更新日志

修复 ：

•  升级弹窗、按钮及在线升级链路。

• 留言接口原有的 getClientIp() 致命错误。

• 模板 ZIP 路径穿越与异常压缩包风险。

• 授权中心管理员、会员及支付配置 CSRF。

• 评论字段映射、二维码接口和模板版本筛选。

• 留言、评论、搜索、注册接口的同源限制和 IP 限流。

• 文章、产品、留言、评论的 7 个数据库组合索引

修复： 修改产品图片为多图，最多显示5张缩略图

修复：

• 1. 后台更新提醒：弹窗提醒 现在会在后台壳层自动检测新版本并弹窗；后台提醒 也补了通知中心入口。

• 2.水印：已接入图片保存链路，内容图/UEditor 会自动打水印；头像不打，站点设置里的 Logo/水印源图 也已排除。

• 3.订单增加数量限制、原子库存扣减和事务回滚，解决负金额、库存增加、并发超卖及重复下单提示问题。

• 4.购物车、订单、招聘申请、密码、资料和投稿已补齐 CSRF；购物车越权更新问题同时修复。

• 5.会员 Session 已统一安全参数，登录成功会更换 Session ID，并增加登录 token、账号/IP 限流和 15 分钟锁定。

• 6.补齐退款、评价回复、发货等会员自动消息通知。

• 7.收藏、订单、评价、消息列表完成分页及 N+1 查询优化。

• 8.增加自动备份状态、最近成功时间、下次执行时间和失败告警。

• 9.统一支付宝验签、金额/AppID 核验、交易号幂等和余额并发锁。

• 10专业订单取消自动回补库存，完成和删除增加状态限制。

• 11.修复商业模块后台 CSRF、支付订单菜单加载及订单 API N+。

  补齐：

• 1.会员地址、退款、评价、收藏等写接口已统一启用 POST + CSRF 校验，前端请求同步携带 token。

• 2.会员中心新增“我的收藏、我的评价、站内消息”入口及页面，支持取消收藏、查看评价、消息已读。

• 3.新增 CLI 调度器，支持定时发布及按后台周期自动备份。

• 4.水印功能同时修复了五种中文位置映射失效的问题，并确保 Logo、水印源图不会再次叠加水印。GD 实测确认文字水印叠加、透明度、字体和图片保存正常。

• 5.完成了图片安全扩展名处理、验证码 Host 防伪造、遗留支付通知和上传入口封存，并为广告、个人资料、会员、会员组、商城配置、发货、退款、评价后台操作补齐 CSRF。

  新增：

• 1.微信支付 V3 已完成真实接入。

• 2.增加微信 V3 配置区、CSRF 校验及配置白名单。

• 3.前台支付开关、微信入口和扫码轮询已统一，三份商业模块副本同步。

新版 UEditor 已统一接入并通过桌面、手机版回归。

• 文章、产品、单页、下载、招聘、视频详情页已统一使用新版 UEditor。
• 装修器富文本模块新增 UEditor 弹窗。
• 自动同步提交内容，加载失败可降级为 textarea。
• 修复手机版详情栏被挤压为 0 宽、弹窗被导航遮挡的问题。
• 修复多个后台页面 lucide 未加载导致的控制台错误。
• 普通前台页面不会加载 UEditor，性能不受影响。
• 危险脚本、事件属性和 javascript: 地址仍会被拦截

新增在线客服：

使用方式： 

1. 进入后台「互动 → 在线客服」 

2. 配置电话、QQ、微信二维码等信息 

3. 开启「启用在线客服」 

4. 点击「保存客服设置」

5. 前台页面立即显示客服面板 

功能表现： 

• 关闭时前台完全不加载客服组件 

• 开启后普通模板页、页面装修页均显示 

• 桌面端默认展开，手机端默认折叠

•  支持左右显示位置、最多 6 个 QQ、微信二维码和服务热线

•  二维码支持 JPG、PNG、GIF、WEBP，最大 5MB

主要改进：

• 新增“用户 → 角色权限”管理页面。
• 可以按文章、产品、会员、互动、装修、商城等模块分配权限。
• 后台主路由增加服务端权限校验，手工输入 URL 也不能绕过。
• 侧栏菜单和顶部快捷入口按权限自动隐藏。
• UEditor 和普通上传接口同步遵循角色权限。
• 管理员、角色、数据库、授权、版本管理仅超级管理员可用。
• 角色调整后立即生效，禁用账号的旧会话自动失效。
• 防止禁用、降级或删除最后一个超级管理员。
• 修复新增管理员遗漏用户名的问题。
• 历史 role_id=0 管理员保持超级管理员，现有账号不受影响

1.0.6 升级包主要修复和优化这些：

授权信息页白色卡片问题

修复“授权信息卡片白色一片、文字看不见”的问题。原因是全局卡片样式把授权卡片背景覆盖成白色，导致白底白字。

栏目管理页排版

优化栏目管理表格、操作列宽度、按钮换行、移动端横向挤压问题。批量移动栏目弹窗也改成更现代的弹窗样式。

后台首页工作台

优化后台首页卡片层次、悬停效果、右侧信息栏、运行信息展示，让后台首页看起来更完整一些。

后台通用 UI 细节

补充通用表格、图片预览、按钮组、移动端布局兜底样式，减少订单、充值、栏目等页面出现挤压和排版乱的问题。

包含修复：

1. 封闭 install 重装入口

2. 后台授权激活/重置增加登录与 CSRF 校验

3. 后台管理员密码改为 password_hash，并兼容旧 MD5 自动迁移

4. 会员头像上传增加会员登录与 CSRF 校验

5. UEditor 上传入口关闭匿名上传

6. 后台上传主入口增加 CSRF 校验

7. admin/upload.php 删除接口增加路径白名单限制

8. 部分后台上传调用补充 csrf_token

9. 数据库恢复/自动备份设置保存增加 CSRF 校验

增加：页面装修 / 可视化搭建

增加：订单管理 / 支付设置

增加：购物车 / 收货地址 

增加：发货管理 / 物流单号

增加：售后退款 / 审核记录 

修复 ：商品评价 / 审核回复

1. 增加：模板中心增加模板分类，方便快速找到模板

2. 增加：页面装修功能，此功能只能专业版使用