简介一套基于PHP开发的98游戏发布站会员版源码面向游戏站长和PHP初中级开发者可快速搭建支持会员上传、游戏分类、下载管理、评论评分等功能的在线发布平台无需从零开发。压缩包共242个文件以84个PHP脚本为核心搭配HTML页面、CSS样式、JS交互文件另有SQL数据库脚本用于初始化数据GIF/PNG/JPG等图片素材约81个用于界面展示整体仅1.4MB轻量易部署且目录结构清晰便于定位。资源内置安装教程、后台样式和完整前后台页面从用户注册登录、游戏上传审核、分类浏览到下载统计的完整业务流程均可直接运行或按需二次开发既能作为独立游戏发布站的搭建基础也能帮助读者深入理解PHP会员权限控制、文件处理与数据库交互的关键机制。已有135人学习下载适合希望快速上线游戏分享站或系统学习PHP整站开发的读者动手实践。1. 为什么“PHP带会员发布版”游戏站仍然是低成本站点首选做游戏分发的人最常问的一句话是站里就一两个编辑怎么维持每天几十条入库量答案是把发布的活交给会员自己只做审核。标题里的“PHP带会员发布版”就是干这个的——一套包含注册登录、会员等级、投稿发布、后台审核和zip游戏包上传的完整PHP程序不是普通CMS改个模板那种半成品。它的价值在于运营者不需要Node或Java那套工程链PHP加MySQL虚拟主机就能跑起来。小游戏分发、独立游戏入库、工作室内部发布页都适用。圈子习惯把这类程序按“XX游戏发布站”命名标题里的98只是一个版本标识。这套程序真正值得花时间研究的是发布链路的权限控制、文件处理和上传安全后文按这条线展开。2. 部署准备PHP版本选型、zip源码包解压与伪静态标题里的“源码.zip”意味着拿到手第一步是解压但如果PHP版本和扩展选错解压后也跑不起来。这一章把从php版本到Nginx伪静态的部署链路一次说清。2.1 PHP版本选型先排查zip包内是否有加密组件拿到zip源码包后先别急着解压看压缩包里有没有ioncube、Zend Guard或SourceGuardian相关目录和文件。这些加密组件对PHP版本有严格限制装了不匹配的loader站点直接白屏。判断逻辑是发现加密组件按组件文档选定PHP版本没有加密组件优先用PHP 7.4兼容老代码的同时性能比PHP 5.6好一大截。# Ubuntu 22.04 安装 PHP 7.4 及发布站常用扩展 sudo add-apt-repository ppa:ondrej/php sudo apt-get update sudo apt-get install -y php7.4 php7.4-fpm php7.4-mysql php7.4-gd php7.4-curl php7.4-zip php7.4-mbstring php7.4-xml逻辑说明php7.4-gd负责游戏封面缩略图生成php7.4-zip给后台自动解压游戏包用php7.4-mbstring解决中文游戏名的截断和乱码。缺少这几个扩展时发布功能会在图片处理和解压两步直接报Call to undefined function而不是给出友好提示所以一次装齐比事后补省时间。zip源码包里常见的config.php或install目录下的安装脚本会一次性检测这些扩展看到红色报错项按上面的命令补装即可。2.2 zip源码包解压与目录权限基线解压环节的关键是别用Windows资源管理器解压后直接传到服务器。Windows解压会丢unix执行位还会把UTF-8和GBK文件名混在一起。直接在Linux服务端解压顺手定下权限基线unzip 基于PHP的98游戏发布站程序PHP带会员发布版源码.zip -d /var/www/gamepub cd /var/www/gamepub find . -type d -exec chmod 755 {} \; find . -type f -exec chmod 644 {} \; chown -R www-data:www-data /var/www/gamepub chmod 777 upload cache data755/644是Web目录的常用组合目录可遍历文件只读只有属主可写upload、cache、data三个目录放开写权限否则上传游戏包、生成缩略图、写入缓存都会失败。如果解压过程中终端提示error read zip archive大概率是zip包下载不完整或磁盘空间不足先执行unzip -t 压缩包名验证完整性再检查df -h。如果拿到的zip带密码找作者索要比用zip压缩包密码破解工具跑字典更实际这类发布站源码通常还带域名授权校验破解了包照样解不开站点授权不如一次把密码和授权都问清楚。2.3 Nginx伪静态与上传大小预配置游戏发布站为了收录URL结构一般是/play/123.html或/category/action这样的伪静态。Apache版发布站自带.htaccess迁移到Nginx时要把规则换成server块配置server { listen 80; server_name game.example.com; root /var/www/gamepub; index index.php index.html; client_max_body_size 600m; location / { if (!-e $request_filename) { rewrite ^/(.*)$ /index.php?/$1 last; } } location ~ \.php$ { include snippets/fastcgi-php.conf; fastcgi_pass unix:/run/php/php7.4-fpm.sock; } }client_max_body_size 600m是发布站最容易漏的一项。Nginx默认只允许1MB请求体不改的话前端传512MB的zip包会被Nginx直接以413拦截根本到不了PHP层。fastcgi_pass用的是Unix socket路径必须和php-fpm配置pool.d/www.conf里的listen保持一致不一致就报502。现象排查方向首页正常内页404伪静态规则未加载nginx -t先查语法502 Bad Gatewayphp-fpm未启动或socket路径不匹配413 Request Entity Too Largeclient_max_body_size不够大500 Internal Server Error目录权限不对或PHP扩展缺失伪静态里的if语句是PHP CMS在Nginx下的通用兼容写法性能不是最优但适配范围最广。这里没有用try_files因为老版本CMS对PATH_INFO的依赖程度不一if加rewrite能同时照顾 /index.php?/xxx 和 /index.php/xxx 两种解析方式。重载配置确认php-fpm在跑接着就能进入安装页。3. 会员发布权限模型等级、配额与PHP类封装“带会员发布版”和普通版的核心差异在权限控制密度。普通版只有管理员能发游戏会员版允许注册用户在前台投稿如果不做配额限制一夜之间分类页就会被垃圾游戏刷满。发布系统里最常见的等级体系落实为三个数字每日发布上限、单包体积上限、是否需要审核。3.1 会员等级与发布配额的数据库设计等级和投稿记录分两张表等级表管规则投稿表管数据CREATE TABLE member_levels ( id TINYINT UNSIGNED NOT NULL AUTO_INCREMENT, level_name VARCHAR(30) NOT NULL, daily_limit SMALLINT UNSIGNED NOT NULL DEFAULT 3, max_file_size INT UNSIGNED NOT NULL DEFAULT 512 COMMENT MB, need_audit TINYINT(1) NOT NULL DEFAULT 1, PRIMARY KEY (id) ) ENGINEInnoDB DEFAULT CHARSETutf8mb4; CREATE TABLE game_posts ( id INT UNSIGNED NOT NULL AUTO_INCREMENT, uid INT UNSIGNED NOT NULL, title VARCHAR(120) NOT NULL, category_id SMALLINT UNSIGNED NOT NULL, game_pkg VARCHAR(255) NOT NULL COMMENT zip包相对路径, cover_img VARCHAR(255) NOT NULL DEFAULT , status TINYINT(1) NOT NULL DEFAULT 0 COMMENT 0待审 1已发布 2驳回, created_at INT UNSIGNED NOT NULL, PRIMARY KEY (id), KEY idx_uid_status (uid, status) ) ENGINEInnoDB DEFAULT CHARSETutf8mb4;daily_limit放在等级表而不是会员表运营调整等级时不用逐条UPDATE会员数据。game_pkg存zip相对路径而不是二进制内容这个细节会在数据库备份和服务器迁移时省下大量时间。created_at用INT存时间戳查询当天记录直接和strtotime(today)比较比DATE函数包裹字段更快也不会让索引失效。如果运营需要额外的积分兑换发布次数可以追加points_log流水表在每日上限之上叠加临时额度但核心配额判断仍以等级表为准避免两套逻辑互相覆盖。3.2 用PHP类封装配额判断发布页面和会员中心都要提示“还能发几条”把配额逻辑收拢到一个php类里比在控制器里复制粘贴好维护class MemberQuota { private PDO $pdo; private int $uid; public function __construct(PDO $pdo, int $uid) { $this-pdo $pdo; $this-uid $uid; } public function getTodayCount(): int { $sql SELECT COUNT(*) FROM game_posts WHERE uid ? AND created_at ?; $stmt $this-pdo-prepare($sql); $stmt-execute([$this-uid, strtotime(today)]); return (int)$stmt-fetchColumn(); } public function canPublish(): bool { $sql SELECT l.daily_limit FROM members m JOIN member_levels l ON m.level_id l.id WHERE m.id ?; $stmt $this-pdo-prepare($sql); $stmt-execute([$this-uid]); $limit (int)$stmt-fetchColumn(); return $this-getTodayCount() $limit; } public function remainCount(): int { $sql SELECT l.daily_limit FROM members m JOIN member_levels l ON m.level_id l.id WHERE m.id ?; $stmt $this-pdo-prepare($sql); $stmt-execute([$this-uid]); $limit (int)$stmt-fetchColumn(); return max(0, $limit - $this-getTodayCount()); } }逻辑说明构造参数是PDO和uid发布控制器里一行new MemberQuota($pdo, $_SESSION[uid])即可注入。getTodayCount用strtotime(today)生成零点时间戳不用再去格式化字符串canPublish把等级限额和当天投稿量比较remainCount解决前端“剩余次数”展示。三个方法各管一件事后续加“每小时限发”时只改getTodayCount里的时间窗口其余调用方不用动。3.3 审核流与状态流转普通会员投稿后状态是0管理员审完改成1VIP等级在member_levels里把need_audit设为0投稿直接进发布态。状态值变化用常量收口比散落0、1、2魔数好维护const STATUS_PENDING 0; const STATUS_PUBLISHED 1; const STATUS_REJECTED 2; function insertPost(PDO $pdo, int $uid, array $post): int { $levelSql SELECT l.need_audit FROM members m JOIN member_levels l ON m.level_id l.id WHERE m.id ?; $stmt $pdo-prepare($levelSql); $stmt-execute([$uid]); $needAudit (int)$stmt-fetchColumn(); $status $needAudit 1 ? STATUS_PENDING : STATUS_PUBLISHED; $sql INSERT INTO game_posts (uid, title, category_id, game_pkg, cover_img, status, created_at) VALUES (?, ?, ?, ?, ?, ?, ?); $stmt $pdo-prepare($sql); $stmt-execute([ $uid, $post[title], $post[category_id], $post[pkg_path], $post[cover_path], $status, time() ]); return (int)$pdo-lastInsertId(); }这里把“查等级”和“插入投稿”放在同一函数内两步都基于同一请求的查询结果插入失败整体返回错误即可。VIP免审的风险点是投稿内容直接对外可见运营上建议配合举报后下架机制代码层面不再增加额外判断。4. 游戏发布表单与zip游戏包上传实现权限和配额确定后把发布页做出来。表单只做三件事收集游戏元信息、接收zip包、接收封面图。下面是核心实现。4.1 发布页表单与字段约束form action/publish/submit methodpost enctypemultipart/form-data input typetext nametitle required maxlength120 placeholder游戏名 select namecategory_id option value1角色扮演/option option value2射击/option option value3策略/option /select input typefile namegame_pkg accept.zip required input typefile namecover_img acceptimage/* button typesubmit提交发布/button /formenctypemultipart/form-data是文件上传的前提少了它$_FILES会是空数组。accept只影响浏览器文件选择器的默认过滤服务端必须再做扩展名校验。MAX_FILE_SIZE隐藏域这里没放原因放在4.2说明它只是浏览器侧软限制绕过的成本为零。4.2 PHP端接收校验与zip包落盘发布入口先检查登录态和配额再校验标题、扩展名和文件大小session_start(); if (empty($_SESSION[uid])) { exit(json_encode([ret -1, msg 请先登录], JSON_UNESCAPED_UNICODE)); } $quota new MemberQuota($pdo, (int)$_SESSION[uid]); if (!$quota-canPublish()) { exit(json_encode([ret -1, msg 今日发布次数已达上限], JSON_UNESCAPED_UNICODE)); } $title trim($_POST[title] ?? ); if (mb_strlen($title) 2 || mb_strlen($title) 120) { exit(json_encode([ret -1, msg 游戏名长度不合法], JSON_UNESCAPED_UNICODE)); }mb_strlen按字符数计算标题里混着中文和英文时判断一致换成strlen的话5个中文字符会被当成15误伤正常标题。配额判断在文件上传前执行避免用户传了500MB的zip到一半才发现配额不足。文件接收与落盘$file $_FILES[game_pkg] ?? null; if (!$file || $file[error] ! UPLOAD_ERR_OK) { $code $file[error] ?? -1; exit(json_encode([ret -1, msg 上传失败错误码{$code}], JSON_UNESCAPED_UNICODE)); } $ext strtolower(pathinfo($file[name], PATHINFO_EXTENSION)); if ($ext ! zip) { exit(json_encode([ret -1, msg 仅支持zip格式游戏包], JSON_UNESCAPED_UNICODE)); } $maxBytes 512 * 1024 * 1024; if ($file[size] $maxBytes) { exit(json_encode([ret -1, msg 游戏包超过512MB限制], JSON_UNESCAPED_UNICODE)); } $dateDir date(Y/m/d); $saveName uniqid() . _ . md5($file[name]) . .zip; $savePath $dateDir . / . $saveName; if (!is_dir(UPLOAD_ROOT . / . $dateDir)) { mkdir(UPLOAD_ROOT . / . $dateDir, 0755, true); } if (!move_uploaded_file($file[tmp_name], UPLOAD_ROOT . / . $savePath)) { exit(json_encode([ret -1, msg 文件保存失败检查upload目录权限], JSON_UNESCAPED_UNICODE)); }$file[size]来自客户端提交的Content-Length理论上可伪造真正的硬限制在php.ini的upload_max_filesize两者取小值才是实际上限。日期目录用年/月/日三层拆分避免单个目录塞几万个文件后ls和索引变慢。uniqid加md5拼文件名防止两个用户上传同名压缩包互相覆盖。move_uploaded_file只接受PHP创建的临时文件不会配合攻击者把任意服务器文件移动到Web目录。提示upload_max_filesize和post_max_size要同时调大post_max_size建议比upload_max_filesize大20%左右否则zip包还没进$_FILES就被PHP截断。上传错误码的排查对照表错误码含义处理建议0成功继续后续校验1超过upload_max_filesize调php.ini并重启php-fpm2超过表单MAX_FILE_SIZE移除或调大前端隐藏域3部分上传检查网络与请求是否被中断4未选择文件提示用户选择zip包4.3 封面缩略图与异步图片处理封面原图通常是1280x720或1920x1080截图列表页直接展示原图会拖慢首屏。用GD生成300x200缩略图$coverTmp $_FILES[cover_img][tmp_name] ?? null; $coverPath ; if ($coverTmp is_uploaded_file($coverTmp)) { $img imagecreatefromstring(file_get_contents($coverTmp)); if ($img false) { exit(json_encode([ret -1, msg 封面图片无法解析], JSON_UNESCAPED_UNICODE)); } $thumb imagescale($img, 300, 200); $coverPath UPLOAD_ROOT . /cover/ . md5($title) . .jpg; imagejpeg($thumb, $coverPath, 85); imagedestroy($img); imagedestroy($thumb); }imagecreatefromstring会按文件内容识别格式不受后缀名影响解析失败时返回false要显式判断。imagescale等比缩放不会把非16:9的图强行拉变形。统一输出jpg后前端列表页不需要判断png透明通道逻辑更干净。量大之后缩略图生成会占住php-fpm进程几百毫秒。常见的做法是把“保存原图”和“生成缩略图”拆开上传请求只负责移动原图和写一条带cover_status0的记录crontab每分钟扫一遍待处理记录逐条生成缩略图并更新状态。这一步用MySQL自带队列表就能实现不引入Redis也能扛住中小站点的图片压力——这就是轻量级的php队列实现思路。5. PHP发布站安全加固上传目录、SQL注入与解压路径穿越游戏发布站对安全性的要求比普通企业站更高用户能上传zip包zip里可以塞任何内容用户能填游戏名游戏名可以塞脚本搜索、分类参数直接暴露在URL里。这三条线串起来就是本章内容。5.1 上传目录禁止执行PHP上传目录需要可写但绝不能可执行。如果发布站后台提供zip自动解压功能解压出来的php文件如果落在Web目录且Nginx配置不当就等同于给攻击者递上shell。上传目录单独禁止PHP执行location ~* ^/upload/.*\.(php|php5|phtml|phar)$ { deny all; }Apache mod_php环境则关闭目录的PHP引擎Directory /var/www/gamepub/upload php_admin_flag engine off /Directory注意php-fpm Apache的组合下php_admin_flag engine off不再生效需要用RemoveHandler或SetHandler None关闭该目录的PHP解析。两种SAPI的处理方式不一样迁移环境时要确认当前是哪一套。deny all比return 404更合适404会暴露存在包含敏感信息的文件403直接切断访问。5.2 查询全部走PDO预处理输出做HTML转义老式发布站源码常见的mysql_query拼字符串写法在PHP 7以上直接废弃在PHP 5里也只是靠运气在跑。接手后的统一改造方案是PDO预处理$stmt $pdo-prepare( SELECT * FROM game_posts WHERE category_id ? AND status 1 ORDER BY created_at DESC LIMIT 20 ); $stmt-execute([$categoryId]); $games $stmt-fetchAll(PDO::FETCH_ASSOC);预处理把SQL结构传给MySQL服务器用户输入只在数据通道传输经典 OR 11注入已经没有拼接机会。受影响的查询不只是登录和搜索包括分类列表、热门排序、会员中心查询都尽量改法。输出侧同样要做转义foreach ($games as $row) { $safeTitle htmlspecialchars($row[title], ENT_QUOTES, UTF-8); echo h3 . $safeTitle . /h3; }htmlspecialchars把、、引号换成实体游戏名里嵌
简介一套基于PHP开发的98游戏发布站会员版源码面向游戏站长和PHP初中级开发者可快速搭建支持会员上传、游戏分类、下载管理、评论评分等功能的在线发布平台无需从零开发。压缩包共242个文件以84个PHP脚本为核心搭配HTML页面、CSS样式、JS交互文件另有SQL数据库脚本用于初始化数据GIF/PNG/JPG等图片素材约81个用于界面展示整体仅1.4MB轻量易部署且目录结构清晰便于定位。资源内置安装教程、后台样式和完整前后台页面从用户注册登录、游戏上传审核、分类浏览到下载统计的完整业务流程均可直接运行或按需二次开发既能作为独立游戏发布站的搭建基础也能帮助读者深入理解PHP会员权限控制、文件处理与数据库交互的关键机制。已有135人学习下载适合希望快速上线游戏分享站或系统学习PHP整站开发的读者动手实践。1. 为什么“PHP带会员发布版”游戏站仍然是低成本站点首选做游戏分发的人最常问的一句话是站里就一两个编辑怎么维持每天几十条入库量答案是把发布的活交给会员自己只做审核。标题里的“PHP带会员发布版”就是干这个的——一套包含注册登录、会员等级、投稿发布、后台审核和zip游戏包上传的完整PHP程序不是普通CMS改个模板那种半成品。它的价值在于运营者不需要Node或Java那套工程链PHP加MySQL虚拟主机就能跑起来。小游戏分发、独立游戏入库、工作室内部发布页都适用。圈子习惯把这类程序按“XX游戏发布站”命名标题里的98只是一个版本标识。这套程序真正值得花时间研究的是发布链路的权限控制、文件处理和上传安全后文按这条线展开。2. 部署准备PHP版本选型、zip源码包解压与伪静态标题里的“源码.zip”意味着拿到手第一步是解压但如果PHP版本和扩展选错解压后也跑不起来。这一章把从php版本到Nginx伪静态的部署链路一次说清。2.1 PHP版本选型先排查zip包内是否有加密组件拿到zip源码包后先别急着解压看压缩包里有没有ioncube、Zend Guard或SourceGuardian相关目录和文件。这些加密组件对PHP版本有严格限制装了不匹配的loader站点直接白屏。判断逻辑是发现加密组件按组件文档选定PHP版本没有加密组件优先用PHP 7.4兼容老代码的同时性能比PHP 5.6好一大截。# Ubuntu 22.04 安装 PHP 7.4 及发布站常用扩展 sudo add-apt-repository ppa:ondrej/php sudo apt-get update sudo apt-get install -y php7.4 php7.4-fpm php7.4-mysql php7.4-gd php7.4-curl php7.4-zip php7.4-mbstring php7.4-xml逻辑说明php7.4-gd负责游戏封面缩略图生成php7.4-zip给后台自动解压游戏包用php7.4-mbstring解决中文游戏名的截断和乱码。缺少这几个扩展时发布功能会在图片处理和解压两步直接报Call to undefined function而不是给出友好提示所以一次装齐比事后补省时间。zip源码包里常见的config.php或install目录下的安装脚本会一次性检测这些扩展看到红色报错项按上面的命令补装即可。2.2 zip源码包解压与目录权限基线解压环节的关键是别用Windows资源管理器解压后直接传到服务器。Windows解压会丢unix执行位还会把UTF-8和GBK文件名混在一起。直接在Linux服务端解压顺手定下权限基线unzip 基于PHP的98游戏发布站程序PHP带会员发布版源码.zip -d /var/www/gamepub cd /var/www/gamepub find . -type d -exec chmod 755 {} \; find . -type f -exec chmod 644 {} \; chown -R www-data:www-data /var/www/gamepub chmod 777 upload cache data755/644是Web目录的常用组合目录可遍历文件只读只有属主可写upload、cache、data三个目录放开写权限否则上传游戏包、生成缩略图、写入缓存都会失败。如果解压过程中终端提示error read zip archive大概率是zip包下载不完整或磁盘空间不足先执行unzip -t 压缩包名验证完整性再检查df -h。如果拿到的zip带密码找作者索要比用zip压缩包密码破解工具跑字典更实际这类发布站源码通常还带域名授权校验破解了包照样解不开站点授权不如一次把密码和授权都问清楚。2.3 Nginx伪静态与上传大小预配置游戏发布站为了收录URL结构一般是/play/123.html或/category/action这样的伪静态。Apache版发布站自带.htaccess迁移到Nginx时要把规则换成server块配置server { listen 80; server_name game.example.com; root /var/www/gamepub; index index.php index.html; client_max_body_size 600m; location / { if (!-e $request_filename) { rewrite ^/(.*)$ /index.php?/$1 last; } } location ~ \.php$ { include snippets/fastcgi-php.conf; fastcgi_pass unix:/run/php/php7.4-fpm.sock; } }client_max_body_size 600m是发布站最容易漏的一项。Nginx默认只允许1MB请求体不改的话前端传512MB的zip包会被Nginx直接以413拦截根本到不了PHP层。fastcgi_pass用的是Unix socket路径必须和php-fpm配置pool.d/www.conf里的listen保持一致不一致就报502。现象排查方向首页正常内页404伪静态规则未加载nginx -t先查语法502 Bad Gatewayphp-fpm未启动或socket路径不匹配413 Request Entity Too Largeclient_max_body_size不够大500 Internal Server Error目录权限不对或PHP扩展缺失伪静态里的if语句是PHP CMS在Nginx下的通用兼容写法性能不是最优但适配范围最广。这里没有用try_files因为老版本CMS对PATH_INFO的依赖程度不一if加rewrite能同时照顾 /index.php?/xxx 和 /index.php/xxx 两种解析方式。重载配置确认php-fpm在跑接着就能进入安装页。3. 会员发布权限模型等级、配额与PHP类封装“带会员发布版”和普通版的核心差异在权限控制密度。普通版只有管理员能发游戏会员版允许注册用户在前台投稿如果不做配额限制一夜之间分类页就会被垃圾游戏刷满。发布系统里最常见的等级体系落实为三个数字每日发布上限、单包体积上限、是否需要审核。3.1 会员等级与发布配额的数据库设计等级和投稿记录分两张表等级表管规则投稿表管数据CREATE TABLE member_levels ( id TINYINT UNSIGNED NOT NULL AUTO_INCREMENT, level_name VARCHAR(30) NOT NULL, daily_limit SMALLINT UNSIGNED NOT NULL DEFAULT 3, max_file_size INT UNSIGNED NOT NULL DEFAULT 512 COMMENT MB, need_audit TINYINT(1) NOT NULL DEFAULT 1, PRIMARY KEY (id) ) ENGINEInnoDB DEFAULT CHARSETutf8mb4; CREATE TABLE game_posts ( id INT UNSIGNED NOT NULL AUTO_INCREMENT, uid INT UNSIGNED NOT NULL, title VARCHAR(120) NOT NULL, category_id SMALLINT UNSIGNED NOT NULL, game_pkg VARCHAR(255) NOT NULL COMMENT zip包相对路径, cover_img VARCHAR(255) NOT NULL DEFAULT , status TINYINT(1) NOT NULL DEFAULT 0 COMMENT 0待审 1已发布 2驳回, created_at INT UNSIGNED NOT NULL, PRIMARY KEY (id), KEY idx_uid_status (uid, status) ) ENGINEInnoDB DEFAULT CHARSETutf8mb4;daily_limit放在等级表而不是会员表运营调整等级时不用逐条UPDATE会员数据。game_pkg存zip相对路径而不是二进制内容这个细节会在数据库备份和服务器迁移时省下大量时间。created_at用INT存时间戳查询当天记录直接和strtotime(today)比较比DATE函数包裹字段更快也不会让索引失效。如果运营需要额外的积分兑换发布次数可以追加points_log流水表在每日上限之上叠加临时额度但核心配额判断仍以等级表为准避免两套逻辑互相覆盖。3.2 用PHP类封装配额判断发布页面和会员中心都要提示“还能发几条”把配额逻辑收拢到一个php类里比在控制器里复制粘贴好维护class MemberQuota { private PDO $pdo; private int $uid; public function __construct(PDO $pdo, int $uid) { $this-pdo $pdo; $this-uid $uid; } public function getTodayCount(): int { $sql SELECT COUNT(*) FROM game_posts WHERE uid ? AND created_at ?; $stmt $this-pdo-prepare($sql); $stmt-execute([$this-uid, strtotime(today)]); return (int)$stmt-fetchColumn(); } public function canPublish(): bool { $sql SELECT l.daily_limit FROM members m JOIN member_levels l ON m.level_id l.id WHERE m.id ?; $stmt $this-pdo-prepare($sql); $stmt-execute([$this-uid]); $limit (int)$stmt-fetchColumn(); return $this-getTodayCount() $limit; } public function remainCount(): int { $sql SELECT l.daily_limit FROM members m JOIN member_levels l ON m.level_id l.id WHERE m.id ?; $stmt $this-pdo-prepare($sql); $stmt-execute([$this-uid]); $limit (int)$stmt-fetchColumn(); return max(0, $limit - $this-getTodayCount()); } }逻辑说明构造参数是PDO和uid发布控制器里一行new MemberQuota($pdo, $_SESSION[uid])即可注入。getTodayCount用strtotime(today)生成零点时间戳不用再去格式化字符串canPublish把等级限额和当天投稿量比较remainCount解决前端“剩余次数”展示。三个方法各管一件事后续加“每小时限发”时只改getTodayCount里的时间窗口其余调用方不用动。3.3 审核流与状态流转普通会员投稿后状态是0管理员审完改成1VIP等级在member_levels里把need_audit设为0投稿直接进发布态。状态值变化用常量收口比散落0、1、2魔数好维护const STATUS_PENDING 0; const STATUS_PUBLISHED 1; const STATUS_REJECTED 2; function insertPost(PDO $pdo, int $uid, array $post): int { $levelSql SELECT l.need_audit FROM members m JOIN member_levels l ON m.level_id l.id WHERE m.id ?; $stmt $pdo-prepare($levelSql); $stmt-execute([$uid]); $needAudit (int)$stmt-fetchColumn(); $status $needAudit 1 ? STATUS_PENDING : STATUS_PUBLISHED; $sql INSERT INTO game_posts (uid, title, category_id, game_pkg, cover_img, status, created_at) VALUES (?, ?, ?, ?, ?, ?, ?); $stmt $pdo-prepare($sql); $stmt-execute([ $uid, $post[title], $post[category_id], $post[pkg_path], $post[cover_path], $status, time() ]); return (int)$pdo-lastInsertId(); }这里把“查等级”和“插入投稿”放在同一函数内两步都基于同一请求的查询结果插入失败整体返回错误即可。VIP免审的风险点是投稿内容直接对外可见运营上建议配合举报后下架机制代码层面不再增加额外判断。4. 游戏发布表单与zip游戏包上传实现权限和配额确定后把发布页做出来。表单只做三件事收集游戏元信息、接收zip包、接收封面图。下面是核心实现。4.1 发布页表单与字段约束form action/publish/submit methodpost enctypemultipart/form-data input typetext nametitle required maxlength120 placeholder游戏名 select namecategory_id option value1角色扮演/option option value2射击/option option value3策略/option /select input typefile namegame_pkg accept.zip required input typefile namecover_img acceptimage/* button typesubmit提交发布/button /formenctypemultipart/form-data是文件上传的前提少了它$_FILES会是空数组。accept只影响浏览器文件选择器的默认过滤服务端必须再做扩展名校验。MAX_FILE_SIZE隐藏域这里没放原因放在4.2说明它只是浏览器侧软限制绕过的成本为零。4.2 PHP端接收校验与zip包落盘发布入口先检查登录态和配额再校验标题、扩展名和文件大小session_start(); if (empty($_SESSION[uid])) { exit(json_encode([ret -1, msg 请先登录], JSON_UNESCAPED_UNICODE)); } $quota new MemberQuota($pdo, (int)$_SESSION[uid]); if (!$quota-canPublish()) { exit(json_encode([ret -1, msg 今日发布次数已达上限], JSON_UNESCAPED_UNICODE)); } $title trim($_POST[title] ?? ); if (mb_strlen($title) 2 || mb_strlen($title) 120) { exit(json_encode([ret -1, msg 游戏名长度不合法], JSON_UNESCAPED_UNICODE)); }mb_strlen按字符数计算标题里混着中文和英文时判断一致换成strlen的话5个中文字符会被当成15误伤正常标题。配额判断在文件上传前执行避免用户传了500MB的zip到一半才发现配额不足。文件接收与落盘$file $_FILES[game_pkg] ?? null; if (!$file || $file[error] ! UPLOAD_ERR_OK) { $code $file[error] ?? -1; exit(json_encode([ret -1, msg 上传失败错误码{$code}], JSON_UNESCAPED_UNICODE)); } $ext strtolower(pathinfo($file[name], PATHINFO_EXTENSION)); if ($ext ! zip) { exit(json_encode([ret -1, msg 仅支持zip格式游戏包], JSON_UNESCAPED_UNICODE)); } $maxBytes 512 * 1024 * 1024; if ($file[size] $maxBytes) { exit(json_encode([ret -1, msg 游戏包超过512MB限制], JSON_UNESCAPED_UNICODE)); } $dateDir date(Y/m/d); $saveName uniqid() . _ . md5($file[name]) . .zip; $savePath $dateDir . / . $saveName; if (!is_dir(UPLOAD_ROOT . / . $dateDir)) { mkdir(UPLOAD_ROOT . / . $dateDir, 0755, true); } if (!move_uploaded_file($file[tmp_name], UPLOAD_ROOT . / . $savePath)) { exit(json_encode([ret -1, msg 文件保存失败检查upload目录权限], JSON_UNESCAPED_UNICODE)); }$file[size]来自客户端提交的Content-Length理论上可伪造真正的硬限制在php.ini的upload_max_filesize两者取小值才是实际上限。日期目录用年/月/日三层拆分避免单个目录塞几万个文件后ls和索引变慢。uniqid加md5拼文件名防止两个用户上传同名压缩包互相覆盖。move_uploaded_file只接受PHP创建的临时文件不会配合攻击者把任意服务器文件移动到Web目录。提示upload_max_filesize和post_max_size要同时调大post_max_size建议比upload_max_filesize大20%左右否则zip包还没进$_FILES就被PHP截断。上传错误码的排查对照表错误码含义处理建议0成功继续后续校验1超过upload_max_filesize调php.ini并重启php-fpm2超过表单MAX_FILE_SIZE移除或调大前端隐藏域3部分上传检查网络与请求是否被中断4未选择文件提示用户选择zip包4.3 封面缩略图与异步图片处理封面原图通常是1280x720或1920x1080截图列表页直接展示原图会拖慢首屏。用GD生成300x200缩略图$coverTmp $_FILES[cover_img][tmp_name] ?? null; $coverPath ; if ($coverTmp is_uploaded_file($coverTmp)) { $img imagecreatefromstring(file_get_contents($coverTmp)); if ($img false) { exit(json_encode([ret -1, msg 封面图片无法解析], JSON_UNESCAPED_UNICODE)); } $thumb imagescale($img, 300, 200); $coverPath UPLOAD_ROOT . /cover/ . md5($title) . .jpg; imagejpeg($thumb, $coverPath, 85); imagedestroy($img); imagedestroy($thumb); }imagecreatefromstring会按文件内容识别格式不受后缀名影响解析失败时返回false要显式判断。imagescale等比缩放不会把非16:9的图强行拉变形。统一输出jpg后前端列表页不需要判断png透明通道逻辑更干净。量大之后缩略图生成会占住php-fpm进程几百毫秒。常见的做法是把“保存原图”和“生成缩略图”拆开上传请求只负责移动原图和写一条带cover_status0的记录crontab每分钟扫一遍待处理记录逐条生成缩略图并更新状态。这一步用MySQL自带队列表就能实现不引入Redis也能扛住中小站点的图片压力——这就是轻量级的php队列实现思路。5. PHP发布站安全加固上传目录、SQL注入与解压路径穿越游戏发布站对安全性的要求比普通企业站更高用户能上传zip包zip里可以塞任何内容用户能填游戏名游戏名可以塞脚本搜索、分类参数直接暴露在URL里。这三条线串起来就是本章内容。5.1 上传目录禁止执行PHP上传目录需要可写但绝不能可执行。如果发布站后台提供zip自动解压功能解压出来的php文件如果落在Web目录且Nginx配置不当就等同于给攻击者递上shell。上传目录单独禁止PHP执行location ~* ^/upload/.*\.(php|php5|phtml|phar)$ { deny all; }Apache mod_php环境则关闭目录的PHP引擎Directory /var/www/gamepub/upload php_admin_flag engine off /Directory注意php-fpm Apache的组合下php_admin_flag engine off不再生效需要用RemoveHandler或SetHandler None关闭该目录的PHP解析。两种SAPI的处理方式不一样迁移环境时要确认当前是哪一套。deny all比return 404更合适404会暴露存在包含敏感信息的文件403直接切断访问。5.2 查询全部走PDO预处理输出做HTML转义老式发布站源码常见的mysql_query拼字符串写法在PHP 7以上直接废弃在PHP 5里也只是靠运气在跑。接手后的统一改造方案是PDO预处理$stmt $pdo-prepare( SELECT * FROM game_posts WHERE category_id ? AND status 1 ORDER BY created_at DESC LIMIT 20 ); $stmt-execute([$categoryId]); $games $stmt-fetchAll(PDO::FETCH_ASSOC);预处理把SQL结构传给MySQL服务器用户输入只在数据通道传输经典 OR 11注入已经没有拼接机会。受影响的查询不只是登录和搜索包括分类列表、热门排序、会员中心查询都尽量改法。输出侧同样要做转义foreach ($games as $row) { $safeTitle htmlspecialchars($row[title], ENT_QUOTES, UTF-8); echo h3 . $safeTitle . /h3; }htmlspecialchars把、、引号换成实体游戏名里嵌
