文件
fenleixinxi/application/api/controller/Favorite.php
MiAn 63fdfe87d7 feat(v1.1.0): 支付改由 epay 插件承载、插件纳入版本库,补齐媒体上传/LBS/互动/优惠券/后台看板,并修复余额充值资损
## 一、支付:改由已安装的 epay 插件承载(不再自研签名)
- 下单:\addons\epay\library\Service::submitOrder($amount 元, $orderNo, 'wechat', $body, $notifyUrl, null, 'miniapp', $openid)
- 验签:Service::checkNotify('wechat')(内部 $pay->verify());应答:$pay->success()(v2 = XML)
- 业务编排仍在 application/api/controller/Pay.php,不改插件源码:
  POST /pay/prepay(取调起参数,下发前剔除 appId);POST /pay/notify(公开路由:插件验签 → 金额核对 → 幂等分派)
- 配置真源 = addons/epay/config.php(后台「插件管理 → 微信支付宝整合插件 → 配置」);
  fc_config 的 wx.mchId / wx.apiKey / wx.payNotifyUrl 废弃;后台「系统设置」支付表单改只读并跳插件配置页
- 插件 API 保持 version=v2(PHP 7.4 可跑);certs/* 为 0 字节占位,不含任何真实密钥
- 修复 BUG-015:Pay::notify() 与基类站内信同名且签名不兼容导致 /pay/* 全 500,动作改名 notifyCallback()

## 二、插件纳入 Git 版本管理
- .gitignore 移除 /addons/* 与 /public/assets/addons/*(保留 .gitkeep 占位)
- 入库 addons/epay、addons/wechat、public/assets/addons/*、addons/.htaccess(deny from all)
- config.php 入库为空白模板;服务器请在填好密钥后执行
  git update-index --skip-worktree addons/epay/config.php,避免真实密钥回传仓库

## 三、安全修复:余额充值资损(高危,已实测复现)
- 现象:POST /order/recharge {payType:'balance'} 只加余额不扣款(余额 134.50 → 1022.50),等于凭空增发余额,
  可再去买会员 / 付费发布 / 解锁联系方式
- 修复:/order/recharge 仅接受 payType=wxpay,balance → 「余额充值仅支持微信支付」,其它 → 「支付方式不支持」;
  订单恒为 status=pending、pay_type=wxpay、paytime=null;入账只发生在 /pay/notify 回调(Order::creditRecharge)
  或后台「会员管理 → 余额充值」(fc/userext/recharge)
- 小程序充值页同步为「仅微信支付」+ 防重复提交 + onShow 刷新资产;mock / 用例 / 文档同步

## 四、其他 v1.1.0 能力
- 媒体上传:POST /post/upload(图片 ≤10MB / 视频 ≤50MB,真落盘),发布页 uni.uploadFile 真上传
- LBS:fc_post.lat/lng、首页 sort=nearby(距离升序、无坐标排最后)、卡片 distance、详情页地图
- 互动:举报 POST /report(原因字典)、收藏 / 关注(fc_favorite / fc_follow、/favorite/*、/follow/toggle)
- 交易:余额充值 POST /order/recharge、优惠券 /coupon/list|receive(fc_coupon / fc_user_coupon、我的资产券)
- 发布计费:会员发布折扣(discountRate/discountText)+ 免费发布条数(freeQuota*)
- 后台新增:数据总览 fc/dashboard、系统设置 fc/setting、优惠券管理 fc/coupon(含菜单与权限节点)

## 五、本批审核修复
- 详情页:游客不再请求登录态接口(避免 401 被清 token 踢去登录);微信付费查看改为支付后轮询解锁,
  不再读取 wxpay 分支未返回的 contact;加防重复提交
- 发布页:freeLeftToday → freeQuotaLeft / freeQuotaCycle / freeUnlimited(对齐后端出参);
  上传图预览拼后端域名(新增 format.js#assetUrl,后端返回相对路径)
- 收藏空态「去首页」:switchTab → reLaunch(项目用自绘 fc-tabbar,无 tabBar,switchTab 必然失败)
- 会员券 days=0 显示「永久有效」;manifest.json 补 requiredPrivateInfos(getLocation / chooseLocation)
- 后端:publishConfig 补 discountRate/discountText 与 memberPostDiscountText();优惠券总开关 coupon.enabled
  真生效(关闭后 list/receive 拒绝);后台 fc/Coupon 的 add/edit 补 strip_tags 过滤(防存储型 XSS)、
  补 searchFields='name',列表 name 列再做一次 HTML 转义
- FcInstall:补清理后台菜单缓存 __menu__(否则新菜单要等缓存过期才显示),并同步 README 说明
- 后台语言包 fc/setting.php 按「支付只读 + 跳插件配置」的新页面重写
- 文档同步:uniapp/docs/{01,03,04}、uniapp/README.md、docs/05-后端实现规范.md、后台 README 上线步骤

## 六、校验结果(全部通过)
- 后端端到端:tools/verify-api.mjs 226/226(含新增「拒绝余额充值(资损防护)」用例)
- 小程序:uniapp/tests/run.mjs 167/167;validate.mjs 0 错 0 警;check-scss 19/19
- 后台:check-admin-i18n 0 错 0 警;check-theme 0 错 0 警;9 个页面 HTTP 200 全中文
- php -l 改动/新增 PHP 文件 0 语法错误;探针复测:余额不再增长、epay 插件下单/验签链路通
2026-10-19 10:03:13 +08:00

205 行
6.9 KiB
PHP

此文件含有模棱两可的 Unicode 字符

此文件含有可能会与其他字符混淆的 Unicode 字符。 如果您是想特意这样的,可以安全地忽略该警告。 使用 Escape 按钮显示他们。

<?php
namespace app\api\controller;
use think\Db;
/**
* 用户端 · 收藏与关注(Module-FAVORITE)
* 路由:
* GET /api/v1/favorite/list 收藏的信息分页列表
* POST /api/v1/favorite/toggle 收藏/取消收藏信息
* POST /api/v1/follow/toggle 关注/取消关注用户
* POST /api/v1/favorite/status 批量查询收藏/关注状态
*
* 数据表:fa_fc_favorite(user_id,post_id,createtime) / fa_fc_follow(user_id,target_user_id,createtime)
* 两表均有唯一索引,所有写入「先查后写 + catch 兜底」,保证并发下**幂等**。
*/
class Favorite extends V1
{
/**
* GET /api/v1/favorite/list {page,size}
* → 分页 {list,page,size,total,hasMore}(list 项为 Post 结构,与信息流同构)
* 规则:仅本人收藏;只返回 audit_status=1 且 status=1 且未软删的信息;按收藏时间倒序。
*/
public function list()
{
$user = $this->auth();
// 闭包重建查询:TP5.0 的 count() 会清空 Query::options,不能复用同一对象
list($rows, $total, $page, $size) = $this->pageQuery(function ($forCount) use ($user) {
$q = Db::name('fc_favorite')->alias('f')
->join('fc_post p', 'p.id = f.post_id')
->where('f.user_id', $user['id'])
->where('p.audit_status', 1)
->where('p.status', 1)
->whereNull('p.deletetime');
if ($forCount) {
return $q;
}
return $q->field('p.*')->order('f.createtime desc, f.id desc');
});
$builder = new Post();
$list = [];
foreach ($rows as $row) {
// 复用 Post 的信息结构,保证「我的收藏」与首页信息流字段完全一致
$list[] = $builder->buildPost($row);
}
$this->ok($this->paginate($list, $total, $page, $size));
}
/**
* POST /api/v1/favorite/toggle {postId}
* → {faved,count}
* faved=true 表示本次操作后为「已收藏」;count 为该信息当前收藏总数。
*/
public function toggle()
{
$user = $this->auth();
$postId = (int)$this->input('postId', 0);
$post = $postId > 0 ? Db::name('fc_post')->where('id', $postId)->whereNull('deletetime')->find() : null;
if (!$post) {
$this->fail('信息不存在', 404);
}
$exist = Db::name('fc_favorite')->where('user_id', $user['id'])->where('post_id', $postId)->find();
$faved = false;
if ($exist) {
Db::name('fc_favorite')->where('id', $exist['id'])->delete();
} else {
try {
Db::name('fc_favorite')->insert([
'user_id' => $user['id'],
'post_id' => $postId,
'createtime' => time(),
]);
$faved = true;
} catch (\Exception $e) {
// 并发下唯一索引冲突:视为已收藏(幂等)
$faved = true;
}
}
$count = (int)Db::name('fc_favorite')->where('post_id', $postId)->count();
$this->ok(['faved' => $faved, 'count' => $count]);
}
/**
* POST /api/v1/follow/toggle {userId}
* → {followed}
* 规则:不能关注自己 → fail('不能关注自己');目标用户必须存在。
*/
public function follow()
{
$user = $this->auth();
$targetUserId = (int)$this->input('userId', 0);
if ($targetUserId <= 0) {
$this->fail('用户不存在', 404);
}
if ($targetUserId === (int)$user['id']) {
$this->fail('不能关注自己');
}
$target = Db::name('user')->where('id', $targetUserId)->find();
if (!$target) {
$this->fail('用户不存在', 404);
}
$exist = Db::name('fc_follow')
->where('user_id', $user['id'])
->where('target_user_id', $targetUserId)
->find();
$followed = false;
if ($exist) {
Db::name('fc_follow')->where('id', $exist['id'])->delete();
} else {
try {
Db::name('fc_follow')->insert([
'user_id' => $user['id'],
'target_user_id' => $targetUserId,
'createtime' => time(),
]);
$followed = true;
} catch (\Exception $e) {
// 并发下唯一索引冲突:视为已关注(幂等)
$followed = true;
}
}
$this->ok(['followed' => $followed]);
}
/**
* POST /api/v1/favorite/status {postIds:[],userIds:[]}
* → {faved:{postId:true|false},followed:{userId:true|false}}
* 说明:批量查询(参照「详情页进入时一次性拿状态」);
* 入参为空数组时返回**空对象** {}((object) 强转,避免 PHP 空数组被序列化成 []);
* 查询结果按请求的 id 全量回填(未收藏/未关注为 false)。
*/
public function status()
{
$user = $this->auth();
$faved = [];
foreach ($this->idArray('postIds') as $postId) {
$faved[(string)$postId] = false;
}
if ($faved) {
$rows = Db::name('fc_favorite')
->where('user_id', $user['id'])
->where('post_id', 'in', array_keys($faved))
->column('post_id');
foreach ($rows as $postId) {
$faved[(string)$postId] = true;
}
}
$followed = [];
foreach ($this->idArray('userIds') as $userId) {
$followed[(string)$userId] = false;
}
if ($followed) {
$rows = Db::name('fc_follow')
->where('user_id', $user['id'])
->where('target_user_id', 'in', array_keys($followed))
->column('target_user_id');
foreach ($rows as $userId) {
$followed[(string)$userId] = true;
}
}
$this->ok([
'faved' => (object)$faved,
'followed' => (object)$followed,
]);
}
/**
* 入参 ID 数组归一化(支持数组 / JSON 字符串 / 逗号串)
* @param string $key
* @return array 去重后的正整数 ID 列表(上限 200,避免超长 IN)
*/
protected function idArray($key)
{
$val = $this->input($key, []);
if (is_string($val)) {
$decoded = json_decode($val, true);
$val = is_array($decoded) ? $decoded : explode(',', $val);
}
if (!is_array($val)) {
return [];
}
$ids = [];
foreach ($val as $item) {
$item = (int)$item;
if ($item > 0) {
$ids[] = $item;
}
}
return array_slice(array_values(array_unique($ids)), 0, 200);
}
}