Think Card · 轻量级内容与商城管理系统

📖 项目简介

Think Card 是一套为个人站长、独立开发者、小型工作室打造的轻量级建站系统。 它同时兼顾了「内容发布」和「商品变现」两条主线：

• 用 Copy 卡片 + 文章 + 排行 + 链接卡片 组织内容；
• 用 商品 + 订单 + 提货码 完成虚拟商品的售卖与自动交付；
• 用 全站配色 + 栏目 + 底部自定义 + SEO 设置 完成站点个性化。

整个系统没有使用任何后端框架、没有 Composer 依赖、没有前端打包流程， 只需要一台支持 PHP 的服务器即可运行。数据存储采用 SQLite 单文件数据库， 备份只需复制一个文件。

✨ 功能特性

一、前台展示

二、后台管理 admin.html

三、商城与提货系统

四、安全机制

系统在多个层面做了防护，适合直接部署到公网：

🔒 账户与登录

• 登录防爆破：同一 IP 连续失败 5 次锁定 15 分钟，失败次数实时提示。
• 密码安全：password_hash() + password_verify()，强制新密码至少 8 位且同时包含字母与数字；默认密码未修改时登录后弹窗提醒。
• Session 加固：HttpOnly + SameSite=Strict + use_strict_mode，HTTPS 下自动启用 Secure，Session 文件独立存放于 sessions/。

🛡️ 请求与数据

• CSRF 防护：所有 POST 请求校验 Origin / Referer 同源（自动忽略端口差异）。
• SQL 注入防护：全站使用 PDO 预处理语句。
• XSS 净化：文章正文、排行条目内容在前端渲染与 PHP 输出时均经过 sanitizeHtml()，移除 <script>、<style>、on* 事件、javascript: 协议等，同时保留排版标签与 iframe / video。
• 目录穿越防护：删除本地文件时使用 realpath() + DIRECTORY_SEPARATOR 严格校验路径归属。

📤 上传安全

• 文件仓库采用「扩展名白名单 + 危险扩展名黑名单 + finfo MIME 检测」三重校验。
• 图片上传仅允许 jpeg/png/gif/webp，并按 finfo 实际类型决定扩展名。
• 所有上传接口强制要求登录。

🚦 限流与并发

• 下单防刷：同 IP 同商品 5 分钟冷却、同 IP 每小时最多 10 单、全站每小时最多 500 单。
• 提货码限流：同 IP 每分钟最多 10 次验证请求。
• 并发安全：下单扣库存使用事务 + stock > 0 条件更新；提货码核销使用 WHERE used = 0 条件更新，杜绝重复使用。

五、伪静态（可选）

后台「全站设置 → URL 伪静态」一键开关，开启后链接变为：

article-{id}.html      →  article.php?id={id}
copy-{id}.html         →  copy.html?id={id}
download-{id}.html     →  download.html?id={id}
ranking-{id}.html      →  rankingview.html?id={id}
product-{id}.html      →  productpage.html?id={id}

需要服务器支持 URL 重写，配置见下方 🔧 伪静态配置。

🧱 技术栈

📁 目录结构

├── admin.html              # 后台管理入口
├── index.html              # 首页（瀑布流）
├── all.html                # 全部内容
├── articles.html           # 文章列表
├── article.php             # 文章详情（含 HTML 净化）
├── copy.html               # Copy 卡片详情
├── download.html           # 下载详情
├── downloads.html          # 链接汇总
├── ranking.html            # 排行列表
├── rankingview.html        # 排行详情
├── shop.html               # 商城列表
├── productpage.html        # 商品详情
├── pay.html                # 支付页
├── pickup.html             # 提货中心
├── search.html             # 搜索结果
├── edit_article.html       # 独立文章编辑器（后台新窗口打开）
├── edit_ranking.html       # 独立排行编辑器
├── api.php                 # 全部后端接口（GET 查询 + POST 操作）
│
├── css/
│   ├── style.css           # 前台主样式
│   ├── shop.css            # 商城相关样式
│   ├── admin.css           # 后台样式
│   ├── edit_article.css    # 文章编辑器样式
│   └── edit_ranking.css    # 排行编辑器样式
│
├── js/
│   ├── theme.js            # 主题配色注入（建议置于 head 中）
│   ├── main.js             # 首页逻辑
│   ├── all.js              # 全部内容逻辑
│   ├── articles.js         # 文章列表逻辑
│   ├── downloads.js        # 链接汇总逻辑
│   ├── ranking.js          # 排行列表逻辑
│   ├── rankingview.js      # 排行详情逻辑
│   ├── copy.js             # Copy 卡片详情逻辑
│   ├── download.js         # 下载详情逻辑
│   ├── search.js           # 搜索逻辑
│   ├── shop.js             # 商城列表逻辑
│   ├── productpage.js      # 商品详情逻辑
│   ├── pay.js              # 支付页逻辑
│   ├── pickup.js           # 提货中心逻辑
│   ├── breadcrumb.js       # 通用面包屑
│   ├── admin.js            # 后台主逻辑
│   ├── admin_shop.js       # 后台商城逻辑
│   ├── edit_article.js     # 文章编辑器逻辑
│   └── edit_ranking.js     # 排行编辑器逻辑
│
├── data.sqlite             # SQLite 数据库（首次运行自动生成）
├── sessions/               # Session 文件目录（自动创建）
├── uploads/files/          # 文件仓库上传目录
├── imgs/YYYYMM/            # 通用图片上传目录
├── article/YYYYMM/img/     # 文章图片上传目录
└── products/YYYYMM/        # 商品图片上传目录

🚀 快速开始

1. 环境要求

• PHP 7.4 及以上（推荐 PHP 8.x）
• 启用扩展：pdo_sqlite、fileinfo、mbstring（通常默认已开启）
• Web 服务器：Nginx / Apache / Caddy 均可
• 无需 MySQL，无需 Node.js

2. 部署

# 1. 下载并解压


# 2. 将整个目录放到 Web 根目录，例如：
#    /var/www/html/thinkdiy
#    或虚拟主机站点根目录

# 3. 确保以下目录可写（PHP 运行用户）
chmod -R 755 .
chmod 775 sessions uploads imgs article products 2>/dev/null

3. 首次登录

浏览器访问：

http://你的域名/admin.html

4. 完成基础配置

进入后台后建议按以下顺序配置：

1. 全站设置 → 基本设置 网站标题、副标题、Logo、SEO 关键词与描述。
2. 全站设置 → 首页设置 首页每页卡片数（建议 6–24）。
3. 全站设置 → 网站配色 选择预设配色方案或自定义 8 个颜色变量。
4. 全站设置 → 底部设置 开启自定义底部并填写 HTML。
5. 栏目管理 添加导航栏目（如「首页 / 文章 / 资源 / 排行 / 商城 / 提货」）。
6. 内容管理 按需添加 Copy 卡片、链接卡片、文章分类与文章、排行。
7. 文件仓库 先建分类，再上传文件（供「本地文件」类型的链接卡片引用）。

🔧 伪静态配置

开启后台「全站设置 → URL 伪静态」后，需要配置服务器重写规则。

Nginx

location / {
    try_files $uri $uri/ /index.html;

    rewrite ^/article-([0-9A-Za-z_\-]+)\.html$  /article.php?id=$1 last;
    rewrite ^/copy-([0-9A-Za-z_\-]+)\.html$     /copy.html?id=$1 last;
    rewrite ^/download-([0-9A-Za-z_\-]+)\.html$ /download.html?id=$1 last;
    rewrite ^/ranking-([0-9A-Za-z_\-]+)\.html$  /rankingview.html?id=$1 last;
    rewrite ^/product-([0-9A-Za-z_\-]+)\.html$  /productpage.html?id=$1 last;
}

location ~ \.php$ {
    fastcgi_pass unix:/run/php/php8.2-fpm.sock;   # 按实际 PHP-FPM 地址修改
    include fastcgi_params;
    fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
}

Apache（.htaccess）

<IfModule mod_rewrite.c>
    RewriteEngine On
    RewriteBase /

    RewriteRule ^article-([0-9A-Za-z_\-]+)\.html$  article.php?id=$1  [L,QSA]
    RewriteRule ^copy-([0-9A-Za-z_\-]+)\.html$     copy.html?id=$1     [L,QSA]
    RewriteRule ^download-([0-9A-Za-z_\-]+)\.html$ download.html?id=$1 [L,QSA]
    RewriteRule ^ranking-([0-9A-Za-z_\-]+)\.html$  rankingview.html?id=$1 [L,QSA]
    RewriteRule ^product-([0-9A-Za-z_\-]+)\.html$  productpage.html?id=$1 [L,QSA]
</IfModule>

📘 使用说明

内容管理

🃏 Copy 卡片（内容管理 → Copy 卡片）

• 图片（支持上传或填 URL）、标题、内容介绍（支持 HTML，展示在 copy.html）、提示词（用户一键复制的内容）。
• 可设置角标文字 / 颜色、按钮文字 / 颜色、置顶。
• 列表按创建时间倒序编号（如「编号0001」），便于索引。

🔗 链接卡片（内容管理 → 链接卡片）

三种类型：

• 普通链接直接跳转外部地址（新窗口打开）。
• 下载链接跳转 download.html 展示下载说明与下载按钮。
• 本地文件从「文件仓库」选择文件，前台同样走 download.html。

支持链接分类管理、角标、按钮、置顶。

📝 文章（内容管理 → 文章管理）

• 点击「添加文章」会打开独立编辑器（Quill），支持图片库、网络图片、视频嵌入代码、封面设置、草稿 / 发布、角标、分类。
• 文章正文在输出前会经过 HTML 净化。
• 文章 ID 采用 YYYYMM + 三位序号 格式（如 202609001），便于排序与管理。

🏆 排行（内容管理 → 排行管理）

• 每个排行包含若干条目，条目可设置排序、标题颜色 / 粗细 / 字号，内容为富文本。
• 前台详情页默认全部折叠，点击标题展开。
• 支持封面图片、排行介绍、分类归属。

文件仓库

1. 先添加分类 如「文档 / 图片 / 压缩包」。
2. 上传文件 点击「上传文件」，选择分类与文件。
3. 支持的文件类型（白名单） jpg/jpeg/png/gif/webp/bmp/ico、pdf/doc/docx/xls/xlsx/ppt/pptx/txt/md/csv、zip/rar/7z/tar/gz、mp3/wav/mp4/mov/avi/mkv、ttf/otf/woff/woff2
4. 危险类型拒绝 php、html、js、svg、exe、sh 等会被直接拒绝。
5. 引用文件 上传后的文件可在「链接卡片 → 本地文件」中通过「📂 从文件库添加」引用。

商城与提货流程

用户浏览 shop.html
        ↓
进入 productpage.html（选规格/看图）
        ↓
点击「立即购买」→ pay.html（选择收款二维码并扫码支付）
        ↓
点击「我已支付」→ 系统生成订单 + 16 位提货码，弹窗提示保存
        ↓
商家在后台「订单管理」确认支付 → 「标记发货」
        （两步都完成后订单进入已完成）
        ↓
用户访问 pickup.html，输入提货码 → 校验通过 → 展示下载链接 / 说明

🎁 活动提货码（商品管理 → 生成提货码）

• 勾选可选商品集合 → 设置生成数量（1–1000）、最大可提取数、有效期。
• 用户输入活动码后进入多选界面，在允许范围内挑选商品并确认核销。
• 后台「提货码管理」可分栏查看未使用 / 已使用，支持批量复制、批量删除、清空当前列表。
• 已使用的提货码会记录使用时间与实际提取商品，便于追溯。

全站设置项说明

网站配色变量

🎨 内置 5 套预设配色

🔐 安全建议

1. 立即修改默认密码与用户名 首次登录后务必前往「账号管理」修改为强密码。
2. 启用 HTTPS 生产环境请使用 HTTPS（系统会自动为 Session Cookie 加上 Secure）。
3. 保护敏感文件 建议将 data.sqlite、sessions/ 通过服务器配置禁止直接访问。 例如 Nginx 中：

   location ~ \.(sqlite|db)$ { deny all; }
   location ^~ /sessions/ { deny all; }

4. 反向代理真实 IP 如果部署在 Cloudflare / Nginx 反向代理之后，请按 api.php 中 getClientIp() 的注释启用对应的真实 IP 获取逻辑 （默认只信任 REMOTE_ADDR，最安全但拿不到代理后的真实 IP）。
5. 定期备份 定期备份 data.sqlite 与 uploads/ 目录。
6. 限制后台入口 建议为后台入口 admin.html 增加额外的访问限制（IP 白名单 / Basic Auth）。

❓ 常见问题

# 示例：用 PHP 生成新密码哈希
php -r "echo password_hash('YourNewPass123', PASSWORD_DEFAULT);"

📄 版权声明

本项目为专有软件，版权归作者所有，保留所有权利（All Rights Reserved）。 未经作者书面许可，任何人不得：

• 复制、传播、分发本项目的任何部分；
• 修改、改编、二次开发或创建衍生作品；
• 将本项目或其任何部分用于商业用途；
• 反向工程、反编译、反汇编或试图提取源代码；
• 移除或修改本项目中任何版权、商标或其他所有权声明。

本软件按“现状”提供，不提供任何明示或暗示的担保，包括但不限于对适销性、特定用途适用性及非侵权性的担保。 在任何情况下，作者均不对因使用或无法使用本软件而产生的任何直接、间接、偶然、特殊或后果性损害承担责任。

🙏 致谢

• 富文本编辑器：Quill
• 感谢所有为项目提出建议与反馈的使用者