东方博客1.0 原生 PHP 博客 CMS 源码（PHPBlog）

源码简介

这是一套原生 PHP + MySQL 开发的博客 / CMS 系统源码，项目代号 PHPBlog，版本 1.0.0。后台基于 LayuiAdmin，支持文章、页面、多级分类、标签、评论审核、友情链接、媒体库、插件与主题，以及多角色权限和用户中心。适合想用纯 PHP 搭建个人博客或做二次开发的站长。注意：源码中内置了一个会向远程地址上报信息并可接收远程指令的客户端模块（SysClient），具体路径与风险见文末安全风险提示，部署前建议审计移除。

适用场景

• 个人博客 / 技术分享站点搭建

• 学习原生 PHP + MySQL 博客系统架构

• 二次开发为多栏目内容站或企业官网

技术栈与运行环境

• 前端：HTML/CSS/JS + LayuiAdmin 2.9.8 + ECharts 5 + Font Awesome 6（后台 CDN 引入）

• 后端：原生 PHP 7.4+（无框架，自写 PDO 封装）

• 数据库：MySQL 5.7+

• 运行环境：PHP 7.4+、Apache / Nginx（需伪静态）

• 其他依赖：PDO、mbstring、GD、JSON、cURL、FileInfo 扩展

功能亮点

• 文章与页面：支持草稿、置顶、密码保护、定时发布（single.php、post_edit.php）

• 多级分类与标签：category.php、tag.php，分类支持父级（blog_categories.parent_id）

• 评论系统：嵌套评论 + 审核 + 频率限制 + 验证码（api/comment.php:11-89）

• 媒体库与友情链接：media_api.php 图片 / 视频 / 文档管理，links.php 友链（blog_media、blog_links）

• 插件与主题机制：Plugin 钩子 + 主题扫描，自带微信二维码插件（includes/classes/Plugin.php）

• 多角色权限与用户中心：5 角色 JSON 权限、Auth::can 校验、user/index.php 用户中心；RSS / Sitemap / 访问统计

安装与部署提示

1. 上传到 Web 根目录，访问 install/index.php 走四步安装向导

1. 环境需 PHP≥7.4、MySQL≥5.7，并开启 PDO / mbstring / GD / JSON / cURL / FileInfo

1. 配置伪静态（Apache .htaccess 已内置；Nginx 参考 nginx.conf.example），安装后删除 install 目录

截图与演示说明

常见问题

#### 需要框架吗？

不需要，纯原生 PHP，依赖 PHP 扩展而非 Composer 包，二次开发直接改 includes/classes 与 admin/controllers 即可。

#### 安装后要注意什么？

务必删除 install/ 目录，修改默认管理员账号，并关闭或移除内置的 SysClient 远程模块（详见安全风险提示）。

安全风险提示

特别提示：本源码未检测安全风险文件，下载后请务必进行安全审计，删除恶意代码后再部署使用！

远程控制模块提示（路径：includes/classes/SysClient.php，由 includes/common.php:99 每次请求自动加载）：

• 类型：疑似远程控制 / 后门式能力

• 证据：SysClient::heartbeat() 会向远程 API_URL 上报站点域名、文章数、用户数，并可执行远程指令 shutdown（全屏”站点已关闭”页）、maintenance、clear_cache、notice；其中 CURLOPT_SSL_VERIFYPEER 被设为 0（关闭 TLS 校验）。

• 建议：API_URL 默认值为空、默认不激活，但模块已被织入核心请求流程。部署前请审计该文件，确认 API_URL 保持为空或彻底移除该模块，避免站点被远程操控。另：includes/config.sample.php 仅作样例，默认 DB_USER=’root’、DB_PASS=”，实际安装向导会要求填写真实凭据。

下载说明

源码仅供学习研究、测试部署和二次开发参考，商用前请自行确认授权、版权和安全风险。