简介一套基于PHP开发的易居CMS房产网站系统面向网站建设者、PHP开发人员及房地产平台运营者用于快速搭建房源展示、搜索与用户管理一体化的门户站点。资源包共2000个文件压缩后约48.1MB其中包含453个PHP脚本、378个PNG图片、357个HTM页面、310个JS文件及121个CSS样式等文件类型覆盖后端逻辑、前端交互、视觉素材与数据库配置结构相对完整。系统具备用户注册登录、房源发布、条件筛选、后台管理等功能源码采用面向对象与MVC分层思路便于阅读和二次开发同时附带SQL数据库文件、运行配置及少量说明文档部署时可直接导入使用。目前已有237人学习下载适合有一定PHP和Web基础、希望实践整站开发或快速打造房产信息平台的开发者。1. 基于 PHP 的易居 CMS 房产系统到底是个什么玩意儿如果你拿到一个 zip 压缩包里面躺着不少.bak结尾的 PHP 文件别急着删掉它们——这批备份文件通常是从老旧的生产服务器上拷下来的最后一份可运行代码比你去网上找二次开发教程实在得多。这套“易居 CMS 房产网站系统”就是用 PHP 写的一整套房产信息管理方案面向房产中介、售楼处和个人站长核心能力是房源录入、多条件搜索、详情展示、用户留言和后台管理。技术栈很朴素PHP MySQL前端混用 Bootstrap 和 AmazeUI入口文件里还能看到Minipro.php这类小程序接口说明它不止管 PC 站还可以给 H5 或小程序提供数据。适读人群很明确一是要把旧系统重新跑起来的人二是想拆一套完整 PHP CMS 学习项目结构的开发者三是需要快速搭房产信息站的运维。它不是一个文档漂漂亮亮的商业产品而是一套必须亲自动手收拾一遍才能跑顺的 PHP 源码折腾过程本身就是价值。2. 解压先看目录PHP 备份文件、前端资源与配置项拆解2.1 压缩包里的文件结构和 .bak 文件的含义解压后第一件事不是急着配环境而是把文件分布看明白。Minipro.php.bak、App.php.bak、Driver.php.bak、Testing.php.bak这类文件命名规律很典型.bak是上一版或本地开发版的备份。比如App.php.bak可能是主入口的旧副本Minipro.php.bak是小程序接口入口的备份Driver.php.bak多半是数据库操作驱动封装Testing.php.bak可能是安装探测或接口测试脚本。这些备份文件里经常残留调试输出、测试接口甚至数据库连接信息不能直接改名成.php丢上线先 diff 一下差异。unzip 基于PHP的易居cms房产网站系统.zip -d yiju_cms cd yiju_cms find . -type f \( -name *.php -o -name *.bak \) | head -50 diff App.php App.php.bak | head -30unzip -d把压缩包解压到指定目录避免文件散落当前目录find列出所有 PHP 文件和备份文件head -50防止文件太多刷屏diff对比入口文件和备份的差异如果差异集中在数据库连接参数或路径常量那基本可以确定这份.bak是本地开发版本上线时不能直接覆盖。前端资源里的amazeui.min.css和bootstrap.css同时出现说明这套系统前端采用两套 UI 框架AmazeUI 负责移动端和前台展示Bootstrap 负责后台管理界面后续改样式时别找错文件。2.2 数据库配置和站点入口文件怎么定位老式 PHP CMS 的配置文件位置很随缘常见路径是config.php、include/config.php、data/config.php、inc/config.inc.php。与其逐个目录翻不如直接通过数据库连接函数定位。grep -rniE mysql(_i)?_connect|new PDO --include*.php . | head -30-r递归查询-i忽略大小写-E使用扩展正则把mysql_connect、mysqli_connect、new PDO全部覆盖到。结果里出现次数最多的文件基本就是全站数据库连接入口配置项一般紧挨着函数定义。这类系统常见配置写法如下define(DB_HOST, localhost); define(DB_USER, root); define(DB_PASS, 123456); define(DB_NAME, yiju); define(SITE_URL, http://localhost/yiju/);打开后要看三个点数据库名是否和压缩包里的.sql文件名一致DB_HOST是否为localhost如果数据库跑在独立服务器上要改成对应内网 IPSITE_URL是否以斜杠结尾这直接影响 CSS、JS 和图片的绝对路径拼接。如果你搜遍全站都找不到mysql_connect那配置可能在install/目录里首次访问install.php引导生成配置这种情况要先把安装目录权限处理好避免被恶意重装。2.3 PHP 版本和扩展检查清单在导入数据库之前先确认运行环境满足要求。这套源码从.bak的命名习惯和短标签使用情况看大概率出生在 PHP 5.x 时代到了 PHP 7 和 PHP 8 会遇到函数移除和语法兼容问题。先在命令行做一次快速体检php -v php -m | grep -iE pdo|mysqli|mbstring|gd|curl|openssl php -r echo php_ini_loaded_file();php -v查看版本php -m列出加载模块php_ini_loaded_file()输出当前加载的 php.ini 路径后面改短标签配置就是去改这个文件。常见扩展和缺失表现如下扩展用途缺失时的表现pdo_mysql参数化查询、数据库连接首页和列表页直接 500mysqli兼容老代码过程式查询登录后台失败、房源无法保存mbstring中文字符串截取和转换标题截断成乱码、搜索关键词匹配失败gd验证码生成、图片缩略验证码不显示、上传图片不生成缩略图curl调用小程序接口、第三方地图房源定位或消息推送超时openssl密码加密、支付回调验签报 SSL certificate 类错误这里最容易踩的坑是系统里部分数据表用utf8mb4_unicode_ci而 MySQL 5.6 及以下默认字符集是utf8导入时和连接时字符集不一致中文搜索会失效。表结构是 utf8mb4但 PHP 连接串没写set_charset(utf8mb4)同样会出现写入变问号的情况。PHP 版本、MySQL 排序规则、连接字符集三者必须对齐才能让房源列表正常渲染。3. 部署到本地从导入数据库到房源列表可访问3.1 建库导库找 SQL 导入点解决 MySQL 字符集问题压缩包里通常会带一个或多个.sql文件也可能压缩成.sql.gz。先找到它再建库导入。find . -type f \( -name *.sql -o -name *.sql.gz \) -exec ls -lh {} \; mysql -uroot -p -e CREATE DATABASE yiju DEFAULT CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci; mysql -uroot -p yiju yiju.sql第一句find把 SQL 文件路径和大小列出来如果文件超过 50MB优先用命令行导入phpMyAdmin 容易卡在max_execution_time第二句创建数据库显式指定utf8mb4和utf8mb4_unicode_ci保证后续建表默认字符集正确第三句把 SQL 文件内容直接导入yiju库。如果你的 SQL 文件和数据库名不一致先改 SQL 文件里的USE语句或者导入后用ALTER DATABASE yiju CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci;纠正。MySQL 8.0 导入老库可能报Unknown collation: utf8mb4_unicode_520_ci这是旧版本 MariaDB 或 MySQL 5.7 特有的排序规则直接替换成标准名称sed -i s/utf8mb4_unicode_520_ci/utf8mb4_unicode_ci/g yiju.sqlsed -i原地替换s/旧值/新值/g是全局替换只动排序规则名称不会影响数据内容。导入后检查一下关键表数量不要只看没有报错就以为成功。可以执行mysql -uroot -p yiju -e SHOW TABLES;数一数表是否和 CMS 的信息架构匹配。如果表数量明显少注意查看导入时是否有DROP TABLE语句造成中途中断。3.2 修改配置文件并处理短标签和绝对路径数据库导入不是难题真正让新手卡住的是老 PHP 代码特有的短标签问题。很多文件里直接写?而不是?phpPHP 7 之后默认禁用短标签访问页面就是一片空白。先用命令查一下有多少文件中招grep -rlP ?(?!php) --include*.php . | head -20-l只输出文件名-P启用 Perl 正则(?!php)匹配没有被php跟随的?。如果输出结果很多可以在 php.ini 里打开短标签vim /etc/php/7.4/cli/php.ini short_open_tag On改完执行php -r var_dump(ini_get(short_open_tag));输出string(1) 1才算生效。如果不想全局开启短标签可以批量把?替换成?php但要小心不能重复改到已经合法的?phpperl -pi -e s/\?(?!php)/\?php/g $(grep -rlP ?(?!php) --include*.php .)perl -p -i原地编辑(?!php)负向前瞻确保?php不会被二次替换。这里提示一下替换完成后必须在浏览器里完整走一遍登录、发布房源、搜索、退出流程因为有些模板文件是运行时拼接的静态搜索不能覆盖所有情况。接下来是路径常量。打开定位到的配置文件常见的是SITE_URL和UPLOAD_PATH。如果你直接用http://localhost/yiju/访问那么SITE_URL要写成http://localhost/yiju/如果你绑定了域名http://house.example.com则要写成带域名的绝对地址否则页面里的 CSS 路径会全部 404。UPLOAD_PATH一般指向upload/或data/attachment/确保该目录存在且可写mkdir -p upload chmod -R 755 uploadchmod 755让 PHP 进程能写入文件同时不让普通用户直接执行目录内脚本。严格一点应该是750并把 owner 设为 PHP-FPM 的运行用户但本地开发用755更方便排错。3.3 把首页和列表页跑起来配置改完访问首页如果仍然报错直接把 PHP 错误打开看真实原因php -d display_errors1 -d error_reportingE_ALL -S 0.0.0.0:8080 -t yiju_cms这条命令用 PHP 内置服务器在 8080 端口跑当前目录display_errors1让错误直接输出到浏览器。看到具体报错后对照下面的常见列表页查询代码检查逻辑$mysqli new mysqli(DB_HOST, DB_USER, DB_PASS, DB_NAME); $mysqli-set_charset(utf8mb4); $page isset($_GET[page]) ? max(1, intval($_GET[page])) : 1; $size 10; $offset ($page - 1) * $size; $sql SELECT id, title, price, area, thumb FROM house ORDER BY id DESC LIMIT $offset, $size; $result $mysqli-query($sql);max(1, intval(...))把page参数强制转成大于等于 1 的整数避免直接拼$_GET[page]造成注入LIMIT $offset, $size中的两个变量都由整型生成可以安全内插。如果想支持 URL 伪静态在.htaccess里加规则RewriteEngine On RewriteRule ^house/([0-9])$ house.php?id$1 [L,QSA]$1是正则捕获的房源 ID[L]表示这是最后一条规则[QSA]追加原有查询字符串。Nginx 环境则写成rewrite ^/house/([0-9])$ /house.php?id$1 last;并重启服务。这一步跑通说明配置、数据库连接和 PHP 语法已经没有大问题。4. 常用改法房源发布、搜索筛选与后台管理的实现边界4.1 房源字段与数据表的关系逛后台之前先把数据表结构搞清楚。房产 CMS 的核心表一般叫house字段设计直接决定搜索和展示能不能撑住业务。表结构大致如下CREATE TABLE house ( id int(11) NOT NULL AUTO_INCREMENT, title varchar(120) NOT NULL, price decimal(12,2) DEFAULT 0.00, area decimal(10,2) DEFAULT 0.00, type tinyint(1) DEFAULT 1, status tinyint(1) DEFAULT 1, thumb varchar(255) DEFAULT , content text, created_at int(11) DEFAULT 0, PRIMARY KEY (id), KEY idx_status_type (status, type) ) ENGINEInnoDB DEFAULT CHARSETutf8mb4;type字段区分新房、二手房、租房status控制上下架price用decimal(12,2)而不是float避免价格累加时出现 0.10.2 的精度误差content是大字段不要放进索引。idx_status_type是组合索引覆盖“状态 类型”这两个最常作为筛选条件的字段。如果你要支持价格区间排序再加一个单列索引ALTER TABLE house ADD KEY idx_price (price);排序查询用ORDER BY price ASC时idx_price能避免 filesort。老系统业务扩张后会发现房源字段越来越多比如朝向、楼层、装修、配套、标签。无脑加列会让单行记录越来越宽查询时 InnoDB 的页缓存效率下降。常见做法是拆一个house_extra扩展表CREATE TABLE house_extra ( house_id int(11) NOT NULL, attr_key varchar(30) NOT NULL, attr_value varchar(255) DEFAULT , PRIMARY KEY (house_id, attr_key) ) ENGINEInnoDB DEFAULT CHARSETutf8mb4;house_id attr_key联合主键按房源 ID 取扩展属性配合列表页的LEFT JOIN使用。注意不要在列表页对attr_value做LIKE %关键词%这种查询用不上索引数据量过十万就会明显卡顿。4.2 搜索条件怎么拼 SQL房产搜索页是最容易写坏的地方。很多老代码直接在循环里做字符串拼接关键词、区域、价格、排序全靠$_GET拼进去结果就是参数一变就报错。推荐的做法是先把条件收进数组再用预处理语句绑定参数$where []; $params []; $types ; if (!empty($_GET[kw])) { $where[] (title LIKE ? OR tags LIKE ?); $kw % . $_GET[kw] . %; $params[] $kw; $params[] $kw; $types . ss; } if (!empty($_GET[min_price])) { $where[] price ?; $params[] floatval($_GET[min_price]); $types . d; } if (!empty($_GET[max_price])) { $where[] price ?; $params[] floatval($_GET[max_price]); $types . d; } $sql SELECT id, title, price, area FROM house WHERE . (count($where) ? implode( AND , $where) : 1) . ORDER BY id DESC LIMIT 10; $stmt $mysqli-prepare($sql); if ($stmt) { $stmt-bind_param($types, ...$params); $stmt-execute(); }$types是参数类型占位符s表示字符串d表示浮点数bind_param的第二个参数用...$params展开数组。LIKE ?部分把%直接放进$kw不要写进 SQL 字符串否则LIKE语法和绑定参数混在一起容易出错。floatval()把价格转成浮点避免用户传数组导致bind_param收到非标量。排序字段如果用用户输入走白名单映射$orderMap [ price price ASC, price_desc price DESC, id id DESC, ]; $order $orderMap[$_GET[order]] ?? id DESC;用户传orderprice;DROP TABLE house时因为数组里没有这个键?? id DESC会取默认值恶意 SQL 进不了查询逻辑。排序白名单这种模式同样适用于后台列表的“每页条数”参数。4.3 后台文件权限和分表策略后台入口一般集中在App.php、Minipro.php、admin/目录。检查这些文件顶部是否有统一的登录鉴权逻辑比如 session 校验或 token 校验。没有的话任何直接访问App.php?actedit的人都能改房源。老系统改造成本最低的方式是在公共入口文件头部统一加一道校验钩子。后台相关目录的权限建议用下表收紧路径建议权限说明config.php440只读禁止 web 进程修改data/750放缓存和附件需要写但不执行代码upload/750上传目录必须禁用 PHP 执行install/删除或改名防止别人重装覆盖配置.bak 文件移出 webroot备份代码不应放在公开目录Apache 下禁用 upload 目录的 PHP 解析Directory /var/www/html/yiju/upload php_admin_flag engine off RemoveHandler .php .phtml .php5 /Directoryphp_admin_flag engine off在 mod_php 模式下直接关闭 PHP 引擎RemoveHandler处理 PHP-FPM 托管的情况把.php等后缀的处理器移除。Nginx 环境则要写location ~* \.php$ { deny all; }作用到 upload 目录。这套系统前端是生成 HTML 还是走 PHP 动态渲染决定了配置顺序动态渲染时列表页会扛不住高并发。房源量超过十万条后可以考虑按城市或区域做应用层分表比如house_1、house_2发布时根据城市 ID 路由到对应表。分表属于业务层改造比引入搜索中间件成本低但后台全站搜索如果还要跨所有分表就非常痛苦必须先想清楚运营侧到底有哪些跨地域搜索诉求。5. 上线前值得做的三个加固动作SQL 注入、XSS 和备份恢复5.1 给参数查询套上预处理老 CMS 最大的问题就是$_GET直接拼 SQL。上线前优先把房源详情、搜索、登录、留言这几处改成 PDO 预处理$pdo new PDO($dsn, $user, $pass, [PDO::ATTR_ERRMODE PDO::ERRMODE_EXCEPTION]); $stmt $pdo-prepare(SELECT id, title, price FROM house WHERE id ? AND status 1); $stmt-execute([$_GET[id]]); $house $stmt-fetch(PDO::FETCH_ASSOC);?是位置占位符execute传入数组时PDO 会交给驱动处理转义$_GET[id]即使包含引号和注释符号也不会破坏 SQL 结构。PDO::ATTR_ERRMODE设为异常模式SQL 出错时能快速定位执行到哪一步。LIST 查询里如果还有IN (...)条件参数个数不定可以用array_fill生成占位符$ids array_map(intval, $ids); $placeholders implode(,, array_fill(0, count($ids), ?)); $stmt $pdo-prepare(SELECT id, title FROM house WHERE id IN ($placeholders));array_map(intval)先把每个 ID 强制转整数即使占位符失效也不会注入array_fill(0, count($ids), ?)生成与参数数量相等的问号动态构造出规范的IN子句。5.2 CSP/HTML 转义与上传白名单防 XSS 有两个位置不能漏输出端和富文本内容。老模板几乎都是原生echo $row[title]改成?php echo htmlspecialchars($row[title], ENT_QUOTES, UTF-8); ?ENT_QUOTES会把单引号和双引号都转义UTF-8保证中文不会乱。编辑器内容不能简单htmlspecialchars否则排版丢失常见做法是用 HTMLPurifier 过滤。上传接口要改成扩展名和 MIME 双白名单$allowed [jpg, jpeg, png, gif, webp]; $ext strtolower(pathinfo($_FILES[file][name], PATHINFO_EXTENSION)); if (!in_array($ext, $allowed)) { exit(bad ext); } if (getimagesize($_FILES[file][tmp_name]) false) { exit(not image); } $newName md5(uniqid(, true)) . . . $ext; move_uploaded_file($_FILES[file][tmp_name], upload/ . $newName);pathinfo取扩展名并转小写getimagesize判断文件内容是不是真实图片能过滤掉大部分伪图片 Shell改名后用md5(uniqid())生成随机文件名避免原始文件名里的路径穿越。上传目录的 PHP 执行权限在5.3里已经关掉这里再做一层文件内容校验双保险。5.3 利用 .bak 文件做版本回滚练习资源包里的.bak文件是天然版本镜像。上线前把关键文件备份到独立目录mkdir -p backup for f in $(find . -type f -name *.bak); do cp $f backup/$(basename $f .bak)_$(date %Y%m%d).bak; donebasename $f .bak去掉.bak后缀再拼上日期保证备份文件名可读。上线后如果App.php崩溃而App.php.bak是旧版回滚cp App.php App.php_crash_$(date %s).php cp App.php.bak App.php chmod 644 App.php php -l App.phpdate %s生成时间戳坏文件不会被覆盖php -l做语法检查输出No syntax errors detected再刷新页面。如果系统开了 opcache回滚后要重启 PHP-FPM 或调用opcache_reset()否则浏览器看到的是旧缓存。这套流程跑一遍等于给整个 CMS 建立了一次可重复的应急恢复路径。本文还有配套的精品资源点击获取
PHP房产CMS系统部署实战：从备份文件到上线加固全流程
简介一套基于PHP开发的易居CMS房产网站系统面向网站建设者、PHP开发人员及房地产平台运营者用于快速搭建房源展示、搜索与用户管理一体化的门户站点。资源包共2000个文件压缩后约48.1MB其中包含453个PHP脚本、378个PNG图片、357个HTM页面、310个JS文件及121个CSS样式等文件类型覆盖后端逻辑、前端交互、视觉素材与数据库配置结构相对完整。系统具备用户注册登录、房源发布、条件筛选、后台管理等功能源码采用面向对象与MVC分层思路便于阅读和二次开发同时附带SQL数据库文件、运行配置及少量说明文档部署时可直接导入使用。目前已有237人学习下载适合有一定PHP和Web基础、希望实践整站开发或快速打造房产信息平台的开发者。1. 基于 PHP 的易居 CMS 房产系统到底是个什么玩意儿如果你拿到一个 zip 压缩包里面躺着不少.bak结尾的 PHP 文件别急着删掉它们——这批备份文件通常是从老旧的生产服务器上拷下来的最后一份可运行代码比你去网上找二次开发教程实在得多。这套“易居 CMS 房产网站系统”就是用 PHP 写的一整套房产信息管理方案面向房产中介、售楼处和个人站长核心能力是房源录入、多条件搜索、详情展示、用户留言和后台管理。技术栈很朴素PHP MySQL前端混用 Bootstrap 和 AmazeUI入口文件里还能看到Minipro.php这类小程序接口说明它不止管 PC 站还可以给 H5 或小程序提供数据。适读人群很明确一是要把旧系统重新跑起来的人二是想拆一套完整 PHP CMS 学习项目结构的开发者三是需要快速搭房产信息站的运维。它不是一个文档漂漂亮亮的商业产品而是一套必须亲自动手收拾一遍才能跑顺的 PHP 源码折腾过程本身就是价值。2. 解压先看目录PHP 备份文件、前端资源与配置项拆解2.1 压缩包里的文件结构和 .bak 文件的含义解压后第一件事不是急着配环境而是把文件分布看明白。Minipro.php.bak、App.php.bak、Driver.php.bak、Testing.php.bak这类文件命名规律很典型.bak是上一版或本地开发版的备份。比如App.php.bak可能是主入口的旧副本Minipro.php.bak是小程序接口入口的备份Driver.php.bak多半是数据库操作驱动封装Testing.php.bak可能是安装探测或接口测试脚本。这些备份文件里经常残留调试输出、测试接口甚至数据库连接信息不能直接改名成.php丢上线先 diff 一下差异。unzip 基于PHP的易居cms房产网站系统.zip -d yiju_cms cd yiju_cms find . -type f \( -name *.php -o -name *.bak \) | head -50 diff App.php App.php.bak | head -30unzip -d把压缩包解压到指定目录避免文件散落当前目录find列出所有 PHP 文件和备份文件head -50防止文件太多刷屏diff对比入口文件和备份的差异如果差异集中在数据库连接参数或路径常量那基本可以确定这份.bak是本地开发版本上线时不能直接覆盖。前端资源里的amazeui.min.css和bootstrap.css同时出现说明这套系统前端采用两套 UI 框架AmazeUI 负责移动端和前台展示Bootstrap 负责后台管理界面后续改样式时别找错文件。2.2 数据库配置和站点入口文件怎么定位老式 PHP CMS 的配置文件位置很随缘常见路径是config.php、include/config.php、data/config.php、inc/config.inc.php。与其逐个目录翻不如直接通过数据库连接函数定位。grep -rniE mysql(_i)?_connect|new PDO --include*.php . | head -30-r递归查询-i忽略大小写-E使用扩展正则把mysql_connect、mysqli_connect、new PDO全部覆盖到。结果里出现次数最多的文件基本就是全站数据库连接入口配置项一般紧挨着函数定义。这类系统常见配置写法如下define(DB_HOST, localhost); define(DB_USER, root); define(DB_PASS, 123456); define(DB_NAME, yiju); define(SITE_URL, http://localhost/yiju/);打开后要看三个点数据库名是否和压缩包里的.sql文件名一致DB_HOST是否为localhost如果数据库跑在独立服务器上要改成对应内网 IPSITE_URL是否以斜杠结尾这直接影响 CSS、JS 和图片的绝对路径拼接。如果你搜遍全站都找不到mysql_connect那配置可能在install/目录里首次访问install.php引导生成配置这种情况要先把安装目录权限处理好避免被恶意重装。2.3 PHP 版本和扩展检查清单在导入数据库之前先确认运行环境满足要求。这套源码从.bak的命名习惯和短标签使用情况看大概率出生在 PHP 5.x 时代到了 PHP 7 和 PHP 8 会遇到函数移除和语法兼容问题。先在命令行做一次快速体检php -v php -m | grep -iE pdo|mysqli|mbstring|gd|curl|openssl php -r echo php_ini_loaded_file();php -v查看版本php -m列出加载模块php_ini_loaded_file()输出当前加载的 php.ini 路径后面改短标签配置就是去改这个文件。常见扩展和缺失表现如下扩展用途缺失时的表现pdo_mysql参数化查询、数据库连接首页和列表页直接 500mysqli兼容老代码过程式查询登录后台失败、房源无法保存mbstring中文字符串截取和转换标题截断成乱码、搜索关键词匹配失败gd验证码生成、图片缩略验证码不显示、上传图片不生成缩略图curl调用小程序接口、第三方地图房源定位或消息推送超时openssl密码加密、支付回调验签报 SSL certificate 类错误这里最容易踩的坑是系统里部分数据表用utf8mb4_unicode_ci而 MySQL 5.6 及以下默认字符集是utf8导入时和连接时字符集不一致中文搜索会失效。表结构是 utf8mb4但 PHP 连接串没写set_charset(utf8mb4)同样会出现写入变问号的情况。PHP 版本、MySQL 排序规则、连接字符集三者必须对齐才能让房源列表正常渲染。3. 部署到本地从导入数据库到房源列表可访问3.1 建库导库找 SQL 导入点解决 MySQL 字符集问题压缩包里通常会带一个或多个.sql文件也可能压缩成.sql.gz。先找到它再建库导入。find . -type f \( -name *.sql -o -name *.sql.gz \) -exec ls -lh {} \; mysql -uroot -p -e CREATE DATABASE yiju DEFAULT CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci; mysql -uroot -p yiju yiju.sql第一句find把 SQL 文件路径和大小列出来如果文件超过 50MB优先用命令行导入phpMyAdmin 容易卡在max_execution_time第二句创建数据库显式指定utf8mb4和utf8mb4_unicode_ci保证后续建表默认字符集正确第三句把 SQL 文件内容直接导入yiju库。如果你的 SQL 文件和数据库名不一致先改 SQL 文件里的USE语句或者导入后用ALTER DATABASE yiju CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci;纠正。MySQL 8.0 导入老库可能报Unknown collation: utf8mb4_unicode_520_ci这是旧版本 MariaDB 或 MySQL 5.7 特有的排序规则直接替换成标准名称sed -i s/utf8mb4_unicode_520_ci/utf8mb4_unicode_ci/g yiju.sqlsed -i原地替换s/旧值/新值/g是全局替换只动排序规则名称不会影响数据内容。导入后检查一下关键表数量不要只看没有报错就以为成功。可以执行mysql -uroot -p yiju -e SHOW TABLES;数一数表是否和 CMS 的信息架构匹配。如果表数量明显少注意查看导入时是否有DROP TABLE语句造成中途中断。3.2 修改配置文件并处理短标签和绝对路径数据库导入不是难题真正让新手卡住的是老 PHP 代码特有的短标签问题。很多文件里直接写?而不是?phpPHP 7 之后默认禁用短标签访问页面就是一片空白。先用命令查一下有多少文件中招grep -rlP ?(?!php) --include*.php . | head -20-l只输出文件名-P启用 Perl 正则(?!php)匹配没有被php跟随的?。如果输出结果很多可以在 php.ini 里打开短标签vim /etc/php/7.4/cli/php.ini short_open_tag On改完执行php -r var_dump(ini_get(short_open_tag));输出string(1) 1才算生效。如果不想全局开启短标签可以批量把?替换成?php但要小心不能重复改到已经合法的?phpperl -pi -e s/\?(?!php)/\?php/g $(grep -rlP ?(?!php) --include*.php .)perl -p -i原地编辑(?!php)负向前瞻确保?php不会被二次替换。这里提示一下替换完成后必须在浏览器里完整走一遍登录、发布房源、搜索、退出流程因为有些模板文件是运行时拼接的静态搜索不能覆盖所有情况。接下来是路径常量。打开定位到的配置文件常见的是SITE_URL和UPLOAD_PATH。如果你直接用http://localhost/yiju/访问那么SITE_URL要写成http://localhost/yiju/如果你绑定了域名http://house.example.com则要写成带域名的绝对地址否则页面里的 CSS 路径会全部 404。UPLOAD_PATH一般指向upload/或data/attachment/确保该目录存在且可写mkdir -p upload chmod -R 755 uploadchmod 755让 PHP 进程能写入文件同时不让普通用户直接执行目录内脚本。严格一点应该是750并把 owner 设为 PHP-FPM 的运行用户但本地开发用755更方便排错。3.3 把首页和列表页跑起来配置改完访问首页如果仍然报错直接把 PHP 错误打开看真实原因php -d display_errors1 -d error_reportingE_ALL -S 0.0.0.0:8080 -t yiju_cms这条命令用 PHP 内置服务器在 8080 端口跑当前目录display_errors1让错误直接输出到浏览器。看到具体报错后对照下面的常见列表页查询代码检查逻辑$mysqli new mysqli(DB_HOST, DB_USER, DB_PASS, DB_NAME); $mysqli-set_charset(utf8mb4); $page isset($_GET[page]) ? max(1, intval($_GET[page])) : 1; $size 10; $offset ($page - 1) * $size; $sql SELECT id, title, price, area, thumb FROM house ORDER BY id DESC LIMIT $offset, $size; $result $mysqli-query($sql);max(1, intval(...))把page参数强制转成大于等于 1 的整数避免直接拼$_GET[page]造成注入LIMIT $offset, $size中的两个变量都由整型生成可以安全内插。如果想支持 URL 伪静态在.htaccess里加规则RewriteEngine On RewriteRule ^house/([0-9])$ house.php?id$1 [L,QSA]$1是正则捕获的房源 ID[L]表示这是最后一条规则[QSA]追加原有查询字符串。Nginx 环境则写成rewrite ^/house/([0-9])$ /house.php?id$1 last;并重启服务。这一步跑通说明配置、数据库连接和 PHP 语法已经没有大问题。4. 常用改法房源发布、搜索筛选与后台管理的实现边界4.1 房源字段与数据表的关系逛后台之前先把数据表结构搞清楚。房产 CMS 的核心表一般叫house字段设计直接决定搜索和展示能不能撑住业务。表结构大致如下CREATE TABLE house ( id int(11) NOT NULL AUTO_INCREMENT, title varchar(120) NOT NULL, price decimal(12,2) DEFAULT 0.00, area decimal(10,2) DEFAULT 0.00, type tinyint(1) DEFAULT 1, status tinyint(1) DEFAULT 1, thumb varchar(255) DEFAULT , content text, created_at int(11) DEFAULT 0, PRIMARY KEY (id), KEY idx_status_type (status, type) ) ENGINEInnoDB DEFAULT CHARSETutf8mb4;type字段区分新房、二手房、租房status控制上下架price用decimal(12,2)而不是float避免价格累加时出现 0.10.2 的精度误差content是大字段不要放进索引。idx_status_type是组合索引覆盖“状态 类型”这两个最常作为筛选条件的字段。如果你要支持价格区间排序再加一个单列索引ALTER TABLE house ADD KEY idx_price (price);排序查询用ORDER BY price ASC时idx_price能避免 filesort。老系统业务扩张后会发现房源字段越来越多比如朝向、楼层、装修、配套、标签。无脑加列会让单行记录越来越宽查询时 InnoDB 的页缓存效率下降。常见做法是拆一个house_extra扩展表CREATE TABLE house_extra ( house_id int(11) NOT NULL, attr_key varchar(30) NOT NULL, attr_value varchar(255) DEFAULT , PRIMARY KEY (house_id, attr_key) ) ENGINEInnoDB DEFAULT CHARSETutf8mb4;house_id attr_key联合主键按房源 ID 取扩展属性配合列表页的LEFT JOIN使用。注意不要在列表页对attr_value做LIKE %关键词%这种查询用不上索引数据量过十万就会明显卡顿。4.2 搜索条件怎么拼 SQL房产搜索页是最容易写坏的地方。很多老代码直接在循环里做字符串拼接关键词、区域、价格、排序全靠$_GET拼进去结果就是参数一变就报错。推荐的做法是先把条件收进数组再用预处理语句绑定参数$where []; $params []; $types ; if (!empty($_GET[kw])) { $where[] (title LIKE ? OR tags LIKE ?); $kw % . $_GET[kw] . %; $params[] $kw; $params[] $kw; $types . ss; } if (!empty($_GET[min_price])) { $where[] price ?; $params[] floatval($_GET[min_price]); $types . d; } if (!empty($_GET[max_price])) { $where[] price ?; $params[] floatval($_GET[max_price]); $types . d; } $sql SELECT id, title, price, area FROM house WHERE . (count($where) ? implode( AND , $where) : 1) . ORDER BY id DESC LIMIT 10; $stmt $mysqli-prepare($sql); if ($stmt) { $stmt-bind_param($types, ...$params); $stmt-execute(); }$types是参数类型占位符s表示字符串d表示浮点数bind_param的第二个参数用...$params展开数组。LIKE ?部分把%直接放进$kw不要写进 SQL 字符串否则LIKE语法和绑定参数混在一起容易出错。floatval()把价格转成浮点避免用户传数组导致bind_param收到非标量。排序字段如果用用户输入走白名单映射$orderMap [ price price ASC, price_desc price DESC, id id DESC, ]; $order $orderMap[$_GET[order]] ?? id DESC;用户传orderprice;DROP TABLE house时因为数组里没有这个键?? id DESC会取默认值恶意 SQL 进不了查询逻辑。排序白名单这种模式同样适用于后台列表的“每页条数”参数。4.3 后台文件权限和分表策略后台入口一般集中在App.php、Minipro.php、admin/目录。检查这些文件顶部是否有统一的登录鉴权逻辑比如 session 校验或 token 校验。没有的话任何直接访问App.php?actedit的人都能改房源。老系统改造成本最低的方式是在公共入口文件头部统一加一道校验钩子。后台相关目录的权限建议用下表收紧路径建议权限说明config.php440只读禁止 web 进程修改data/750放缓存和附件需要写但不执行代码upload/750上传目录必须禁用 PHP 执行install/删除或改名防止别人重装覆盖配置.bak 文件移出 webroot备份代码不应放在公开目录Apache 下禁用 upload 目录的 PHP 解析Directory /var/www/html/yiju/upload php_admin_flag engine off RemoveHandler .php .phtml .php5 /Directoryphp_admin_flag engine off在 mod_php 模式下直接关闭 PHP 引擎RemoveHandler处理 PHP-FPM 托管的情况把.php等后缀的处理器移除。Nginx 环境则要写location ~* \.php$ { deny all; }作用到 upload 目录。这套系统前端是生成 HTML 还是走 PHP 动态渲染决定了配置顺序动态渲染时列表页会扛不住高并发。房源量超过十万条后可以考虑按城市或区域做应用层分表比如house_1、house_2发布时根据城市 ID 路由到对应表。分表属于业务层改造比引入搜索中间件成本低但后台全站搜索如果还要跨所有分表就非常痛苦必须先想清楚运营侧到底有哪些跨地域搜索诉求。5. 上线前值得做的三个加固动作SQL 注入、XSS 和备份恢复5.1 给参数查询套上预处理老 CMS 最大的问题就是$_GET直接拼 SQL。上线前优先把房源详情、搜索、登录、留言这几处改成 PDO 预处理$pdo new PDO($dsn, $user, $pass, [PDO::ATTR_ERRMODE PDO::ERRMODE_EXCEPTION]); $stmt $pdo-prepare(SELECT id, title, price FROM house WHERE id ? AND status 1); $stmt-execute([$_GET[id]]); $house $stmt-fetch(PDO::FETCH_ASSOC);?是位置占位符execute传入数组时PDO 会交给驱动处理转义$_GET[id]即使包含引号和注释符号也不会破坏 SQL 结构。PDO::ATTR_ERRMODE设为异常模式SQL 出错时能快速定位执行到哪一步。LIST 查询里如果还有IN (...)条件参数个数不定可以用array_fill生成占位符$ids array_map(intval, $ids); $placeholders implode(,, array_fill(0, count($ids), ?)); $stmt $pdo-prepare(SELECT id, title FROM house WHERE id IN ($placeholders));array_map(intval)先把每个 ID 强制转整数即使占位符失效也不会注入array_fill(0, count($ids), ?)生成与参数数量相等的问号动态构造出规范的IN子句。5.2 CSP/HTML 转义与上传白名单防 XSS 有两个位置不能漏输出端和富文本内容。老模板几乎都是原生echo $row[title]改成?php echo htmlspecialchars($row[title], ENT_QUOTES, UTF-8); ?ENT_QUOTES会把单引号和双引号都转义UTF-8保证中文不会乱。编辑器内容不能简单htmlspecialchars否则排版丢失常见做法是用 HTMLPurifier 过滤。上传接口要改成扩展名和 MIME 双白名单$allowed [jpg, jpeg, png, gif, webp]; $ext strtolower(pathinfo($_FILES[file][name], PATHINFO_EXTENSION)); if (!in_array($ext, $allowed)) { exit(bad ext); } if (getimagesize($_FILES[file][tmp_name]) false) { exit(not image); } $newName md5(uniqid(, true)) . . . $ext; move_uploaded_file($_FILES[file][tmp_name], upload/ . $newName);pathinfo取扩展名并转小写getimagesize判断文件内容是不是真实图片能过滤掉大部分伪图片 Shell改名后用md5(uniqid())生成随机文件名避免原始文件名里的路径穿越。上传目录的 PHP 执行权限在5.3里已经关掉这里再做一层文件内容校验双保险。5.3 利用 .bak 文件做版本回滚练习资源包里的.bak文件是天然版本镜像。上线前把关键文件备份到独立目录mkdir -p backup for f in $(find . -type f -name *.bak); do cp $f backup/$(basename $f .bak)_$(date %Y%m%d).bak; donebasename $f .bak去掉.bak后缀再拼上日期保证备份文件名可读。上线后如果App.php崩溃而App.php.bak是旧版回滚cp App.php App.php_crash_$(date %s).php cp App.php.bak App.php chmod 644 App.php php -l App.phpdate %s生成时间戳坏文件不会被覆盖php -l做语法检查输出No syntax errors detected再刷新页面。如果系统开了 opcache回滚后要重启 PHP-FPM 或调用opcache_reset()否则浏览器看到的是旧缓存。这套流程跑一遍等于给整个 CMS 建立了一次可重复的应急恢复路径。本文还有配套的精品资源点击获取
