開源電商/論壇系統代碼審計實錄：Ecshop、Discuz! 為何不適合嚴肅生產環境

開源電商/論壇系統代碼審計實錄：Ecshop、Discuz! 為何不適合嚴肅生產環境

初次接觸 Ecshop、Discuz! 時，免費開源且功能豐富令人驚嘆。但深入二次開發、審計核心代碼後發現：這些系統存在根本性架構缺陷，無法支撐高併發、高安全要求的生產環境。本文針對兩大核心問題——SQL 拼接普遍化與輸入轉義缺失——進行深度剖析。

一、數據庫訪問層：全量 SQL 拼接，零預處理

Ecshop 核心模型 cls_mysql 封裝的是 mysql_* 系列函數（已棄用），所有查詢均採用字串拼接：

// Ecshop 典型查詢
$w_openid = $db->getOne("SELECT `wxid` FROM `wxch_user` WHERE `wxid` = '$openid'");

// 典型寫入
$wxch_user_sql = "INSERT INTO `$thistable` (`user_name`,`password`,`field3`,`field4`) 
  VALUES ('$variable1','$variable2','value3','value4')";
$db->query($wxch_user_sql);

後果：

• 無法利用預處理語句的解析緩存、參數綁定防注入、批量執行效率三大優勢。
• 高併發下，重複解析相同 SQL 結構佔用大量 CPU，MySQL 查詢緩存失效（因 SQL 文本含變量值不同）。
• 連接方式仍用 mysql_connect，不支援 mysqli 的多語句、事務控制、SSL 等新特性。

正確做法（mysqli / PDO）

// mysqli 預處理
$mysqli = new mysqli("host", "user", "pass", "db");
$stmt = $mysqli->prepare("INSERT INTO `user` (`name`, `pwd`) VALUES (?, ?)");
$stmt->bind_param("ss", $safe_name, $safe_pwd);
$stmt->execute();

// PDO
$pdo->prepare("INSERT INTO `user` (`name`, `pwd`) VALUES (:name, :pwd)")
    ->execute([':name'=>$safe_name, ':pwd'=>$safe_pwd]);

二、安全防護：幾乎零轉義，SQL 注入遍地

代碼庫中極少見 mysql_real_escape_string() 或 addslashes()：

// 危險代碼：直接拼接 $_POST
$unsafe = $_POST["user-input"];
$sql = "INSERT INTO `t` (`col`) VALUES ('$unsafe')"; // 注入點

正確姿勢（若必須用舊 API）：

$unsafe = $_POST["user-input"];
$safe = mysql_real_escape_string($unsafe); // 必須在連接建立後調用
$sql = "INSERT INTO `t` (`col`) VALUES ('$safe')";

實測：裸露 Ecshop/Discuz! 論壇上線 24h 內即被掃描機器人發現並注入垃圾帖、廣告帳號。修補成本極高，需全站掃描所有 $_GET/$_POST/$_REQUEST 入口。

三、其他架構短板

• 模板引擎：自研模板語法，無沙箱，{php}... 標籤可直接執行 PHP，模板注入風險極高。
• 緩存機制：文件緩存無鎖、無原子性，高併發下極易損壞；不支援 Redis/Memcached 集群。
• 自動加載：無 PSR-4，require_once 到處硬編碼，擴展性極差。
• 彙率/插件機制：掛鉤點少、耦合深，二次開發往往需修改核心文件，升級困難。

四、商業版與開源版的本質區別

開發這些產品的公司（如上海商創、騰訊）技術實力雄厚，但高質量代碼、安全審計、架構重構都集中在商業授權版/雲服務版。開源版本更多是「引流產品」「教學樣本」，社區維護力度有限，已知漏洞修復周期長。

五、給決策者的建議

1. 學習/原型/低流量內部系統：可用開源版快速搭建，但務必做 WAF、定期掃描、禁用模板 PHP 標籤。
2. 商業項目/高併發/涉財務數據：堅決不要直接用開源版上線。選擇：
• 購買官方商業授權（含安全補丁、技術支持）
• 基於 Laravel/ThinkPHP/Symfony 等現代框架重構，引入成熟擴展包（如 laravel-shop、fecshop）
• SaaS 方案（Shopify、有贊、微盟）

開源不等於「免費且可直接商用」。代碼審計是上線前的必修課，Ecshop/Discuz! 的教訓值得每個 PHP 開發者深思。