🖼 2026中信证券多语言微盘微交易修复版

### 功能特点

– 后端基于 FastAdmin（ThinkPHP 5.0.24），管理后台功能完善
– 移动端使用 uni-app 编译的 H5 应用，一套代码多端适配
– 行情覆盖 6 个品种，支持实时价格与涨跌幅展示
– 支持开户、交易、订单记录、在线客服、多语言切换（简体中文/English）

### 运行截图

—

部署要点：

– 每个站点独立 Nginx 配置，HTTPS 使用 Let’s Encrypt 免费证书
– H5 前端通过 /api 反向代理到 API 域名，避免跨域问题
– 后台入口独立定制（如 /`、/.php`），降低被扫描爆破的风险
– 定时任务统一在宝塔面板管理（订单结算、行情同步）

—

## 5. 修复与更新日志

### 2026-08-10 全链路功能测试

– ✅ 程序：注册（testuser002）→ 登录 → 充值 500 → 后台审核 → 下单买涨 100 → 结算 → 余额 497，全链路通过
– ✅ 后台充值审核、订单管理功能验证通过

### 2026-08-10 修复记录

– 🔧 程序二 RedisLock 报错修复**：PHP 7.2 环境未安装 Redis 扩展，导致 `Class ‘Redis’ not found`。解决方案：将 Redis 锁改为文件锁（`RUNTIME_PATH/filelock`），结算恢复正常。
– 🔧 **程序二买涨/买跌显示修正**：后台订单列表”买跌”实为”买涨”（字段映射显示问题），已修正，不影响交易逻辑。
– 🔧 **ThinkPHP 5.0.24 captcha RCE 验证**：经典 `_method=__construct` 利用返回 404，确认官方补丁已生效（`Request.php method()` 已限制为合法 HTTP 方法白名单）。

1. **关闭调试模式
“`php
// config/app.php 或 application/config.php
‘app_debug’ => false,
“`
调试模式开启时，触发 500 错误会直接泄露数据库名、表结构、SQL 语句与服务器绝对路径。

2. runtime 目录权限
“`bash
chown -R www:www runtime
find runtime -type d -exec chmod 755 {} ;
find runtime -type f -exec chmod 644 {} ;
“`
777 权限的 runtime 目录存在缓存投毒风险，可能配合文件包含漏洞执行任意代码。

3. 确认 RCE 补丁状态
– ThinkPHP 5.0.x 的 _method=__construct + filter[]=system 是经典 RCE 链
– 检查 thinkphp/library/think/Request.php 的 method() 是否限制为 GET/POST/DELETE/PUT/PATCH 白名单
– 可用无害命令验证：`POST /index.php?s=captcha` 携带 `method=__construct&filter[]=system`，若返回 404 且未执行命令则已修补

### 中危项

4. **数据库密码管理**：不要在 `database.php` 中硬编码密码，改用 .env 文件并从版本库排除
5. **清理备份文件**：Web 根目录不要残留 .tar.gz`、.sql`、`.bak` 文件，统一迁移到 Web 目录外
6. **上传目录权限**：`public/uploads` 等上传目录避免 777，并定期扫描 webshell
7. **后台入口伪装**：使用 WPS Hide Login 或自定义路由隐藏默认后台入口

### 其他建议

– MySQL 不要监听公网 0.0.0.0，限制仅本机访问
– 宝塔面板开启 IP 白名单
– 对 index.php?s=captcha 等敏感端点开启访问日志审计

—

## 7. 常见问题排查经验

### 问题一：`Class ‘Redis’ not found`

**现象**：FastAdmin 后台结算任务报错，日志显示 Redis 类不存在。

**原因**：PHP 7.2 环境未安装 Redis 扩展，而代码中使用了 Redis 锁。

**解决**：将锁实现降级为文件锁：

// 使用 RUNTIME_PATH/filelock 目录下的文件锁替代 Redis 锁
$lockFile = RUNTIME_PATH . 'filelock/' . md5($key) . '.lock';

### 问题二：后台登录提示验证码错误

**原因**：验证码 session 与请求不在同一会话，或验证码功能被临时关闭后未恢复。

**建议**：测试期间临时关闭验证码务必记录配置位置，测试完成后立即恢复为 `true`。

### 问题三：H5 页面白屏或资源 404

**排查顺序**：
1. 检查 Nginx 静态资源路径配置
2. 检查 H5 编译产物是否完整上传
3. 浏览器 Console 查看具体 404 资源
4. 检查 /api 反向代理是否指向正确

### 问题四：定时任务不执行

**排查**：
– 确认宝塔计划任务状态为运行
– 检查 cron 脚本中的绝对路径是否正确（迁移目录后旧路径失效是常见坑）
– 查看 PHP 错误日志确认脚本是否报错

—

## 8. FAQ 常见问题

### Q1：这套系统可以商用吗？

本文介绍的为**内部演示环境**，用于技术学习与功能验证。任何交易类系统商用前必须完成合规审查、资质办理、资金托管与安全审计。

### Q2：ThinkAdmin 和 FastAdmin 怎么选？

– **ThinkAdmin v5**：后台界面现代，适合管理功能复杂的 Web 平台
– **FastAdmin**：插件生态丰富，前后端分离支持好，适合带 API 的多端项目

### Q3：uni-app H5 如何对接 FastAdmin API？

uni-app 通过 uni.request 请求 API 域名，FastAdmin 侧配置跨域或使用同域反向代理（如 /api 路径代理），登录后携带 token 访问业务接口。

### Q4：ThinkPHP 5.0.x 是否安全？

ThinkPHP 5.0.x 已停止官方维护，存在历史 RCE 漏洞。如果必须使用，请确认已应用全部安全补丁（尤其是 Request.php 的 method() 白名单），或升级到 5.1/6.x/8.x 受支持版本。

—

## 9. 结语

本文完整记录了一套双程序交易演示系统的部署与加固过程，核心价值在于：

1. **全链路测试方法**：从注册到结算的完整业务闭环验证思路
2. **安全加固清单**：ThinkPHP 项目上线前必查的高危项
3. **真实踩坑经验**：Redis 扩展缺失、验证码管理、定时任务路径等常见问题

#微盘 #微交易 #中信证券 #大米 #棉花 #黄金 #白银