1
{
2
    "require": {
3
        "php": ">=8.0.0",
4
        "topthink/framework": "^8.0",          // ThinkPHP 8 核心
5
        "topthink/think-orm": "^3.0|^4.0",     // ORM
6
        "topthink/think-multi-app": "^1.1",    // 多应用支持
7
        "topthink/think-view": "^2.0",         // 模板引擎
8
        "topthink/think-captcha": "^3.0",      // 验证码
9
        "topthink/think-swoole": "^4.0",       // Swoole 支持
10
        "topthink/think-worker": "^4.0",       // Worker 支持
11
        "topthink/think-queue": "^3.0",        // 队列
12
        "topthink/think-image": "^1.0",        // 图片处理
13
        "veitool/admin": "^3.0",               // ★ Veitool 官方组件（插件/代码生成/云存储）
14
        "firebase/php-jwt": "^7.0",            // JWT 认证
15
        "aliyuncs/oss-sdk-php": "^2.7",        // 阿里云 OSS
16
        "qcloud/cos-sdk-v5": "^2.6",           // 腾讯云 COS
17
        "qiniu/php-sdk": "^7.14",              // 七牛云
18
        "phpoffice/phpspreadsheet": "^3.8",    // Excel
19
        "phpoffice/phpword": "^1.3",           // Word
20
        "nelexa/zip": "^4.0"                   // ZIP 压缩
21
    }
22
}

1
namespace think;
2

3
// 1. PHP 版本检测
4
if(version_compare(PHP_VERSION,'8.1.0','<')) die('require PHP >= 8.1.0!');
5

6
// 2. 安装引导（首次访问跳转到 /install/）
7
if (is_dir(__DIR__ . '/install') && !is_file(__DIR__ . '/install/install.lock'))
8
    exit(header('Location:/install/'));
9

10
// 3. 引入 Composer 自动加载
11
require __DIR__ . '/../vendor/autoload.php';
12

13
// 4. 启动 HTTP 应用
14
$http = (new App())->http;
15
$response = $http->run();
16
$response->send();
17
$http->end($response);

1
abstract class BaseController
2
{
3
    protected $app;
4
    protected $request;
5
    protected $token = '';
6
    protected $tokenName = '__token__';
7
    protected $msgTpl = '';
8
    protected $memUser = [];   // 前台会员信息
9

10
    public function __construct(App $app)
11
    {
12
        $this->app = $app;
13
        $this->request = $this->app->request;
14
        $this->__home();   // 前台集中业务（站点开关、会员信息）
15
        $this->__auth();   // 验证（登录、权限）—— 子类覆盖
16
        $this->__init();   // 控制器初始化 —— 子类覆盖
17
    }
18

19
    protected function __home() {
20
        // 站点关闭开关
21
        if(vconfig('site_close'))
22
            $this->exitMsg(vconfig('site_close_tip','系统升级维护中'), 400);
23
        // 获取前台会员 Session
24
        $this->memUser = (array)session(VT_MEMBER);
25
    }
26

27
    protected function __auth(){}  // 空方法，等待子类覆盖
28
    protected function __init(){}  // 空方法，等待子类覆盖
29
}

1
// 菜单添加时的参数验证
2
$d = $this->only([
3
    '@token'=>'',                          // CSRF Token 验证
4
    '@catid/d',                            // catid 转整数，@表示不执行 strip_sql
5
    'menu_name/*/{2,20}/菜单名称',          // 必填，2-20位，默认字符集
6
    'role_name/*/{2,20}/权限名称',          // 必填，2-20位
7
    'link_url/u',                          // 网址净化
8
    'menu_url/u',
9
    'role_url/u',
10
    'icon/u',
11
    '@parent_id/d',                        // 转整数
12
    '@listorder/d',
13
    '@ismenu/d',
14
    '@state/d'
15
]);

1
key/验证符/规则/提示/字符集/允许字符
2

3
验证符：
4
  *  必填+格式验证
5
  ?  非空时验证
6
  $  非空时验证，不规范则置空（不中断）
7
  a  转数组
8
  d  转整数
9
  f  转浮点
10
  b  转布尔
11
  s  转字符串
12
  u  网址净化（strip_html 低级）
13
  h  全净化（strip_html 高级）
14
  c  转 HTML 实体
15
  r  转2位小数
16

17
规则（验证符为 * 时）：
18
  e  邮箱
19
  m  手机
20
  c  身份证
21
  p  密码 {6,16}
22
  u  帐号 {4,30}
23
  n  姓名 {2,30}
24
  i  数串 {1,30}
25
  a  插件名 {3,20}
26
  v  配置名 {2,20}
27
  {2,20}  自定义位数范围
28

29
前缀 @：
30
  表示跳过 strip_sql 过滤（用于数字、Token 等安全字段）

1
abstract class AdminBase extends BaseController
2
{
3
    protected $manUser = [];    // 后台管理员信息
4
    protected $appMap = '';     // 映射路径（如 /admin）
5
    protected $routeUri = '';   // 当前路由 URI
6

7
    // 覆盖父类，后台不需要前台业务
8
    protected function __home(){}
9

10
    // 后台认证初始化
11
    protected final function __auth()
12
    {
13
        $this->appMap = VT_DIR . '/' . (array_search("admin", config('app.app_map')) ?: 'admin');
14
        $this->isLogin();           // 第1步：验证登录
15
        $this->loadMenusRoles();    // 第2步：载入权限菜单
16
        $this->routeUri = strtolower(...);  // 第3步：构建当前路由URI
17
        $this->isPower();           // 第4步：验证操作权限
18
    }
19
}

1
private function loadMenusRoles()
2
{
3
    // 从数据库重新查询用户，验证 Session 中的密码和盐值是否匹配
4
    $us = Manager::one("username = '{$this->manUser['username']}' AND state > 0");
5
    if($us && $this->manUser['password'] == $us['password']
6
          && $this->manUser['passsalt'] == $us['passsalt']){
7

8
        // ★ 单设备登录检测：配置 ip_login 为 2 或 3 时开启
9
        if(in_array(vconfig('ip_login',0),[2,3]) && $us['loginip'] != $this->request->ip()){
10
            session(null);
11
            $this->exitMsg('您的帐号已在其他终端登录！', ...);
12
        }
13

14
        // 超级管理员(userid=1)直接通过，非超管载入角色权限
15
        $this->manUser = $us['userid']>1
16
            ? array_merge($us, Roles::cache($us['roleid']))  // 合并角色权限
17
            : $us;
18
    }else{
19
        session(null);
20
        $this->exitMsg('您还未登录或已过期，请先登录！', ...);
21
    }
22
}

1
protected function getRoleExt()
2
{
3
    if($this->manUser['userid'] == 1) return 0;  // 超管直接返回0
4
    $d = explode('/', $this->routeUri);
5
    // 优先级：addon/* > addon/controller/* > addon/controller/action
6
    if(isset($this->manUser['role_ext'][$d[0].'/*'])){
7
        return $this->manUser['role_ext'][$d[0].'/*'];
8
    }elseif(...){
9
        return $this->manUser['role_ext'][$d[0].'/'.$d[1].'/*'];
10
    }elseif(...){
11
        return $this->manUser['role_ext'][$d[0].'/'.$d[1].'/'.$d[2].'/*'];
12
    }else{
13
        return $this->manUser['role_ext'][$this->routeUri] ?? 0;
14
    }
15
}

1
public function check()
2
{
3
    // 1. IP 锁定检测（默认5次失败锁定30分钟）
4
    $ip = $this->request->ip();
5
    if(Lock::check(['key'=>'LOGIN_'.$ip]))
6
        return $this->returnMsg(Lock::msg());
7

8
    // 2. 参数验证（用户名+密码+验证码）
9
    $d = $this->only(['username/*/u/管理帐号','password/*/p/登录密码','captcha']);
10

11
    // 3. 验证码校验（可在后台关闭）
12
    if(vconfig('admin_captcha',1) && !captcha_check($d['captcha']))
13
        return $this->returnMsg('验证码错误！');
14

15
    // 4. 查询用户
16
    $rs = Manager::one(compact('username'));
17
    if(empty($rs)){
18
        LoginLog::add($username, $password, '', '账号错误');
19
        Lock::add();  // 记录失败次数
20
        return $this->returnMsg('帐号或密码错误！');
21
    }
22

23
    // 5. 状态检测
24
    if($rs->state == 0) return $this->returnMsg('帐号已被停用！');
25

26
    // 6. 密码验证（前端 MD5 传输 → 后端再 MD5 + salt）
27
    if($rs->password === set_password($password, $rs->passsalt)){
28
        // 更新登录信息
29
        $rs->logintime = time();
30
        $rs->loginip   = $ip;
31
        $rs->logins ++;
32
        $rs->save();
33

34
        $rs = $rs->toArray();
35
        $rs['uid'] = 'AM-'.uniqid();  // 生成会话编号
36

37
        LoginLog::add($username, $password, $rs['passsalt']);
38
        session(VT_MANAGER, $rs);  // 写入 Session
39
        Lock::del();               // 清除锁定
40

41
        return $this->returnMsg('登录成功！', 1, ['url'=>($this->appMap ?: '/')]);
42
    }
43

44
    LoginLog::add($username, $password, $rs['passsalt'], '密码错误');
45
    Lock::add();
46
    return $this->returnMsg('帐号或密码错误！');
47
}

1
// 默认配置：5次失败，锁定1800秒（30分钟）
2
private static $config = [
3
    'times' => 5, 'time' => 1800, 'tips' => '登录',
4
    'key' => 'ToolLock', 'msg' => '', 'add' => false
5
];
6

7
// 检查是否已锁定
8
public static function check(array $c = [])
9
{
10
    self::$config = array_merge(self::$config, $c);
11
    $data = Cache::get(self::$config['key']);
12
    if(isset($data['times']) && $data['times'] >= self::$config['times']
13
       && (time() - $data['time']) < self::$config['time']){
14
        self::$config['msg'] = '多次登录失败，您已被锁定'.(intval(self::$config['time']/60)).'分钟';
15
        return true;  // 已锁定
16
    }
17
    return false;
18
}

1
vt_system_manager (管理员)
2
    ├── userid (主键)
3
    ├── username
4
    ├── password + passsalt
5
    ├── roleid (当前角色ID)
6
    ├── roleids (多角色ID串，逗号分隔)
7
    └── groupid (组织机构ID)
8

9
vt_system_roles (角色)
10
    ├── roleid (主键)
11
    ├── role_name
12
    ├── role_menuid (拥有的菜单ID串，逗号分隔)
13
    └── role_ext (扩展权限，格式：controller/action=数字)
14

15
vt_system_menus (菜单)
16
    ├── menuid (主键)
17
    ├── menu_name (菜单名称)
18
    ├── role_name (权限名称)
19
    ├── menu_url (前端路由)
20
    ├── role_url (后端路由，如 system/menus/index)
21
    ├── parent_id (父菜单ID)
22
    ├── catid (菜单分类ID)
23
    ├── type (1=后台菜单, 2=会员菜单)
24
    └── state (状态)

1
// 缓存键：VMENUS_1_角色ID
2
public static function cache(int|array $role, int $reset = 0)
3
{
4
    $roleid = is_array($role) ? $role['roleid'] : $role;
5
    $key = 'VMENUS_1_'.$roleid;
6
    $rs = cache($key);
7
    if(!$rs || $reset){
8
        $rs = [];
9
        $str = '';
10
        $ro = is_array($role) ? $role : self::where(['state'=>1,'roleid'=>$roleid])
11
            ->field('roleid,role_name,role_menuid,role_ext')->findOrEmpty()->toArray();
12

13
        if(!empty($ro) && $ro['role_menuid']){
14
            $ms = SystemMenus::cache();  // 获取全部后台菜单
15
            foreach ($ms as $k=>$v){
16
                // 检查菜单ID是否在角色的 menuid 串中
17
                if(strpos(",$ro[role_menuid],", ",$k,") !== false){
18
                    $str .= $v['role_url'] ? ','.$v['role_url'] : '';
19
                }
20
            }
21
        }
22

23
        // 构建 actions 数组（用于权限校验）
24
        $rs['actions'] = explode(',', trim($str, ','));
25

26
        // 解析 role_ext（扩展权限）
27
        if($ro['role_ext']){
28
            $arr = explode("\n", $ro['role_ext']);
29
            $ro['role_ext'] = [];
30
            foreach($arr as $v){
31
                $ks = explode('=', $v);
32
                $ro['role_ext'][$ks[0]] = $ks[1] ?? 0;
33
            }
34
        }else{
35
            $ro['role_ext'] = [];
36
        }
37

38
        $rs = array_merge($ro, $rs);
39
        cache($key, $rs, 31536000);  // 缓存1年
40
    }
41
    return $rs;
42
}

1
请求 /admin/system/menus/index
2
        │
3
        ▼
4
AdminBase::__auth()
5
        │
6
        ├── isLogin()           → Session 中是否有 VT_MANAGER？
7
        ├── loadMenusRoles()    → 从 DB 重新验证用户 → 载入角色权限缓存
8
        │       │
9
        │       ├── 超管(userid=1) → 直接通过，manUser 中无 actions 限制
10
        │       └── 非超管       → manUser['actions'] = ['system/menus/index', ...]
11
        │
12
        ├── 构建 routeUri = "system/menus/index"
13
        │
14
        └── isPower()
15
                │
16
                ├── 超管 → 直接通过
17
                └── 非超管 → in_array("system/menus/index", manUser['actions']) ?
18
                                通过 : "没有该项权限"

1
public static function getMenus(array $data = [])
2
{
3
    $arr = []; $str = ',';
4
    if(isset($data['userid'])){
5
        $tp = 1; $md = $data['role_menuid'];  // 后台菜单
6
        $userid = $data['userid'];
7
        $data = self::cache(0, $tp);  // 全部后台菜单
8

9
        foreach($data as $k=>$v){
10
            // 非超管且菜单不在权限范围内 → 跳过
11
            $flag = (($userid>1 || $tp==2) && strpos(",$md,", ",$k,")===false);
12
            if(!$flag && $v['role_url'])
13
                $str .= $v['role_url'].',';  // 收集权限URL
14
            if(!$v['state'] || $flag) continue;
15

16
            $arr[] = [
17
                'id'     => $v['menuid'],
18
                'icon'   => $v['icon'],
19
                'name'   => $v['menu_name'],
20
                'catid'  => $v['catid'],
21
                'pid'    => $v['parent_id'],
22
                'url'    => $v['menu_url'] ? '#/'.$v['menu_url'] : '',
23
                'iframe' => $v['link_url']
24
            ];
25
        }
26
    }
27
    return ['menus'=>$arr, 'roles'=>$str];
28
}

1
'jwt' => [
2
    'algorithms'         => 'HS256',           // 签名算法
3
    'access_secret_key'  => '86433bf7adb7...',  // access 令牌密钥
4
    'refresh_secret_key' => '1713a24f7b11...',  // refresh 令牌密钥
5
    'access_exp'         => 7200,              // access 有效期 2小时
6
    'refresh_exp'        => 604800,            // refresh 有效期 7天
7
    'refresh_off'        => false,             // 是否禁用 refresh
8
    'iss'                => 'veitool',         // 签发者
9
    'nbf'                => 0,                 // 生效延迟
10
    'leeway'             => 60,                // 时钟偏差容忍
11
    'single_device_on'   => false,             // 单设备登录开关
12
    'cache_token_ttl'    => 604800,            // 缓存令牌TTL
13
    'cache_token_a_pre'  => 'JWT:TOKEN:',      // access 缓存前缀
14
    'cache_token_r_pre'  => 'JWT:REFRESH_TOKEN:', // refresh 缓存前缀
15
    'get_token_on'       => false,             // 是否支持 GET 传 token
16
    'get_token_key'      => 'authorization',
17
],

1
public static function generateToken(array $extend): array
2
{
3
    if (!isset($extend['id'])) {
4
        throw new RuntimeException('扩展缺少关键参数:id');
5
    }
6
    $config = self::getConfig();
7
    $config['access_exp']  = $extend['access_exp'] ?? $config['access_exp'];
8
    $config['refresh_exp'] = $extend['refresh_exp'] ?? $config['refresh_exp'];
9

10
    $payload = self::getPayload($config, $extend);  // 构建 JWT 载荷
11
    $secrets = self::getPrivateKey($config);        // 获取签名密钥
12

13
    // 生成 access_token
14
    $token = [
15
        'token_type'   => 'Bearer',
16
        'expires_in'   => $config['access_exp'],
17
        'access_token' => self::makeToken($payload['accessPayload'], $secrets['accessKey'], $config['algorithms'])
18
    ];
19

20
    // 生成 refresh_token
21
    if (!$config['refresh_off']) {
22
        $token['refresh_token'] = self::makeToken($payload['refreshPayload'], $secrets['refreshKey'], $config['algorithms']);
23
    }
24

25
    // 单设备登录：缓存 token 到 Redis
26
    if ($config['single_device_on']) {
27
        self::saveStoreToken($config, $extend, $token);
28
    }
29
    return $token;
30
}

1
private static function getPayload(array $config, array $extend): array
2
{
3
    $time = time();
4
    $basePayload = [
5
        'iss'    => $config['iss'],       // 签发者
6
        'aud'    => $config['iss'],       // 接收方
7
        'iat'    => $time,                // 签发时间
8
        'nbf'    => $time + ($config['nbf'] ?? 0), // 生效时间
9
        'exp'    => $time + $config['access_exp'], // 过期时间
10
        'extend' => $extend               // ★ 自定义扩展数据
11
    ];
12
    $resPayLoad['accessPayload'] = $basePayload;
13

14
    // refresh_token 使用更长的过期时间
15
    $basePayload['exp'] = $time + $config['refresh_exp'];
16
    $basePayload['extend']['access_exp'] = $config['refresh_exp'];
17
    $resPayLoad['refreshPayload'] = $basePayload;
18

19
    return $resPayLoad;
20
}

1
public static function verify(int $tokenType = 1, string $token = '', array $config = []): array
2
{
3
    $config = $config ?: self::getConfig();
4
    $token  = $token ?: self::getTokenFromHeaders($config);  // 从 Header 获取
5
    $pubKey = self::getPublicKey($config, $tokenType);
6

7
    try {
8
        JWT::$leeway = $config['leeway'];
9
        $decoded = JWT::decode($token, new Key($pubKey, $config['algorithms']));
10
    } catch (BeforeValidException $b) {
11
        throw new RuntimeException('身份令牌未生效，请稍后再试', 401011);
12
    } catch (ExpiredException $e) {
13
        throw new RuntimeException('身份令牌已过期，请重新登录', 401012);
14
    } catch (SignatureInvalidException $e) {
15
        throw new RuntimeException('身份令牌无效', 401013);
16
    } catch (Exception $e) {
17
        throw new RuntimeException('令牌错误：'. $e->getMessage(), 401014);
18
    }
19

20
    // 验证扩展字段
21
    if (!isset($decoded->extend) || empty($decoded->extend)) {
22
        throw new RuntimeException('身份令牌扩展字段不存在', 401015);
23
    }
24

25
    $decodeToken = json_decode(json_encode($decoded), true);
26

27
    // 单设备登录：检查 Redis 中的 token 是否匹配
28
    if ($config['single_device_on']) {
29
        $cacheTokenPre = $tokenType == 1 ? $config['cache_token_a_pre'] : $config['cache_token_r_pre'];
30
        $client = $decodeToken['extend']['client'] ?? self::TOKEN_CLIENT_WEB;
31
        StoreToken::verifyToken($cacheTokenPre, $client, (string)$decodeToken['extend']['id'], $token);
32
    }
33
    return $decodeToken;
34
}

1
public static function refreshToken(array &$_extend = []): array
2
{
3
    $config  = self::getConfig();
4
    $extend  = self::verify(2, '', $config);    // 先验证 refresh_token
5
    $_extend = $extend['extend'];                // 更新外部扩展指针
6

7
    $payload = self::getPayload($config, $extend['extend']);
8
    $secrets = self::getPrivateKey($config);
9

10
    // 计算 refresh_token 剩余时长，保持不过期
11
    if (($times = $extend['exp'] - time()) > 0) {
12
        $payload['refreshPayload']['exp'] = $extend['exp'];
13
        $payload['refreshPayload']['extend']['access_exp'] = $times;
14
        $config['refresh_exp'] = $times;
15
    }
16

17
    $newToken['access_token'] = self::makeToken(...);
18
    if (!$config['refresh_off']) {
19
        $newToken['refresh_token'] = self::makeToken(...);
20
    }
21
    // 更新 Redis 缓存
22
    if ($config['single_device_on']) {
23
        self::saveStoreToken($config, $extend, $newToken);
24
    }
25
    return $newToken;
26
}

1
class StoreToken
2
{
3
    // 缓存 token：JWT:TOKEN:WEB:1 → access_token
4
    public static function saveToken(string $pre, string $client, string $uid, int $ttl, string $token)
5
    {
6
        $cacheKey = self::generateKey($pre, $client, $uid);
7
        Cache::store('redis')->set($cacheKey, $token, $ttl + (int)config('veitool.jwt.leeway', 0));
8
    }
9

10
    // 验证 token：如果 Redis 中的 token 与当前请求的不同 → 已在其他设备登录
11
    public static function verifyToken(string $pre, string $client, string $uid, string $token): bool
12
    {
13
        $cacheKey = self::generateKey($pre, $client, $uid);
14
        $ttl = Cache::store('redis')->handler()->ttl($cacheKey);
15
        if ($ttl === -2 || $ttl === 0) {
16
            throw new RuntimeException('该帐号身份已过期，请重新登录.', 401012);
17
        } elseif (Cache::store('redis')->get($cacheKey) != $token) {
18
            throw new RuntimeException('该帐号已在其他设备登录，强制下线.', 401016);
19
        }
20
        return true;
21
    }
22

23
    private static function generateKey(string $pre, string $client, string $uid): string
24
    {
25
        return sprintf('%s%s:%s', $pre, $client, $uid);
26
    }
27
}

1
public function login()
2
{
3
    // ... 验证账号密码（与后台登录逻辑一致）...
4

5
    // 生成 JWT Token
6
    $access_exp = config('veitool.jwt.access_exp', 7200);
7
    $token = JwtToken::generateToken([
8
        'access_exp' => $access_exp,
9
        'username'   => $rs->username,
10
        'uid'        => $rs->uid,       // 会话编号
11
        'id'         => $rs->userid,    // 用户ID（关键：单设备登录的依据）
12
        'type'       => $d['type'],     // pc|h5|app
13
        'plat'       => 'veitool',
14
    ]);
15

16
    return $this->returnMsg('登录成功！', 1, ['token' => $token, 'access_exp' => $access_exp]);
17
}