youpaishidifu/Sdf1_login
1
1
Fork 0
Code Issues 15 Pull Requests Actions 1 Packages Projects Releases 13 Wiki Activity
326 Commits 3 Branches 29 Tags
e440dea033ddde6b4defcea58b24a2a0b10545b8
Commit Graph
13 Commits
Author SHA1 Message Date
ypsdf1 0b63a99719 install页去掉IP白名单门禁并修null告警, 新增0.0.0.0应急逃生通道 
- install.php: sqlMdDbConfig 全新站 java/web 槽为 null, $val 闭包加 is_array 兜底,
  消除每个输入框的 array offset on null 告警; 门禁只留令牌层(全新站无白名单可言);
  安装成功页改为回显本次写入的完整配置供截图手抄, 背景自删
- admin_2fa_setup.php: 引导页白名单框上方显示当前访问IP; 应急模式免密进 boot 模式
  并挂红徽标; secInstallPending 让位改为 !secIsEmergency(), 避免与全局应急路由
  形成 install/引导页互跳死循环
- security.php: 新增 secIsEmergency() 判定白名单含 0.0.0.0; secIpAllowed 放行该条目;
  新增 secEmergencyGate() 在限流层前把非引导页/非本机请求 302 锁回引导页(用302防浏览器缓存)
- config.php: 补 0.0.0.0 应急用法与用完必删的说明注释
 2026-10-09 19:56:34 +08:00
ypsdf1 aadb3373e8 充值订单号改读pay.md配置区：固定格式(纯数字0随机/非纯数字6位递增保底)与组合规则双分支，前缀pay.md优先+历史前缀双兼容保补单，删CALLBACK_PORT/GAME_SERVER_HOST死配置 2026-10-07 21:03:35 +08:00
ypsdf1 6a6cb9ec3c 订单前缀配置化+新订单号格式，补单脚本同读前缀；新增online_heartbeat心跳与sync_webtx_receipts回执补推端点 2026-10-06 18:18:22 +08:00
ypsdf1 196e20868e 安全闸门最小化信息透露：非白名单请求统一返 nginx 原生 404，新增 DB 引导标记 
- secGatePage / secGateApi 不再回 403（页面 HTML 与 JSON），一律 secNginx404()，
  探测者分不清是文件不存在还是被拦截；拒绝仍写 db/security.log。
- 新增 secIsBootstrapped() 双判据：config SEC-UPDATE 区已有令牌（既有站点即刻生效）
  或 web.db 的 sec_bootstrap 标记表有行（secWriteConfig 保存时写入）。
- 全新部署首次访问（两者皆空）为引导模式：放行并把 admin.php 跳到 admin_2fa_setup.php，
  配齐白名单/访问令牌/2FA 后一保存即自动转强制；读库异常从严按已引导。
- secTokenGate 引导模式不强制，已引导后照旧 ?token= 否则 404。
- setup 页状态卡片新增「门禁状态」展示；config.php 注释同步 404 与引导标记说明。
- 不调用 SQLite3::enableExceptions(false)：PHP 8.4 该写法触发 E_DEPRECATED，
  提前输出会把 nginx404 的状态行挤掉（404 变 200），改由 @ + try/catch 兼容新旧版本。
 2026-10-02 13:42:02 +08:00
ypsdf1 1a221330dc config.php 验证码段改为单开关二选一：CF/VA 取值与行内说明写清，全站厂商统一由 CAPTCHA_PROVIDER 决定，密钥仍留 captcha_keys.php 2026-10-01 15:11:31 +08:00
ypsdf1 17d53c40a0 三大场景接入人机验证：新增captcha_guard.php统一校验库与CAPTCHA_PROVIDER配置，管理员登录/用户后台账密登录/正版验证浏览器提交三处接入；captcha_keys.php清空为可入库的空模板并加填写说明，部署脚本排除密钥文件防覆盖线上真值 2026-10-01 13:38:29 +08:00
ypsdf1 b7b2647ef1 需求3脱敏：config.php改为占位符分发(敏感信息不入库)，清除admin.php公网前端13处与land_api.php的硬编码SECRET_KEY，改为服务端注入/常量比对 2026-09-30 11:18:41 +08:00
ypsdf1 c46c9ebdfe 紧急加固三层：admin.php 入口令牌门禁 + 2FA 扫码绑定与精确诊断 
第三层（新增，config.php 的 SEC_ACCESS_TOKEN）：
- 只有 admin.php?token=<令牌> 才放行，缺/错令牌一律返回 nginx 原生 404
  （与"文件真的不存在"逐字节一致，探测者无从判断），令牌检查置于白名单之前
- 登录接口在密码校验通过后才下发 token，2FA 通过与收银台跳转由服务端补拼
- 入口页加 Referrer-Policy: no-referrer，防令牌经外链 Referer 泄露
- 配置页展示后台唯一入口地址，支持一键重新生成令牌

第一层修复（2FA 验证码"无效"）：
- secTotpVerify 容错窗口 ±30 秒扩到 ±90 秒
- 新增 secTotpDiagnose：失败时区分"密钥没对上"与"设备时钟偏移多少秒"并给出处置指引
- Base32 解码兼容空格/连字符与 0/1/8/9 手误，避免密钥被静默截短
- 验证页倒计时与服务器时间显示改用服务端时钟基准
- 密钥生成改幂等，"重新生成"二次确认，防止已扫码密钥被误作废

第二层（二维码）：
- admin_2fa_setup.php 内联 qrcode-generator(MIT) 生成 otpauth 二维码，离线可用
- 后台侧边栏新增"安全配置"入口；admin_2fa_setup.php?boot= 在白名单 IP 下同样生效

已通过线上端到端验证 22 项 + 二维码 OpenCV 往返解码校验。
 2026-09-29 22:55:46 +08:00
ypsdf1 c266cf8555 R17: 修复token被误判为一次性 - 清理validateTokenSilent诊断日志+修复getDB重复ROLLBACK 2026-07-11 20:26:13 +08:00
ypsdf1 9c269cc184 重构: 收银台订单库彻底独立于web.db，根除订单加载卡死 
根因：订单记录原写在 web.db，与 Java 经 sync.php 高频写入共享同一 SQLite 文件，
产生文件级锁竞争（database is locked）。原 62f5323 用 busy_timeout=15s + 重试 hack
缓解，但 Java 持续写入仍会顶住 PHP 订单读查询，导致订单页长期转圈。

改动：
- 新增独立 orders.db 常量（ORDERS_DB_PATH），Java 永不读写此库
- core.php 新增 getOrdersDB() 连接独立库（WAL + busy_timeout=5s），建表并幂等迁移 web.db 历史订单
- recordCashierOrder() 改写写入 orders.db，订单写失败仅记日志返回空单号，绝不阻断购买主流程
- shop.php 将订单记录移出 web.db 事务，放到 COMMIT 之后写独立库
- cashier.php cashierOrderList() 直接读 orders.db，去掉 busy_timeout 与 5 次重试兜底 hack
- web.db 内旧 cashier_orders 表保留为历史死表（仅作迁移源），不再被读写

效果：订单查询与 Java 写入完全解耦，订单页不再受 CF/Java 锁影响而卡死。
 2026-07-07 15:25:25 +08:00
ypsdf1 f6265dd994 feat: 玩家验证改调Java回调服务器(替代直接读login.db) 
- land_api.php: 新增 validatePlayerViaJava() 函数
  POST http://GAME_SERVER_HOST:9090/validate_player
- handleAddGroupMember: 替换直接读login.db为Java验证
- handleAddVisitor: 替换playerExists()为Java验证
- handleUpdateLandOwner: 替换playerExists()为Java验证
- config.php: 新增 GAME_SERVER_HOST (默认127.0.0.1)
 2026-06-28 15:30:09 +08:00
ypsdf1 9bae160ce0 Java：新增ip推送端口，后端可以查看玩家ip及归属 
php：新增ip属地、实时在线数据，可以查看玩家ip、归属和实时在线情况
 2026-06-18 12:35:22 +08:00
ypsdf1 54cd3c4f59 feat: 初始提交 Web 管理后台源码 (PHP) 2026-06-14 16:35:07 +08:00