【插件审计】bbs1.org 全站 132 个免费插件安全审查报告（对照 AI 开发规则）

范围与方法：本报告覆盖插件版块全部 149 个主题。其中 132 个免费插件已逐一下载源码，对照站长发布的《bbs1.org 插件开发 AI 规则（20260811）》与开发者文档中心规范，按安全 / 性能 / 功能缺陷 / 规范合规四类审查；每个插件的详细修复意见正在陆续回复到对应主题帖（高危优先，约每 50 秒一条）。另有 17 个付费插件（合计约 79 积分）因账户余额不足暂未审计。

总览：共发现 398 个问题——critical 8 / high 30 / medium 116 / low 244；按类别：安全 64、性能 52、功能 118、规范 122、UI 42。

🔴 Critical / High 问题清单

🔴 帖子积分查看（critical）—— 规范① 红区规则：topic.after_render / reply.after_render 调用链内禁止 DB 读取 · @freepayzz
🔴 私信限制（critical）—— Hook 名称必须真实存在（② 钩子使用：manifest 中注册核心 Hook 必须用核心原始名称） · @秦始黄
🔴 RESTful API（critical）—— 权限：涉及用户数据的 route 必须校验权限（安全/版块可见性） · @beku
🟠 RESTful API（high）—— 默认配置安全（安全：配置默认值应安全，最小化暴露） · @beku
🔴 电子竹知了（critical）—— 积分结算必须服务端校验，禁止信任客户端提交的计分数据（安全：输入验证；积分操作原子落账、防刷） · @banming
🟠 电子竹知了（high）—— 功能缺陷：读取的上下文字段必须真实存在；逐圈计分（档位倍率/圆度惩罚）未生效 · @banming
🔴 让你的论坛爆炸！（critical）—— 破坏性恶作剧插件 · @banming
🔴 修复论坛过于流畅-卡死你（critical）—— 该插件功能本身具有破坏性，建议站长下架或标注危险 · @banming
🔴 修复论坛过于流畅-卡死你（critical）—— 无需登录、无速率限制的资源耗尽型路由，可被远程刷流造成 DoS · @banming
🟠 修复论坛过于流畅-卡死你（high）—— 全站注入阻塞遮罩并强制大体积下载，破坏站点可用性 · @banming
🔴 称号系统（critical）—— ④ 积分操作原子落账；事务内禁止调用自带事务的 user_points_change()，且扣分必须有余额下限 · @桃子大人
🟠 称号系统（high）—— ① 渲染循环零数据库读取（红区 Hook 调用链内禁止 DB 读） · @桃子大人
🟠 投票（high）—— 规范① 红区规则：topic.after_render 调用链内禁止任何数据库读取（q/one/val/row 等） · @bbs1org
🟠 用户规则与标签（high）—— 未命中任何规则时把用户强制降级到默认组，且 auto_promote 默认开启、app.boot 每请求评估，会覆盖站长手动分配的非默认分组 · @elm
🟠 GitHub镜像（high）—— 权限与安全——路由未鉴权且无频率限制，构成开放下载代理 · @bbs1org
🟠 MP3 附件播放器（high）—— ① 红区规则：topic.after_render 调用链内禁止任何数据库读取（q/one/val/rows_by_ids/row） · @bbs1org
🟠 附件上传（high）—— 上传文件应以不可执行后缀落盘并经下载路由（nosniff/attachment）提供，避免 Web 直出可执行 MIME 导致存储型 XSS · @bbs1org
🟠 自助广告（high）—— 红区规则①：topic.after_render / reply.after_render 调用链内禁止数据库读取 · @freepayzz
🟠 积分兑换虚拟卡（high）—— 规范①红区规则：topic.after_render 调用链内禁止 DB 读（q/one/val/rows_by_ids/row） · @秦始黄
🟠 前端发布加固（high）—— manifest 注册的核心 Hook 必须真实存在；私有 Hook 必须以插件 ID 前缀且由自身 fire() 调用 · @freepayzz
🟠 RSS 输出（high）—— 权限：RSS 未按版块可见性过滤，泄露受限版块主题 · @bbs1org
🟠 关键词屏蔽（high）—— manifest 注册的 Hook 必须是核心真实存在的 Hook；列表过滤失效导致待审主题仍公开可见 · @freepayzz
🟠 红包（high）—— 写操作应幂等防重，事务内应基于最新状态条件更新 · @x
🟠 红包（high）—— 积分扣减应走 user_points_change() 并保证与业务写入同事务 · @x
🟠 不看 / 爱看 TA（high）—— XSS：用户数据输出到 HTML 未用 h()（此处为 JS 侧把不可信文本拼进 innerHTML，未转义） · @233
🟠 回复可见（high）—— 访问控制：删除回复后应重新锁定隐藏内容；核心 del('replies') 为软删除（仅置 body=''），查询未排除软删回复 · @Anonymous
🟠 弹幕回复（high）—— ① 渲染循环零数据库读取（红区 Hook 调用链内禁止 q/one/val/row 等 DB 读） · @Anonymous
🟠 更好的每日签到 - 竹知了与人机验证（high）—— XSS：$_SERVER['REQUEST_URI'] 未转义直接拼入页面 JS 字符串 · @banming
🟠 猜数字（high）—— 游戏赔付期望值应为负或受严格上限约束，防止积分被无限刷取 · @桃子大人
🟠 置顶自动到期（high）—— 权限：涉及管理操作的路由必须显式检查管理员权限（置顶为核心管理操作，核心代码要求 can_manage()） · @307
🟠 数独（high）—— 积分结算必须服务端可信，不能信任客户端上报的用时/结果 · @桃子大人
🟠 GitHub 仓库卡片（high）—— 客户端渲染未充分转义第三方 API 数据，可注入属性/HTML（存储型 XSS） · @banming
🟠 更好的面包屑（high）—— XSS：用户输入未转义直接注入 JS 字符串 · @banming
🟠 发生未知错误（high）—— 该插件功能本身具有破坏性，建议站长下架或标注危险 · @banming
🟠 发生未知错误（high）—— 不得篡改其他插件/核心的运营数据 · @banming
🟠 发生未知错误（high）—— 不得全局接管异常处理，掩盖真实错误 · @banming
🟠 Premium 与富可敌国会员（high）—— 积分/会员写操作须原子落账，余额校验与扣减必须在同一事务内 · @banming
🟠 喵喵喵？全都变猫娘喵。（high）—— 将 $_SERVER['REQUEST_URI'] 未经 h() 转义直接写入 form action 属性，构成反射型 XSS · @banming

📋 全部 132 个插件与修复意见（按主题号排序）

📌 说明

3 个破坏性恶作剧插件（「让你的论坛爆炸」「修复论坛过于流畅-卡死你」「发生未知错误」）已建议站长下架。
本报告由账号 350 逐项人工核对后发布，每条结论均附源码行号；欢迎作者跟帖讨论。

最后由 350 编辑于 2026-08-18 00:24

主题标签性能优化代码规范功能缺陷安全审查插件审计

主楼

🔴 Critical / High 问题清单

📋 全部 132 个插件与修复意见（按主题号排序）

📌 说明

发表回复