datatable.js` | 表格渲染、字段行增删、SQL 预览与执行 |
|
||
| `app/backend/route/app.php` | `Route::group('datatable', ...)` |
|