1.修复上传漏洞和SQL注入漏洞-增强登录验证功能

config/upload.php

@@ -16,6 +16,10 @@ return [
      * 2. 千万不要允许 php,php5,.htaccess,.user.ini 等可执行或配置文件
      * 3. 允许 pdf,ppt,docx 等可能含有脚本的文件时，请先从服务器配置此类文件直接下载而不是预览
      */
-    'allowed_suffixes'   => 'jpg,png,bmp,jpeg,gif,webp,zip,rar,wav,mp4,mp3',
+    'allowed_suffixes'   => 'jpg,png,bmp,jpeg,gif,webp,wav,mp4,mp3',
     'allowed_mime_types' => [],
+    // 禁止上传的后缀（含双后缀检测，如 shell.php.jpg）
+    'forbidden_suffixes' => 'php,php3,php4,php5,php7,php8,phtml,phar,htaccess,htpasswd,user.ini,asp,aspx,jsp,jspx,cgi,pl,sh,bat,cmd,exe,dll,vbs,ps1,com,shtml',
+    // 允许使用的上传驱动（禁止通过 driver 参数加载任意类）
+    'allowed_drivers'    => 'local',
 ];