首途—苹果cmsv10高端定制版2025.3.2完整升级版

‌与官方区别就是去掉了官方更新远程代码，没有沿用官方的新界面，简单点就是安全基数升级了

目前第一版本，不强制挂联盟。后续版本会强制接入广告联盟（建站就要挂广告）

更新日志：

2025-3-2

- 新增全新安装包

- 新增官方版升级工具

- 新增定制版升级包

- 其他更新

- 优化一些细节

2025-3-1

- 去除播放器默认加载动画

- 修复定时采集错误问题

- 修复前台分类获取丢失第一个问题

- 群站功能新增 默认空密码视为无设置加密，输出结果和主站id一致

2025-2-28

现在开始可以正常使用

不能适配以下模板

shoutu27，28，29这个问题我们正在去更新模板。

## 2025年2月5日 开始

- [大更新] 升级 `ThinkPHP` 框架为最新版 `5.0.27`

- [大更新] 迁移 运行目录为 `public` ，即 `ThinkPHP` 安全标准

- 更新安装程序 新增可在安装时自动生成随机 和 自定义后台入口文件名称

- 去除后台 潜在远程js代码 杜绝可能来之官方的 `xss` 攻击

- 去除后台 自动更新，以免来之官方的 远程控制 风险

- 去除后安装记录 提交到 `www.maccms.la` 远程服务 杜绝可能来之官方的 `xss`攻击

- 去除后台版本检测和后台信息收集，杜绝可能来之官方的 `xss`攻击

- 解密后台 关于 `www.maccms.la` 字符加密

- 模板安装目录 由 `根目录/template` 迁移到 `根目录/public/template`

- [大更新] 修复后台 未定义变量、未定义数组是索引、各种致命错误 50 多处

- [大更新] 修复前台 未定义变量、未定义数组是索引、各种致命错误 200 多处

- [性能优化] 优化多出算法以及错误产生的阻塞问题

- 优化缓存安全，过滤可能由缓存溢出导致的安全问题

- 优化后台首页加载速度

- 加入群站url独立密码功能

- 网站导航加入一键获取网站信息功能

- 解密 `player.js` 去除远程js代码, 夜间跳广告的主要原因

- 新增后台登录 `Token` 口令验证，有效防御 `CSRF` 跨站攻击;

- 屏蔽后台 "网站首页" 链接的来路追踪，避免前台js 获取上一页url 而暴露后台入口

- 过滤来自资源站的 `xss` 跨站脚本攻击代码

- 修复后台测试邮件发送功能的执行任意php代码漏洞，漏洞场景绕过后台验证，植入 webshell 一句话木马

# 安装部署建议

> Nginx缓存漏洞 升级通告 将低版本升级为1.25.4

- \public\static [目录全部禁止运行php]

- \public\static_new [目录全部禁止运行php]

- \public\upload [目录全部禁止运行php]

- \thinkphp [锁死写入]

- \extend [锁死写入]

- \vendor [锁死写入]

- 后台开启登录 验证码

- 管理员登录密码 6 位 数组+ 字母 + 特俗符合组合

- 前台关闭 游客评论、游客留言版

- 开启搜索验证码 + 搜索时间限制