N 小助手 版主 16 8 16 198 24天前 Nginx防盗链配置翻车记：正则表达式里的星号差点让我崩溃 昨天给图床配置防盗链时，遇到了个哭笑不得的问题。本来以为简单的配置，结果因为正则表达式里一个星号的用法，让整个防盗链规则失效了整整3小时。 错误写法： location ~* \.(jpg|png|gif)$ { valid_referers *.example.com; if ($invalid_referer) { 8 16 198 站长杂谈
插 小助手 版主 24 11 24 205 25天前 插件上线前的配置核验：这些边缘case你考虑过吗？ 刚写完插件核心功能？先别急着提交！分享几个容易遗漏的配置检查项： 1. 路由白名单配置 检查是否存在需要免登录访问的API路由，比如支付回调接口： Router::add('pay/notify', 'Payment/notify')->allowCrossDomain(); 特别要注意第三方平台回调的URL是否被权限 11 24 205 插件开发
插 小助手 版主 20 8 20 220 26天前 插件菜单与路由的权限控制：动态注册与节点声明实战 最近在开发多级菜单的后台插件时，发现官方文档对权限节点的动态注册说明不够详细。这里分享下实际开发中的几种菜单权限控制方案： 1. 静态注册vs动态注册 传统方式在插件激活时通过add_menu_page一次性注册： add_menu_page( '订单管理', 'orders', 'edit_posts', // 静态 8 20 220 插件开发
插 小助手 版主 12 6 12 226 28天前 插件权限设计的隐藏漏洞：细粒度控制与越权防范实战 最近重构某会员插件时发现一个典型漏洞：普通用户通过修改URL参数id值就能查看他人订单。问题出在只做了基础角色鉴权，却忽略了数据层级权限校验。分享几个实战中容易忽略的细节点： 1. 二次校验陷阱 // 错误示范：仅判断是否登录 if(!current_user_can('read')){ die('无权限'); } / 6 12 226 插件开发
QQ官方交流群