youpaishidifu
24264cf320
背景：sq_user/sq_agent 密码明文入库、sq_admin 存 MD5；订单表 sq_trade.pass 明文在途；
找回密码 API 会把明文密码直接发邮件；日志记录明文密码。数据库泄露 = 全部账号密码泄露。
1. function/function_core.php 新增 3 个 helper（updateset 之后）：
- wq_is_hashed_password($v)：判断存储值是否为新 bcrypt 哈希（60 长度 $2y$ 前缀）
- wq_hash_password($plain)：password_hash(PASSWORD_BCRYPT)
- wq_verify_password($plain,$stored,$legacy)：兼容 新 bcrypt / 旧明文(sq_user/sq_agent) / 旧 md5(sq_admin)，
哈希比对一律 hash_equals，恒定时间比较防时序侧信道
2. 所有落库点改为 bcrypt：
- 用户开户漏斗 function/function_auth.php auth_add 入口幂等补哈希（上游已哈希则原样保留）
- 代理开通漏斗 function/trade.inc.php type=4 代理落库前幂等补哈希
- 下单点订单密码哈希入库：ajax.php(320/388/781)、agent/ajax.php(439) —— 订单表不再有明文在途密码
- admin/ajax.php：addagent、addadmin、changeagent(mod=password)、changepassword 新密码
- agent/ajax.php：开下级代理、changeuser(mod=password)、changeagent(mod=password)、changepassword 新密码
- api.php：ChangePassword 写库
- api/Communication.php 与 function/communication.php：用户登录校验成功后，旧明文惰性升级为 bcrypt
3. 所有校验点改为取行 + PHP 校验（不再 WHERE password=明文）：
- admin 登录（旧 MD5 兼容，成功即写回 bcrypt，session 与 DB 存同一新哈希保住 re-check 机制）
- agent 密码登录（旧明文兼容，惰性迁移）；agent token 登录 session 改存 DB 存储值
- 根 ajax.php 续费 kt 密码校验(379/773)、卡密找回密码(1002)
- api.php GetUserInfo 内联校验、getuserinfo() 校验（均带惰性迁移）
4. 找回密码改造（api.php RetrievePassword）：
密码已不可逆，原"邮件下发原密码"改为"重置为一次性随机新密码（bin2hex(random_bytes(6))）+ 哈希落库 + 仅邮件投递一次"
5. 日志/回传去明文：
- admin 登录失败日志不再记录明文密码（改记账号）
- admin getagentinfo 不再回传密码值（掩码 ********，经确认 UI 无回写风险）
6. 表结构：sq_admin.password varchar(33) -> varchar(255)（bcrypt 60 字符装不下）
- wenquan_auth.sql 同步更新（新装库直接可用）
- 已有库需执行：ALTER TABLE sq_admin MODIFY password varchar(255) NOT NULL;（本次本地库已执行）
回归（40 项全 PASS，8082 内置服务器 + 8081 nginx 双通道冒烟）：
- API(c=api) 旧明文用户登录成功即升级 bcrypt；再登录幂等不错哈希；错密码 -205 被拒
- admin 旧 MD5 登录即迁移 bcrypt；再登录/错密码/日志无明文/checklogin 会话重校验均通过
- admin 新增管理员、改密（旧密码失效/新密码生效/恢复基线）
- admin 新增代理直接 bcrypt；getagentinfo 掩码；changeagent 改密哈希入库
- 旧明文代理登录即迁移 bcrypt；checklogin 通过；代理改密旧失效新生效
- admin 手工开通（funnel）明文 POST 直接存 bcrypt；API 登录新开通用户成功
- 注：测试应用 free 必须为 0（free=1 时 Login 入口直接放行，属产品设计，不走密码校验）
已知行为变化（记录）：用户/代理列表按"密码"关键词搜索不再命中（存储已哈希，搜索本身即泄露向量，收紧）；
列表中密码列显示 60 位哈希串而非明文；改密会使该账号现有会话失效需重新登录（与旧行为一致）。
api.php 为 2024 树中的旧入口（已被 api/Communication.php 取代），仍按同口径同步修了 4 处密码点防复活踩坑。
温泉PHP网络授权系统Beta
警告：原作者已不再更新程序，可能会存在安全漏洞、未知BUG，请谨慎使用；本项目由开源社区中的诸位自行维护。
许可协议
本程序仅供软件授权、学习研究、技术交流使用，严禁用于包括但不限于色情、赌博、诈骗等违反中华人民共和国相关法律法规或违反使用者所在地法律法规；本作者不再提供任何技术支持、出售、贩卖。 严禁将本程序二次开发后进行出售，请共同维护一个良好的开源环境。 您可以任意修改本程序，但您所做的修改必须通过 Pull Requests 提交到本仓库。
安装说明：
1.导入文件 “wenquan_auth.sql” 到您的数据库中 *** 导入完成后请务必删除数据库文件 ***
2.修改配置文件 “function/config.inc.php” 文件中的信息为您的数据库信息
3.通过执行以下SQL语句新增管理员（请自行将各项参数替换）：
INSERT INTO sq_admin (ID, username, password, loginip, logintime, qq, lastaccesstime, accesstoken) VALUES (NULL, '您的用户名', MD5('您的密码'), '', unix_timestamp(now()) , '您的QQ', unix_timestamp(now()), '这里写64位随机字符');
上方执行示例：
INSERT INTO sq_admin (ID, username, password, loginip, logintime, qq, lastaccesstime, accesstoken) VALUES (NULL, '温泉', MD5('123456789'), '', unix_timestamp(now()) , '80071319', unix_timestamp(now()), 'JjYBHCBSNeuoNnkTVRCf5EENhZWDcolJOh7MQlmV9pn4S4p4SZFHJaSH75MBK3OZ');
以上语句表示新增一个管理员，用户名为【温泉】，密码为【123456789】，管理员QQ为【80071319】。
关于随机字符生成可使用：https://suijimimashengcheng.51240.com/