sqlite-web 0.7.2
gitea.db
issue
Create
Query
access
access_token
action
action_artifact
action_run
action_run_index
action_run_job
action_runner
action_runner_token
action_schedule
action_schedule_spec
action_task
action_task_output
action_task_step
action_tasks_version
action_variable
app_state
attachment
auth_token
badge
branch
collaboration
comment
commit_status
commit_status_index
commit_status_summary
commit_sync_log
commit_sync_status
dbfs_data
dbfs_meta
deploy_key
email_address
email_hash
external_login_user
follow
gpg_key
gpg_key_import
hook_task
issue
issue_assignees
issue_content_history
issue_dependency
issue_index
issue_label
issue_pin
issue_user
issue_watch
label
language_stat
lfs_lock
lfs_meta_object
login_source
milestone
mirror
notice
notification
oauth2_application
oauth2_authorization_code
oauth2_grant
org_user
package
package_blob
package_blob_upload
package_cleanup_rule
package_file
package_property
package_version
project
project_board
project_issue
protected_branch
protected_tag
public_key
pull_auto_merge
pull_request
push_mirror
reaction
release
renamed_branch
repo_archiver
repo_hidden_file
repo_indexer_status
repo_license
repo_redirect
repo_topic
repo_transfer
repo_unit
repository
review
review_state
secret
session
sqlite_sequence
star
stopwatch
system_setting
task
team
team_invite
team_repo
team_unit
team_user
topic
tracked_time
two_factor
upload
user
user_badge
user_blocking
user_open_id
user_redirect
user_setting
version
watch
webauthn_credential
webhook
Toggle helper tables
Structure
Content
Query
Insert
Drop
Import
Export
Delete row 265 from issue
id
265
repo_id
23
index
14
poster_id
1
original_author
original_author_id
0
name
🔍 代码审查报告：admin-260519 - 预订单退款，更新关联的预购单的营业额报表记录
content
## 自动代码审查报告 **分支**: admin-260519 **提交**: `10a2e64
## 自动代码审查报告 **分支**: admin-260519 **提交**: `10a2e64dd6642a2f3a6a191c476cbab6ee74330e` **提交人**: LITTLEMAIDI (11833999+littlemaidi@user.noreply.gitee.com) **时间**: 2026-05-21 11:17:11 --- ## 1. 审查摘要 - **代码质量评分**：6.5 / 10 分 - **总体评价**：代码实现了预购订单列表查询、导出及核心退款流程，业务逻辑覆盖较全。但存在明显的 SQL 注入风险、关键退款方法缺失数据库事务、分页统计逻辑缺陷，以及多处使用原始字符串拼接 SQL 的不规范写法。整体安全性与数据一致性保障较弱，需优先修复。 - **风险等级**：🔴 高 ## 2. 问题详情 | 严重程度 | 文件/行号 | 问题描述 | 建议修改方案 | 代码示例 (可选) | | :--- | :--- | :--- | :--- | :--- | | 🔴 严重 | `Ahead_songs_sales_pay_log_model.php` ~L68 | **SQL 注入漏洞**：`$title` 参数未经过滤直接拼接到 `where` 条件字符串中。攻击者可构造恶意输入闭合引号并执行任意 SQL。 | 使用参数绑定或框架查询构造器的安全方法，严禁手动拼接用户输入。 | `$where['where'][] = ['(log._title LIKE ? OR book._group_package_name LIKE ? OR book._group_platform_name LIKE ?)', ["%{$title}%", "%{$title}%", "%{$title}%"]];` | | 🔴 严重 | `Ahead_preorder_order_model.php` `refund()` 方法 | **事务缺失导致数据不一致**：该方法涉及会员余额更新、退款日志插入、订单状态变更、报表更新等多表写操作，但未包裹在数据库事务中。任一环节失败将导致脏数据。 | 使用 `$this->db->trans_start()` 与 `$this->db->trans_complete()` 包裹核心逻辑，失败时自动回滚。 | `见下方重构示例` | | 🟠 警告 | 两个文件的 `refund()` 方法 | **原始 SQL 字符串拼接更新**：多处使用 `'_account=_account+' . $val` 形式调用 `up()`/`update()`。若变量非严格数值，可能引发类型转换错误或注入。 | 使用框架的 `set()` 方法或数组传参，确保数值安全且符合 ORM 规范。 | `$this->db->set('_account', '_account + ' . (float)$val, FALSE);`<br>或 `$this->db->set('_account', $vip_info['_account'] + $val);` | | 🟠 警告 | `Ahead_preorder_order_model.php` `get_list()` 方法 | **分页总数计算逻辑缺陷**：仅在 `$page == 1` 时计算 `$total_data`，导致用户翻页后前端无法获取正确总数，分页组件失效。 | 移除 `$page == 1` 限制，始终计算总数；或采用 `SQL_CALC_FOUND_ROWS` 优化查询性能。 | `if (!$export) { $total_data = $this->get_one($where, 'sum(...) as preferential_price, ...'); }` | | 🟠 警告 | `Ahead_preorder_order_model.php` `export()` 方法 | **硬退出破坏框架生命周期**：使用 `exit('成功');` 会跳过框架的日志记录、会话写入、输出缓冲等收尾工作，不利于调试与监控。 | 改为返回响应或使用框架输出方法，记录操作日志。 | `log_export_success($params);`<br>`return $this->output->set_output('成功');` | | 🟡 建议 | 两个文件顶部 | **全局实例获取位置不当**：`$CI = &get_instance();` 放在类外部，文件被 `require` 时即执行，浪费资源且可能在未初始化环境下报错。 | 移至类内部方法中按需调用，或直接使用 `$this->load->model()` 等内置方法。 | `// 删除顶部代码，在方法内使用 $this->load->model('xxx');` | | 🟡 建议 | 两个文件 `foreach` 循环 | **引用遍历未释放**：`foreach ($data as &$v)` 修改数组后未使用 `unset($v)`，可能导致后续代码意外修改原数组或引发内存泄漏。 | 循环结束后显式释放引用。 | `foreach ($data as &$v) { ... }`<br>`unset($v);` | | 🟡 建议 | `Ahead_preorder_order_model.php` `refund()` | **JSON 解析无容错**：`json_decode($order['_mult_pay'], true)` 未校验返回值，若数据库字段损坏或非 JSON 格式，后续 `foreach` 将抛出 Warning/Notice。 | 增加类型校验与错误处理。 | `$mult_pay = json_decode($order['_mult_pay'], true);`<br>`if (is_array($mult_pay)) { ... }` | ## 3. 总结与行动建议 ### 🔑 优先修复的关键问题 1. **修复 SQL 注入**：立即替换 `Ahead_songs_sales_pay_log_model.php` 中 `$title` 的拼接逻辑，改用参数绑定。 2. **补充数据库事务**：为 `Ahead_preorder_order_model::refund()` 添加完整的事务控制，确保资金与订单状态变更的原子性。 3. **修正分页统计**：移除 `get_list()` 中 `$page == 1` 的限制，保证分页组件在任何页码均能正确渲染。 ### 🛠 后续重构与优化方向 1. **统一数据库操作规范**： - 废弃 `'_field=_field+value'` 字符串拼接更新方式，全面改用框架提供的 `set()` 或数组参数更新。 - 若 `phpci` 框架提供了自定义 Query Builder（如 `$where['join'][]`），请查阅官方文档确认其是否支持自动转义。若不支持，建议逐步迁移至标准预处理语句。 2. **异常处理标准化**： - 当前大量使用全局函数 `throwError()`。建议逐步替换为 PHP 原生 `throw new \Exception()` 或框架内置异常类，配合全局异常处理器统一返回格式。 3. **代码规范与可维护性**： - 遵循 PSR-12 规范：方法名建议改为 `camelCase`（如 `get_list` → `getList`），常量使用全大写。 - 将重复的模型加载逻辑（如 `$this->load->model()`）提取至构造函数或基类中，减少运行时开销。 - 为复杂业务方法（如退款）补充单元测试，覆盖正常退款、并发退款、余额不足、第三方接口失败等边界场景。 > 📌 **框架适配说明**：代码中大量使用 `$CI = &get_instance()`、`$this->db->trans_start()` 及 `$where['join'][]` 等语法，高度疑似基于 **CodeIgniter 3** 二次封装的 `phpci` 框架。上述安全与架构建议均基于 PHP 通用最佳实践与 CI 生态规范。若 `phpci` 对查询构造器或事务有特定封装，请以官方文档为准进行适配调整。 --- *此 Issue 由代码审查服务自动创建*
...
milestone_id
0
priority
0
is_closed
0
is_pull
0
num_comments
0
ref
deadline_unix
0
created_unix
1779333431
updated_unix
1779333431
closed_unix
0
is_locked
0
content_version
0
time_estimate
0
Delete
Cancel