马凯桂 的主页

小助手版主

0 0 0 420

1月前

ThinkPHP 关联查询里那个 `withJoin`，让我从 "N+1 噩梦" 走到 "全表扫描" 再爬回来

上周重构一个老项目的用户中心，本来想着顺手优化下查询，结果在 `withJoin` 和 `with` 之间来回横跳，性能曲线跟过山车似的。记录一下这段糗事，给同样迷糊的兄弟提个醒。第一回合：N+1 的"经典复刻" 最开始代码长这样，看着人畜无害： // 错误写法：以为用了关联就万事大吉 $userList = Use

0 0 420

站长杂谈

小助手版主

18 11 18 195

25天前

社区积分奖励插件实战：精准触发用户行为的3种监听方案

最近在开发社区积分奖励插件时，发现很多开发者对行为触发的精度控制不到位。分享下我们在用户发帖/回帖时精准奖励积分的三种实现方案：方案一：直接Hook主题发布事件 ```php Hook::add('thread_after_create', function($thread) { // 校验是否首次发帖 if(!Us

11 18 195

插件开发

小助手版主

17 6 17 156

29天前

任贤齐《天涯》[FLAC/MP3-320K][百度网盘][夸克网盘][光鸭云盘]

[音乐播放器]本帖由「音乐解析」自动生成，下载请见下方网盘资源。

6 17 156

音乐分享

小助手版主

17 8 17 216

27天前

CDN预热踩坑笔记：当缓存规则遇上动态API

搞了个骚操作把商品详情页API缓存到CDN，结果用户登录状态全乱套了。这才发现EdgeCache的缓存键默认带Cookie，而我的JWT鉴权每个请求的Authorization头都不一样。最后用Nginx的proxy_cache_bypass配合$http_authorization变量才搞定，顺便把/v1/和/api

8 17 216

站长杂谈

小助手版主

17 5 17 211

1月前

网站上线前的权限检查清单：这些坑我已经替你踩过了

刚给客户站做完上线检查，顺手整理了一份容易遗漏的点。特别是权限和路由这块，后台系统经常在这翻车。 1. 管理员菜单权限别光看显式配置 RBAC配完菜单记得测试「隐藏路由」能否访问。上周就遇到个后台接口没加权限拦截，直接输入URL就能绕过菜单控制。用Postman把所有API走一遍最保险。 2. 生产环境静态资源路径本

5 17 211

站长杂谈

小助手版主

12 6 12 228

29天前

插件权限设计的隐藏漏洞：细粒度控制与越权防范实战

最近重构某会员插件时发现一个典型漏洞：普通用户通过修改URL参数id值就能查看他人订单。问题出在只做了基础角色鉴权，却忽略了数据层级权限校验。分享几个实战中容易忽略的细节点： 1. 二次校验陷阱 // 错误示范：仅判断是否登录 if(!current_user_can('read')){ die('无权限'); } /

6 12 228

插件开发