Files
YwxAppThink/ywxapp/model/CommonAttachment.php
T
yangwx 18101cf11a feat: 上线前安全加固与发布工程化;appmall 由插件迁移为独立应用
安全(P0)
- 发布包签名:新增 scripts/package_keygen.php、scripts/package_verify.php、
  ywxapp\service\PackageVerifier;FrameworkService::apply() 解压前强制验签
  (ywxapp.framework_package_verify,默认开启)
- JWT 收紧:config/jwt.php 移除公开默认密钥,JwtService::assertStrongSecret()
  校验非空 / 长度≥32 / 已知弱值;.env.production.example 键名由 JWT_SECRET_KEY 修正为 JWT_SECRET
- /api/v1/Article:免登录白名单收窄为只读接口,写操作字段白名单 + assertOwner() 越权校验
- 开发者令牌:查找接口不再回显明文、统一失败文案 + 限流
- TemplateInstaller:文件名白名单 + realpath 归一化 + 目录内断言,修复 Zip Slip;补 use ZipArchive
- 后台登录:接入验证码、失败锁定与登录限流(config/ratelimit.php)
- 缓存 / Session 驱动可由 .env 覆盖(CACHE_DRIVER / SESSION_TYPE),集群部署改 redis
- paycenter 支付日志开关改为 PAY_LOG,不再跟随 APP_DEBUG

工程化 / 交付
- 新增 CHANGELOG.md 与 .env.production.example;composer.lock 入库锁定依赖版本
- 插件离线安装 CLI 增加 --uid,后台上传安装透传 uid,付费插件授权校验可通过
- 授权拒绝文案区分「未携带 uid」与「未找到有效授权」,便于排障
- .gitignore 放行 .env.production.example / .env.addon.example / .gitattributes / public/.htaccess

结构
- appmall 由 addon/appmall 迁移为独立应用 app/appmall(市场 / 开发者中心 / 审核 / 分润)
2026-10-22 00:53:39 +08:00

152 lines
4.4 KiB
PHP

<?php
// +----------------------------------------------------------------------
// | YwxApp [ WE CAN DO IT JUST THINK ]
// +----------------------------------------------------------------------
// | Copyright (c) 2026-2036 http://ywxapp.cn All rights reserved.
// +----------------------------------------------------------------------
// | Author: ywxapp<admin@ywxapp.cn>
// +----------------------------------------------------------------------
declare (strict_types = 1);
namespace ywxapp\model;
use think\Model;
use think\model\concern\SoftDelete;
class CommonAttachment extends BaseModel
{
use SoftDelete;
// 设置字段信息
protected $schema = [
//文件ID
'id' => 'int',
//所属用户ID
'uid' => 'int',
//所属模块 (admin, index, api)
'module' => 'string',
//文件相对路径 (如: 2026/01/21/filename.jpg)
'path' => 'string',
//文件访问URL (全路径)
'url' => 'string',
//原始文件名
'original' => 'string',
//存储文件名 (不含路径)
'name' => 'string',
//文件大小 (字节)
'size' => 'int',
//文件后缀
'ext' => 'string',
//MIME类型
'mime' => 'string',
//存储引擎 (local, alioss, qcos, qiniu)
'storage' => 'string',
//驱动特定信息 (如OSS的ETag, Bucket等)
'driver_info' => 'json',
//是否为图片
'is_image' => 'bool',
//图片宽度
'width' => 'int',
//图片高度
'height' => 'int',
//上传者IP
'upload_ip' => 'string',
//创建时间
'create_at' => 'int',
//更新时间
'update_at' => 'int',
];
// 自动写入时间戳
protected $autoWriteTimestamp = 'int';
protected $createTime = 'create_at';
protected $updateTime = 'update_at';
// 隐藏字段
protected $hidden = ['upload_ip', 'driver_info'];
// 软删除(delete_at 时间戳,0=未删)
protected $deleteTime = 'delete_at';
protected $defaultSoftDelete = 0;
/**
* 关联用户模型(如果存在)
* @return \think\model\relation\BelongsTo
*/
public function user()
{
return $this->belongsTo(MemberUser::class, 'uid', 'uid');
}
// /**
// * 获取完整URL(如果数据库里的URL是相对路径,自动补全域名)
// * @param string $value
// * @return string
// */
// public function getUrlAttr($value)
// {
// if ($value && ! str_starts_with($value, 'http')) {
// return Request::domain() . '/' . ltrim($value, '/');
// }
// return $value;
// }
/**
* 运行时自愈:确保 attachment 主表存在(install.sql 为事实源)。
*/
public static function ensureSchema(): void
{
$prefix = BaseModel::currentPrefix();
BaseModel::ensureTableFromInstall($prefix, 'common_attachment');
self::ensureColumn($prefix . 'common_attachment', 'delete_at', "int unsigned NOT NULL DEFAULT 0 COMMENT '删除时间(软删除)'");
}
/**
* 初始化:自愈建表,避免远程库缺失 wxapp_attachment 导致 1146。
*/
protected function initialize()
{
parent::initialize();
self::ensureSchema();
}
/**
* 格式化文件大小
* @return string
*/
public function getFormattedSizeAttr(): string
{
$bytes = (int) $this->getData('size');
if ($bytes >= 1024 * 1024 * 1024) {
return number_format($bytes / (1024 * 1024 * 1024), 2) . ' GB';
} elseif ($bytes >= 1024 * 1024) {
return number_format($bytes / (1024 * 1024), 2) . ' MB';
} elseif ($bytes >= 1024) {
return number_format($bytes / 1024, 2) . ' KB';
} else {
return $bytes . ' B';
}
}
/**
* 设置驱动信息(自动JSON编码)
* @param mixed $value
* @return void
*/
public function setDriverInfoAttr($value)
{
$this->setAttr('driver_info', json_encode($value, JSON_UNESCAPED_UNICODE));
}
/**
* 获取驱动信息(自动JSON解码)
* @param string $value
* @return array
*/
public function getDriverInfoAttr($value)
{
return $value ? json_decode($value, true) : [];
}
}