sqlite-web 0.7.2
gitea.db
issue
Create
Query
access
access_token
action
action_artifact
action_run
action_run_index
action_run_job
action_runner
action_runner_token
action_schedule
action_schedule_spec
action_task
action_task_output
action_task_step
action_tasks_version
action_variable
app_state
attachment
auth_token
badge
branch
collaboration
comment
commit_status
commit_status_index
commit_status_summary
commit_sync_log
commit_sync_status
dbfs_data
dbfs_meta
deploy_key
email_address
email_hash
external_login_user
follow
gpg_key
gpg_key_import
hook_task
issue
issue_assignees
issue_content_history
issue_dependency
issue_index
issue_label
issue_pin
issue_user
issue_watch
label
language_stat
lfs_lock
lfs_meta_object
login_source
milestone
mirror
notice
notification
oauth2_application
oauth2_authorization_code
oauth2_grant
org_user
package
package_blob
package_blob_upload
package_cleanup_rule
package_file
package_property
package_version
project
project_board
project_issue
protected_branch
protected_tag
public_key
pull_auto_merge
pull_request
push_mirror
reaction
release
renamed_branch
repo_archiver
repo_hidden_file
repo_indexer_status
repo_license
repo_redirect
repo_topic
repo_transfer
repo_unit
repository
review
review_state
secret
session
sqlite_sequence
star
stopwatch
system_setting
task
team
team_invite
team_repo
team_unit
team_user
topic
tracked_time
two_factor
upload
user
user_badge
user_blocking
user_open_id
user_redirect
user_setting
version
watch
webauthn_credential
webhook
Toggle helper tables
Structure
Content
Query
Insert
Drop
Import
Export
Delete row 316 from issue
id
316
repo_id
22
index
32
poster_id
1
original_author
original_author_id
0
name
🔍 代码审查报告:app-260616 - 计时开房不需要定时消息
content
## 自动代码审查报告 **分支**: app-260616 **提交**: `390d057d9
## 自动代码审查报告 **分支**: app-260616 **提交**: `390d057d9ce0881b930cae57cefb0d148883de9c` **提交人**: zhangjunnan (121158035@qq.com) **时间**: 2026-05-26 10:21:54 --- ## 1. 审查摘要 - **代码质量评分**:4.5 / 10 分 - **总体评价**:该 Helper 文件承载了大量业务工具函数,但存在明显的“上帝文件”特征。代码中混杂了硬编码凭证、已废弃的 PHP 语法、非原子操作、低效的数据库/Redis 调用模式以及不严谨的安全校验。整体架构偏向 PHP 5.x/早期 7.x 时代,未适配现代 PHP 特性与 PSR 规范,存在较高的安全与性能风险。 - **风险等级**:🔴 高 > 📌 **框架说明**:从目录结构(`system/`, `application/helpers/`)及 `get_instance()`、`BASEPATH` 等特征判断,该项目实际基于 **CodeIgniter 3** 架构。以下审查将基于 CI3 最佳实践与现代 PHP (7.4+/8.x) 标准进行。若 `phpci` 为内部定制框架,请结合其官方文档调整组件加载方式。 ## 2. 问题详情 | 严重程度 | 文件/行号 | 问题描述 | 建议修改方案 | 代码示例 (可选) | | :--- | :--- | :--- | :--- | :--- | | 🔴 严重 | `alioss_deleteObject` / `alioss_addObject` | **硬编码云厂商密钥**。AccessKey/SecretKey 直接写死在代码中,极易通过版本库泄露导致 OSS 数据被恶意删除或盗刷。 | 将密钥移至 `application/config/oss.php` 或环境变量,通过 CI 配置加载。 | `'accessId' => $CI->config->item('oss_access_id')` | | 🔴 严重 | `decodeUnicode` | 使用已废弃的 `create_function()`。PHP 7.2 标记废弃,8.0 已彻底移除,且存在 `eval` 级代码注入风险。 | 替换为匿名函数(Closure)。 | `preg_replace_callback('/\\\\u([0-9a-f]{4})/i', function($m){ return mb_convert_encoding(pack("H*", $m[1]), "UTF-8", "UCS-2BE"); }, $str);` | | 🔴 严重 | `checkDateFormate` | 日期校验逻辑脆弱。`strtotime()` 会自动修正非法日期(如 `2023-02-30` 转为 `2023-03-02`),导致格式比对失效或产生隐蔽 Bug。 | 使用 `DateTime::createFromFormat` 进行严格解析。 | `return DateTime::createFromFormat($formate, $str) !== false;` | | 🟠 警告 | Redis 系列函数 (`rs_sMembers`, `rs_sAdd` 等) | **频繁创建/销毁连接**。每个函数独立调用 `get_aliyun_redis_conn()` 并 `$obj->close()`,高并发下将耗尽连接池并引发 TCP 握手风暴。 | 采用单例模式缓存连接,或直接使用 CI 内置的 Cache/Redis 驱动。 | `static $redis = null; if(!$redis) $redis = get_aliyun_redis_conn(); return $redis;` | | 🟠 警告 | `passport_encrypt` / `decrypt` | **弱加密算法**。依赖 `rand()` 与 XOR 异或,非密码学安全,易被频率分析或已知明文攻击破解。 | 替换为 `openssl_encrypt` 或 `sodium_crypto_secretbox`。 | `openssl_encrypt($str, 'AES-256-CBC', $key, 0, $iv);` | | 🟠 警告 | `doRedisLockRelease` | **非原子性解锁**。先 `GET` 判断再 `DEL`,在并发场景下可能被其他进程抢先删除,导致锁失效或误删他人锁。 | 使用 Lua 脚本保证 `GET` 与 `DEL` 的原子性。 | `if redis.call("get",KEYS[1]) == ARGV[1] then return redis.call("del",KEYS[1]) else return 0 end` | | 🟠 警告 | `curlRequest` | 强制关闭 SSL 验证 (`CURLOPT_SSL_VERIFYPEER = false`),生产环境极易遭受中间人攻击 (MITM)。 | 配置系统 CA 证书路径,或至少对内部域名开启验证。 | `curl_setopt($curl, CURLOPT_CAINFO, '/etc/ssl/certs/ca-certificates.crt');` | | 🟠 警告 | `getClientIP` | 盲目信任 `HTTP_X_FORWARDED_FOR`,未做 IP 格式校验,攻击者可伪造任意 IP 绕过风控或日志审计。 | 优先使用 `REMOTE_ADDR`,对代理头使用 `filter_var` 严格校验。 | `if (filter_var($ip, FILTER_VALIDATE_IP)) return $ip;` | | 🟠 警告 | `asyncRequest` | **命名误导**。内部仍使用同步 `curl_exec()`,并未实现真正的异步请求,会阻塞当前进程。 | 若需真异步,应改用 `curl_multi`、消息队列或外部 Worker 进程。 | 使用 `curl_multi_init()` 或投递至 Redis Queue 异步消费。 | | 🟡 建议 | `rs_hmset` | 函数被完整复制定义了两次,属于冗余代码,增加维护成本。 | 删除重复定义,保留一份即可。 | N/A | | 🟡 建议 | `getFirstCharter` | 使用 `$str{0}` 访问字符串字符,PHP 7.4 已废弃,8.0 将抛出致命错误。 | 改为标准数组语法 `$str[0]`。 | `$fchar = ord($str[0]);` | | 🟡 建议 | `doSingleFromTable` | 遍历数组时直接 `unset` 原键并赋新键,会破坏内部数组指针,可能导致数据丢失或死循环。 | 构建新数组返回,避免原地修改。 | `$new = []; foreach($data as $k=>$v) $new[substr($k,1)] = $v; return $new;` | | 🟡 建议 | 整体结构 | 单文件超 1200 行,职责严重混杂(Redis、OSS、加密、短信、排序、地理计算等),违反单一职责原则。 | 按领域拆分为 `redis_helper.php`, `oss_helper.php`, `crypto_helper.php` 等。 | N/A | ## 3. 总结与行动建议 ### 🚨 优先修复项(P0/P1) 1. **移除硬编码凭证**:立即将 OSS `accessId`/`accessKey` 抽离至配置文件或 `.env`,并轮换已泄露的密钥。 2. **替换废弃语法**:全局替换 `create_function()` 为匿名函数,将 `$str{0}` 改为 `$str[0]`,确保兼容 PHP 8.x。 3. **修复分布式锁缺陷**:将 `doRedisLockRelease` 改为 Lua 脚本执行,避免高并发下的竞态条件。 4. **优化 Redis 连接管理**:引入连接复用机制(单例或 CI Cache Driver),消除每次请求的 TCP 握手开销。 ### 🛠 后续重构与优化方向 - **架构拆分**:当前 `common_helper.php` 已演变为“垃圾桶”文件。建议按业务域拆分为独立 Helper,并在 `autoload.php` 中按需加载,降低内存占用。 - **安全加固**: - 废弃自定义的 `passport_encrypt`,全面迁移至 `openssl` 或 `libsodium`。 - 为所有外部请求(cURL、IP 解析、二维码解析)增加超时控制、重试机制与输入白名单校验。 - **规范对齐**: - 统一命名规范(推荐 `snake_case` 或 `camelCase`,避免 `rs_sMembers` 与 `get_mac_by_url` 混用)。 - 补充类型声明(PHP 7+ 支持 `function foo(string $key, int $timeout): bool`),提升静态分析能力。 - 遵循 PSR-12 缩进与括号规范,移除冗余注释。 - **框架适配提示**:CI3 的 Helper 设计初衷是轻量级工具函数。频繁在 Helper 中调用 `get_instance()->load->model()` 会破坏 MVC 边界。建议将涉及复杂业务逻辑(如 `get_mac_by_url`)的代码迁移至 `Service` 层或 `Model` 层,Helper 仅保留纯数据处理函数。 > ⚠️ **局限性说明**:提供的代码在末尾 `import($file)` 函数处被截断,无法评估该函数的完整逻辑。若该函数涉及动态文件包含(如 `include $file`),需重点审查路径遍历漏洞(Path Traversal)。建议补充完整代码以便进行闭环审查。 --- *此 Issue 由代码审查服务自动创建*
...
milestone_id
0
priority
0
is_closed
0
is_pull
0
num_comments
0
ref
deadline_unix
0
created_unix
1779762114
updated_unix
1779762114
closed_unix
0
is_locked
0
content_version
0
time_estimate
0
Delete
Cancel