yangwx
18101cf11a
安全（P0） - 发布包签名：新增 scripts/package_keygen.php、scripts/package_verify.php、 ywxapp\service\PackageVerifier；FrameworkService::apply() 解压前强制验签 （ywxapp.framework_package_verify，默认开启） - JWT 收紧：config/jwt.php 移除公开默认密钥，JwtService::assertStrongSecret() 校验非空 / 长度≥32 / 已知弱值；.env.production.example 键名由 JWT_SECRET_KEY 修正为 JWT_SECRET - /api/v1/Article：免登录白名单收窄为只读接口，写操作字段白名单 + assertOwner() 越权校验 - 开发者令牌：查找接口不再回显明文、统一失败文案 + 限流 - TemplateInstaller：文件名白名单 + realpath 归一化 + 目录内断言，修复 Zip Slip；补 use ZipArchive - 后台登录：接入验证码、失败锁定与登录限流（config/ratelimit.php） - 缓存 / Session 驱动可由 .env 覆盖（CACHE_DRIVER / SESSION_TYPE），集群部署改 redis - paycenter 支付日志开关改为 PAY_LOG，不再跟随 APP_DEBUG 工程化 / 交付 - 新增 CHANGELOG.md 与 .env.production.example；composer.lock 入库锁定依赖版本 - 插件离线安装 CLI 增加 --uid，后台上传安装透传 uid，付费插件授权校验可通过 - 授权拒绝文案区分「未携带 uid」与「未找到有效授权」，便于排障 - .gitignore 放行 .env.production.example / .env.addon.example / .gitattributes / public/.htaccess 结构 - appmall 由 addon/appmall 迁移为独立应用 app/appmall（市场 / 开发者中心 / 审核 / 分润）
107 lines
3.6 KiB
PHP
107 lines
3.6 KiB
PHP
<?php
|
|
// +----------------------------------------------------------------------
|
|
// | YwxApp 框架文件清单
|
|
// | 以数组方式列出框架发行包包含的所有文件（与 package_framework.php 口径一致）
|
|
// | 用法：
|
|
// | $files = require __DIR__ . '/framework_files.php'; // 返回相对路径数组
|
|
// | print_r($files);
|
|
// +----------------------------------------------------------------------
|
|
|
|
/**
|
|
* 框架发行的目录范围（与 scripts/package_framework.php 的 includeDirs 一致）。
|
|
* 注意：addon/ 属于插件体系，不在框架包内。
|
|
*/
|
|
const FRAMEWORK_DIRS = ['app', 'config', 'extend', 'ywxapp', 'public', 'route'];
|
|
|
|
/**
|
|
* 排除规则（相对路径，基于项目根）：
|
|
* - public/uploads 上传目录
|
|
* - public/static/<插件名> 插件静态资源（运行时发布，不入库）
|
|
* - config/database.php 数据库私密配置
|
|
* - config/ywxapp.php 框架配置（含版本号等，安装/升级时不应覆盖）
|
|
*/
|
|
const FRAMEWORK_EXCLUDES = [
|
|
'public/uploads',
|
|
'public/addons',
|
|
'config/database.php',
|
|
'config/ywxapp.php',
|
|
];
|
|
|
|
/**
|
|
* 递归收集框架文件相对路径。
|
|
* @return string[] 形如 ['app/backend/controller/Admin.php', 'config/app.php', ...]
|
|
*/
|
|
function frameworkFiles(): array
|
|
{
|
|
$root = dirname(__DIR__); // scripts/ 的上一级 = 项目根
|
|
$files = [];
|
|
|
|
// 自动发现插件静态资源（addon/ 下每个子目录对应 public/static/<插件名>/），从清单中剔除
|
|
$addonStatic = [];
|
|
$addonRoot = $root . DIRECTORY_SEPARATOR . 'addon';
|
|
if (is_dir($addonRoot)) {
|
|
foreach (array_diff(scandir($addonRoot), ['.', '..']) as $entry) {
|
|
if (is_dir($addonRoot . DIRECTORY_SEPARATOR . $entry)) {
|
|
$addonStatic[] = 'public/static/' . $entry . '/';
|
|
}
|
|
}
|
|
}
|
|
|
|
$isExcluded = static function (string $rel) use ($root, $addonStatic): bool {
|
|
// 顶层排除项
|
|
if (in_array($rel, FRAMEWORK_EXCLUDES, true)) {
|
|
return true;
|
|
}
|
|
// addon/ 下的任何内容都不属于框架包
|
|
if (strpos($rel, 'addon/') === 0) {
|
|
return true;
|
|
}
|
|
// 上传目录整体排除
|
|
if (strpos($rel, 'public/uploads/') === 0) {
|
|
return true;
|
|
}
|
|
// 插件静态资源（public/static/<插件名>/）整体排除
|
|
foreach ($addonStatic as $staticPrefix) {
|
|
if (strpos($rel, $staticPrefix) === 0) {
|
|
return true;
|
|
}
|
|
}
|
|
// 跳过 .git / 运行时目录（防御性）
|
|
if (preg_match('#(^|/)(\.git|runtime|vendor)(/|$)#', $rel)) {
|
|
return true;
|
|
}
|
|
return false;
|
|
};
|
|
|
|
$scan = static function (string $dir, string $prefix) use (&$scan, $root, &$files, $isExcluded): void {
|
|
if (!is_dir($dir)) {
|
|
return;
|
|
}
|
|
foreach (scandir($dir) as $name) {
|
|
if ($name === '.' || $name === '..') {
|
|
continue;
|
|
}
|
|
$rel = $prefix === '' ? $name : $prefix . '/' . $name;
|
|
if ($isExcluded($rel)) {
|
|
continue;
|
|
}
|
|
$abs = $root . DIRECTORY_SEPARATOR . $rel;
|
|
if (is_dir($abs)) {
|
|
$scan($abs, $rel);
|
|
} elseif (is_file($abs)) {
|
|
$files[] = $rel;
|
|
}
|
|
}
|
|
};
|
|
|
|
foreach (FRAMEWORK_DIRS as $d) {
|
|
$scan($root . DIRECTORY_SEPARATOR . $d, $d);
|
|
}
|
|
|
|
sort($files);
|
|
return $files;
|
|
}
|
|
|
|
// 作为数组返回：直接 require 本文件即可得到框架所有文件的相对路径数组
|
|
return frameworkFiles();
|