1 <?php
2 /*
3 [UCenter Home] (C) 2007-2008 Comsenz Inc.
4 $Id: common.php 13217 2009-08-21 06:57:53Z liguode $
5 */
6 //UCHOME 代码浅析(1) 核心文件 common.php
7 //分析者: solo => 52php.com.cn || 首发于www.phpig.net
8 //转载请保留此信息。
9
10
11 @define('IN_UCHOME', TRUE);//防止包含文件被非法引用和单独引用而引起系统错误和漏洞。
12 //所有文件都必须包含本文件，所有也就有了IN_UCHOME这个常量，然后在其他每个页面上检测是否有这个常量，如果没有，那么就是单独运行了文件则判定为非法，并终止程序。例如运行：include/space_album.php，由于这个文件是单独运行，没有包含common.php,也就没有IN_UCHOME这个常量，以及需要用到一些uch系统变量如$_SGLOBAL，所以这个文件将无法运行，即使能运行也会产生错误和漏洞，所以不能让这个文件单独运行。
13 define('D_BUG', '0');//是否开启调试模式。默认为0不开启，1为开启。开启后，每个页面底部会打印调试信息，包括服务器信息、GET\POST等内容，以及SQL语句。
14
15 D_BUG?error_reporting(7):error_reporting(0);//是否打开PHP的错误报告。error_reporting 7是最高级别，报告所有错误。0为不显示任何错误信息（如果有致命错误，页面全白，哈哈。）
16 set_magic_quotes_runtime(0);//强制关闭PHP内置的魔术引用（特殊字符转义，如"/"，这样的字符在程序中有特殊含义，如果不转义，会造成错误）。下面会有UCH自己的转义函数。之所以关闭系统的，是为了能更好的控制。（我也不是很明白，反正全都这样用，哈哈）
17
18 $_SGLOBAL = $_SCONFIG = $_SBLOCK = $_TPL = $_SCOOKIE = $_SN = $space = array();//这个简单了，就是初始化UCH核心变量。之所以这样做，也是为了安全。在实际开发产品中。需要注意与外部交互的变量。因为这个时候不初始化变量很容造成漏洞哦。而且不初始化的变量（也就是未定义），会报错:Notice: Undefined variable。所以，童鞋们，一定要养成初始化变量的好习惯。
19
20 //程序目录
21 define('S_ROOT', dirname(__FILE__).DIRECTORY_SEPARATOR);//定义程序的根目录。S_ROOT 的内容是本PHP文件的绝对地址：E:\test\ （我本地的）。接下来这个常量会经常用到。好处：1：方便，不然每个引用文件时都写一大堆路径累啊；2，使用绝对地址比相对地址速度快！
22
23 //基本文件
24 include_once(S_ROOT.'./ver.php');//包含版本文件,里面有X_VER(版本号)，X_RELEASE（日期）。用处：在后台程序会到康盛服务器检查现在的版本是不是最新的。
25 if(!@include_once(S_ROOT.'./config.php')) {//包含系统配置文件（重要），如果包含出错，那么认定为没有安装，跳转到安装页面。
26 header("Location: install/index.php");//安装
27 exit();
28 }
29 include_once(S_ROOT.'./source/function_common.php');//包含核心函数，像转义啊，检查登录啊，每个函数后面再讲
30
31 //时间
32 $mtime = explode(' ', microtime());
33 $_SGLOBAL['timestamp'] = $mtime[1];
34 $_SGLOBAL['supe_starttime'] = $_SGLOBAL['timestamp'] + $mtime[0];//这部分是时间处理，$_SGLOBAL['timestamp']是时间戳，常用变量，$_SGLOBAL['supe_starttime']定义程序开始运行时间，用来和结束时间比较，得出程序运行时间。
35
36 //GPC过滤
37 $magic_quote = get_magic_quotes_gpc();
38 if(empty($magic_quote)) {//再次检查系统转义是否开启，如果没开启，就用自定义的函数进行转义
39 $_GET = saddslashes($_GET);
40 $_POST = saddslashes($_POST);
41 }
42
43 //本站URL
44 if(empty($_SC['siteurl'])) $_SC['siteurl'] = getsiteurl();//取本站的地址，在config.php可以设置。如果没有设置，通过getsiteurl()函数获得。
45
46 //链接数据库
47 dbconnect();//初始化数据库链接，函数所做的的事在function_common.php里。执行后，用$_SGLOBAL['db']就可以执行数据库操作了。
48
49 //缓存文件
50 if(!@include_once(S_ROOT.'./data/data_config.php')) {//包含系统设置缓存文件
51 include_once(S_ROOT.'./source/function_cache.php');//缓存函数集合
52 config_cache();//生成系统设置缓存(就是生成data/data_config.php)，从数据库得到的数据。详情见函数，后面讲
53 include_once(S_ROOT.'./data/data_config.php');
54 }
55 foreach (array('app', 'userapp', 'ad', 'magic') as $value) {
56 @include_once(S_ROOT.'./data/data_'.$value.'.php');//还是包含缓存文件
57 }
58 //这里讲讲这些缓存。
59 //为什么要用缓存：加速。因为这些数据都是基本很少变动的，而且是存在数据库的，如果我们把它直接存在文件里，访问速度会加快很多。因为链接数据库是最慢的。
60 //COOKIE
61 $prelength = strlen($_SC['cookiepre']);//COOIKE前缀长度。默认前缀是uchome_。用前缀的原因防止COOKIE名冲突。
62 foreach($_COOKIE as $key => $val) {
63 if(substr($key, 0, $prelength) == $_SC['cookiepre']) {//给带有系统前缀的cookie（就是我们UCH登录后的COOIKE）转义，然后复制给$_SCOOKIE。
64 $_SCOOKIE[(substr($key, $prelength))] = empty($magic_quote) ? saddslashes($val) : $val;
65 }
66 }
67 //tips : 其实我们可以在程序的开始直接把所有的$_GET\$_POST\$_COOKIE都转义。
68
69 //启用GIP
70 if ($_SC['gzipcompress'] && function_exists('ob_gzhandler')) {//这个就是启用页面缓冲。把所以数据放到内存，统一输出。加速。
71 ob_start('ob_gzhandler');
72 } else {
73 ob_start();
74 }
75
76 //初始化
77 $_SGLOBAL['supe_uid'] = 0;
78 $_SGLOBAL['supe_username'] = '';
79 $_SGLOBAL['inajax'] = empty($_GET['inajax'])?0:intval($_GET['inajax']);
80 $_SGLOBAL['mobile'] = empty($_GET['mobile'])?'':trim($_GET['mobile']);
81 $_SGLOBAL['ajaxmenuid'] = empty($_GET['ajaxmenuid'])?'':$_GET['ajaxmenuid'];
82 $_SGLOBAL['refer'] = empty($_SERVER['HTTP_REFERER'])?'':$_SERVER['HTTP_REFERER'];
83 if(empty($_GET['m_timestamp']) || $_SGLOBAL['mobile'] != md5($_GET['m_timestamp']."\t".$_SCONFIG['sitekey'])) $_SGLOBAL['mobile'] = '';//这个$_SGLOBAL['mobile']是手机访问。但没啥用
84
85 //登录注册防灌水机
86 if(empty($_SCONFIG['login_action'])) $_SCONFIG['login_action'] = md5('login'.md5($_SCONFIG['sitekey']));
87 if(empty($_SCONFIG['register_action'])) $_SCONFIG['register_action'] = md5('register'.md5($_SCONFIG['sitekey']));//机密系统登录和注册的页面
88
89 //整站风格
90 if(empty($_SCONFIG['template'])) {
91 $_SCONFIG['template'] = 'default';//如果没有定义模板，就用默认模板。
92 }
93 if($_SCOOKIE['mytemplate']) {//用户自定义风格。
94 $_SCOOKIE['mytemplate'] = str_replace('.','',trim($_SCOOKIE['mytemplate']));
95 if(file_exists(S_ROOT.'./template/'.$_SCOOKIE['mytemplate'].'/style.css')) {
96 $_SCONFIG['template'] = $_SCOOKIE['mytemplate'];
97 } else {
98 ssetcookie('mytemplate', '', 365000);
99 }
100 }
101
102 //处理REQUEST_URI
103 if(!isset($_SERVER['REQUEST_URI'])) {
104 $_SERVER['REQUEST_URI'] = $_SERVER['PHP_SELF'];
105 if(isset($_SERVER['QUERY_STRING'])) $_SERVER['REQUEST_URI'] .= '?'.$_SERVER['QUERY_STRING'];
106 }
107 if($_SERVER['REQUEST_URI']) {
108 $temp = urldecode($_SERVER['REQUEST_URI']);
109 if(strexists($temp, '<') || strexists($temp, '"')) {
110 $_GET = shtmlspecialchars($_GET);//XSS
111 }
112 }//这里也是安全处理。判断页面请求的字符串 是否存在"<", " ，存在就去除HTML代码，转换为实体。比如"<" => "<"。
113
114 //判断用户登录状态
115 checkauth();//通过UC_CLIENT检查是否登录。
116 $_SGLOBAL['uhash'] = md5($_SGLOBAL['supe_uid']."\t".substr($_SGLOBAL['timestamp'], 0, 6));//$_SGLOBAL['uhash'] 是用来退出的。在退出的链接里会检查请求的URL中uhash是否与系统的对应，对应了才会退出，清除SESSION和COOKIE。
117
118 //用户菜单
119 getuserapp();//获取用户的漫游应用列表
120
121 //处理UC应用
122 $_SCONFIG['uc_status'] = 0;
123 $_SGLOBAL['appmenus'] = $_SGLOBAL['appmenu'] = array();
124 if($_SGLOBAL['app']) {
125 foreach ($_SGLOBAL['app'] as $appid => $value) {
126 if(UC_APPID != $appid) {
127 $_SCONFIG['uc_status'] = 1;
128 }
129 if($value['open']) {
130 if(empty($_SGLOBAL['appmenu'])) {
131 $_SGLOBAL['appmenu'] = $value;
132 } else {
133 $_SGLOBAL['appmenus'][] = $value;
134 }
135 }
136 }
137 }
138
139 ?>
2 /*
3 [UCenter Home] (C) 2007-2008 Comsenz Inc.
4 $Id: common.php 13217 2009-08-21 06:57:53Z liguode $
5 */
6 //UCHOME 代码浅析(1) 核心文件 common.php
7 //分析者: solo => 52php.com.cn || 首发于www.phpig.net
8 //转载请保留此信息。
9
10
11 @define('IN_UCHOME', TRUE);//防止包含文件被非法引用和单独引用而引起系统错误和漏洞。
12 //所有文件都必须包含本文件，所有也就有了IN_UCHOME这个常量，然后在其他每个页面上检测是否有这个常量，如果没有，那么就是单独运行了文件则判定为非法，并终止程序。例如运行：include/space_album.php，由于这个文件是单独运行，没有包含common.php,也就没有IN_UCHOME这个常量，以及需要用到一些uch系统变量如$_SGLOBAL，所以这个文件将无法运行，即使能运行也会产生错误和漏洞，所以不能让这个文件单独运行。
13 define('D_BUG', '0');//是否开启调试模式。默认为0不开启，1为开启。开启后，每个页面底部会打印调试信息，包括服务器信息、GET\POST等内容，以及SQL语句。
14
15 D_BUG?error_reporting(7):error_reporting(0);//是否打开PHP的错误报告。error_reporting 7是最高级别，报告所有错误。0为不显示任何错误信息（如果有致命错误，页面全白，哈哈。）
16 set_magic_quotes_runtime(0);//强制关闭PHP内置的魔术引用（特殊字符转义，如"/"，这样的字符在程序中有特殊含义，如果不转义，会造成错误）。下面会有UCH自己的转义函数。之所以关闭系统的，是为了能更好的控制。（我也不是很明白，反正全都这样用，哈哈）
17
18 $_SGLOBAL = $_SCONFIG = $_SBLOCK = $_TPL = $_SCOOKIE = $_SN = $space = array();//这个简单了，就是初始化UCH核心变量。之所以这样做，也是为了安全。在实际开发产品中。需要注意与外部交互的变量。因为这个时候不初始化变量很容造成漏洞哦。而且不初始化的变量（也就是未定义），会报错:Notice: Undefined variable。所以，童鞋们，一定要养成初始化变量的好习惯。
19
20 //程序目录
21 define('S_ROOT', dirname(__FILE__).DIRECTORY_SEPARATOR);//定义程序的根目录。S_ROOT 的内容是本PHP文件的绝对地址：E:\test\ （我本地的）。接下来这个常量会经常用到。好处：1：方便，不然每个引用文件时都写一大堆路径累啊；2，使用绝对地址比相对地址速度快！
22
23 //基本文件
24 include_once(S_ROOT.'./ver.php');//包含版本文件,里面有X_VER(版本号)，X_RELEASE（日期）。用处：在后台程序会到康盛服务器检查现在的版本是不是最新的。
25 if(!@include_once(S_ROOT.'./config.php')) {//包含系统配置文件（重要），如果包含出错，那么认定为没有安装，跳转到安装页面。
26 header("Location: install/index.php");//安装
27 exit();
28 }
29 include_once(S_ROOT.'./source/function_common.php');//包含核心函数，像转义啊，检查登录啊，每个函数后面再讲
30
31 //时间
32 $mtime = explode(' ', microtime());
33 $_SGLOBAL['timestamp'] = $mtime[1];
34 $_SGLOBAL['supe_starttime'] = $_SGLOBAL['timestamp'] + $mtime[0];//这部分是时间处理，$_SGLOBAL['timestamp']是时间戳，常用变量，$_SGLOBAL['supe_starttime']定义程序开始运行时间，用来和结束时间比较，得出程序运行时间。
35
36 //GPC过滤
37 $magic_quote = get_magic_quotes_gpc();
38 if(empty($magic_quote)) {//再次检查系统转义是否开启，如果没开启，就用自定义的函数进行转义
39 $_GET = saddslashes($_GET);
40 $_POST = saddslashes($_POST);
41 }
42
43 //本站URL
44 if(empty($_SC['siteurl'])) $_SC['siteurl'] = getsiteurl();//取本站的地址，在config.php可以设置。如果没有设置，通过getsiteurl()函数获得。
45
46 //链接数据库
47 dbconnect();//初始化数据库链接，函数所做的的事在function_common.php里。执行后，用$_SGLOBAL['db']就可以执行数据库操作了。
48
49 //缓存文件
50 if(!@include_once(S_ROOT.'./data/data_config.php')) {//包含系统设置缓存文件
51 include_once(S_ROOT.'./source/function_cache.php');//缓存函数集合
52 config_cache();//生成系统设置缓存(就是生成data/data_config.php)，从数据库得到的数据。详情见函数，后面讲
53 include_once(S_ROOT.'./data/data_config.php');
54 }
55 foreach (array('app', 'userapp', 'ad', 'magic') as $value) {
56 @include_once(S_ROOT.'./data/data_'.$value.'.php');//还是包含缓存文件
57 }
58 //这里讲讲这些缓存。
59 //为什么要用缓存：加速。因为这些数据都是基本很少变动的，而且是存在数据库的，如果我们把它直接存在文件里，访问速度会加快很多。因为链接数据库是最慢的。
60 //COOKIE
61 $prelength = strlen($_SC['cookiepre']);//COOIKE前缀长度。默认前缀是uchome_。用前缀的原因防止COOKIE名冲突。
62 foreach($_COOKIE as $key => $val) {
63 if(substr($key, 0, $prelength) == $_SC['cookiepre']) {//给带有系统前缀的cookie（就是我们UCH登录后的COOIKE）转义，然后复制给$_SCOOKIE。
64 $_SCOOKIE[(substr($key, $prelength))] = empty($magic_quote) ? saddslashes($val) : $val;
65 }
66 }
67 //tips : 其实我们可以在程序的开始直接把所有的$_GET\$_POST\$_COOKIE都转义。
68
69 //启用GIP
70 if ($_SC['gzipcompress'] && function_exists('ob_gzhandler')) {//这个就是启用页面缓冲。把所以数据放到内存，统一输出。加速。
71 ob_start('ob_gzhandler');
72 } else {
73 ob_start();
74 }
75
76 //初始化
77 $_SGLOBAL['supe_uid'] = 0;
78 $_SGLOBAL['supe_username'] = '';
79 $_SGLOBAL['inajax'] = empty($_GET['inajax'])?0:intval($_GET['inajax']);
80 $_SGLOBAL['mobile'] = empty($_GET['mobile'])?'':trim($_GET['mobile']);
81 $_SGLOBAL['ajaxmenuid'] = empty($_GET['ajaxmenuid'])?'':$_GET['ajaxmenuid'];
82 $_SGLOBAL['refer'] = empty($_SERVER['HTTP_REFERER'])?'':$_SERVER['HTTP_REFERER'];
83 if(empty($_GET['m_timestamp']) || $_SGLOBAL['mobile'] != md5($_GET['m_timestamp']."\t".$_SCONFIG['sitekey'])) $_SGLOBAL['mobile'] = '';//这个$_SGLOBAL['mobile']是手机访问。但没啥用
84
85 //登录注册防灌水机
86 if(empty($_SCONFIG['login_action'])) $_SCONFIG['login_action'] = md5('login'.md5($_SCONFIG['sitekey']));
87 if(empty($_SCONFIG['register_action'])) $_SCONFIG['register_action'] = md5('register'.md5($_SCONFIG['sitekey']));//机密系统登录和注册的页面
88
89 //整站风格
90 if(empty($_SCONFIG['template'])) {
91 $_SCONFIG['template'] = 'default';//如果没有定义模板，就用默认模板。
92 }
93 if($_SCOOKIE['mytemplate']) {//用户自定义风格。
94 $_SCOOKIE['mytemplate'] = str_replace('.','',trim($_SCOOKIE['mytemplate']));
95 if(file_exists(S_ROOT.'./template/'.$_SCOOKIE['mytemplate'].'/style.css')) {
96 $_SCONFIG['template'] = $_SCOOKIE['mytemplate'];
97 } else {
98 ssetcookie('mytemplate', '', 365000);
99 }
100 }
101
102 //处理REQUEST_URI
103 if(!isset($_SERVER['REQUEST_URI'])) {
104 $_SERVER['REQUEST_URI'] = $_SERVER['PHP_SELF'];
105 if(isset($_SERVER['QUERY_STRING'])) $_SERVER['REQUEST_URI'] .= '?'.$_SERVER['QUERY_STRING'];
106 }
107 if($_SERVER['REQUEST_URI']) {
108 $temp = urldecode($_SERVER['REQUEST_URI']);
109 if(strexists($temp, '<') || strexists($temp, '"')) {
110 $_GET = shtmlspecialchars($_GET);//XSS
111 }
112 }//这里也是安全处理。判断页面请求的字符串 是否存在"<", " ，存在就去除HTML代码，转换为实体。比如"<" => "<"。
113
114 //判断用户登录状态
115 checkauth();//通过UC_CLIENT检查是否登录。
116 $_SGLOBAL['uhash'] = md5($_SGLOBAL['supe_uid']."\t".substr($_SGLOBAL['timestamp'], 0, 6));//$_SGLOBAL['uhash'] 是用来退出的。在退出的链接里会检查请求的URL中uhash是否与系统的对应，对应了才会退出，清除SESSION和COOKIE。
117
118 //用户菜单
119 getuserapp();//获取用户的漫游应用列表
120
121 //处理UC应用
122 $_SCONFIG['uc_status'] = 0;
123 $_SGLOBAL['appmenus'] = $_SGLOBAL['appmenu'] = array();
124 if($_SGLOBAL['app']) {
125 foreach ($_SGLOBAL['app'] as $appid => $value) {
126 if(UC_APPID != $appid) {
127 $_SCONFIG['uc_status'] = 1;
128 }
129 if($value['open']) {
130 if(empty($_SGLOBAL['appmenu'])) {
131 $_SGLOBAL['appmenu'] = $value;
132 } else {
133 $_SGLOBAL['appmenus'][] = $value;
134 }
135 }
136 }
137 }
138
139 ?>
