尧图网站建设 
简介这是一个免费可用的 SDCMS 网站管理系统资源包基于 ASP 开发面向需要快速搭建内容站点或对现有系统进行二次开发的网站管理员、前端开发者和 ASP 学习者。系统后台设置简单灵活可在不修改源码的前提下扩展系统分组、系统字段、内容模型与自定义表单并支持前台列表显示和自定义模板适用于企业网站、信息发布及在线表单等场景。包内共 521 个文件压缩包约 2.47MB其中 95 个 ASP 文件承担后台逻辑与数据接口96 个 HTML、69 个 JS 与 38 个 CSS 组成前端页面和交互效果128 个 GIF、53 个 PNG 等提供图片素材另有 SQL/DB 数据库文件及字体图标文件结构清晰。已有 158 人学习下载。通过该资源可研究 SDCMS 的后台扩展机制、自定义表单与自定义 JS 的接入方式包内含后台管理、栏目、内容、上传、验证码等常见 ASP 逻辑可直接部署后按需调整字段、模板和脚本节省从零开发的时间是 ASP 建站与二次开发的实用参考。1. sdcms 给的是什么免费开源、后台可配自定义 JS 与表单都在这里落地sdcms 是一套国产的 PHP 建站系统免费授权和后台可视化配置是它最吸引人的两个点。拿到sdcms_web (1).rar这种压缩包解开通常就是完整的 web 项目源码前台模板、后台管理程序和安装向导都齐了。对做企业展示站、学校网站或内部信息系统的工程师而言它的价值在于把往页面插入 JS 特效和收集访客表单两件事从改代码层面抬高到了后台配置层面——不用翻源码就能挂统计脚本也能把表单绑定到指定栏目。下面按部署、自定义 JS、自定义表单、安全排错的顺序把这条路走通适合接外包的 PHP 工程师、正在维护 sdcms 站点的运维以及想把静态页升级成动态站的技术爱好者。2. 环境准备与 sdcms_web 部署从 RAR 解压到建库的最小路径2.1 运行环境PHP 版本、扩展与目录权限的三个注意点sdcms 常见的部署环境是 PHP 7.4 加 MySQL 5.7搭配 Nginx 或 Apache。推荐 7.4 而不是更新版本是因为老程序里部分代码仍依赖 PHP 7 时代的行为某些函数从 PHP 8 开始对参数类型更严格直接上 8.x 容易在安装向导或者后台列表页报 deprecation 警告。部署前先确认下表里的检查项每一项缺了都会直接影响安装过程。检查项推荐值缺了会怎样PHP 版本7.4 LTS安装页白屏或函数不存在报错扩展 pdo_mysql已启用数据库连接直接失败扩展 mbstring已启用后台中文内容乱码扩展 gd已启用验证码图片不显示uploads 目录权限755 且属主为 www附件上传失败、模板无法更新验证这些条件只需要两条命令php -v看版本php -m | grep -E pdo_mysql|mbstring|gd看扩展输出。如果 grep 结果缺项在宝塔面板的 PHP 设置页勾选对应扩展后重启 PHP-FPM如果维护的是裸机 LNMP 环境用apt install php7.4-mbstring php7.4-gd补上。另外一台服务器要用 Nginx 部署多个 web 项目时每个 sdcms 站点务必单独配置 server 块并把 root 指向各自站点目录避免伪静态规则互相覆盖导致后台菜单 404。2.2 解压 sdcms_web 的正确姿势别跳过不可见文件标题里带.rar这个环节的坑主要是换机解压导致的文件缺失。Windows 上右键解压一次、传到 Linux 又解压一次两次解压的字符集和隐藏文件处理可能不一致。常见做法是本地解压后用 find 清理 macOS 生成的.DS_Store和 Windows 的 Thumbs.db再打成 tar 包上传服务器端解包后统一文件属主。# 本地先解压 rar清理多余文件后再重新打包 unrar x sdcms_web (1).rar sdcms_src/ find sdcms_src -name .DS_Store -o -name Thumbs.db | xargs rm -f tar czf sdcms_clean.tar.gz -C sdcms_src . # 服务器端解包并统一属主 mkdir -p /www/wwwroot/sdcms tar xzf sdcms_clean.tar.gz -C /www/wwwroot/sdcms chown -R www:www /www/wwwroot/sdcms chmod -R 755 /www/wwwroot/sdcms/uploadstar czf里的-C sdcms_src .表示打包目录内容而不是连目录名一起包进去解包后文件直接落在站点根目录chown统一属主是为让 PHP-FPM 写入缓存和上传目录时不至于权限不足。解包后还要检查config/下有没有config.php.bak、config.php~这类备份文件有就删掉——安装配置里包含数据库账号密码被访问到等于把数据库凭据拱手送人。用ls -la查看有没有异常软链接sdcms 本身不需要软链接出现指向系统目录的记录基本可以判断压缩包被改动过建议弃用。2.3 安装向导数据库配置与后台入口源码就位后浏览器访问域名会自动跳到/install/index.php。需要填写数据库主机、库名、账号、密码和初始管理员账号。两个参数容易被忽略数据库主机本机部署写localhost一般没问题但 MySQL 通过/var/run/mysqld/mysqld.sock监听而 PHP 配置的 socket 路径不一致时程序会误报连接失败把主机改成127.0.0.1:3306走 TCP 更稳数据表前缀默认sdcms_一台服务器跑多个站点时改成独立前缀方便将来只备份某个站的数据。安装过程报错先看页面提示再看 PHP 错误日志。SQLSTATE[HY000] [2002]表示连不上 MySQL检查 MySQL 是否启动、端口是否被占用出现函数不存在报错则多半是 PHP 版本过高退回 7.4 再试。安装完成后立即清理这一步别拖# 删除安装目录防止重新安装覆盖配置 rm -rf /www/wwwroot/sdcms/install # 修改后台入口文件名避免扫描器直接命中默认路径 mv /www/wwwroot/sdcms/admin.php /www/wwwroot/sdcms/myadmin.phprm -rf install是安装完成后的第一步清理mv admin.php myadmin.php把后台入口改成不易猜的名字之后通过/myadmin.php登录。保留 install 目录导致站点被重装的案例不少旧站迁移时也要顺手处理。3. sdcms 自定义 JS先在后台写一段能被模板引用的脚本3.1 后台自定义JS的存储机制与调用时机sdcms 后台的自定义 JS本质是文本存储模型编辑器里粘贴的 JavaScript 代码保存时被转义后写入数据表前台模板用占位符引用时再原样输出。理解这个机制对排错很有帮助——代码里出现未转义的单引号可能被后台函数截断导致页面只输出半段 JS。不同版本后台菜单命名不一样有的叫自定义JS有的叫网页特效特征是在菜单下能看到一段可编辑的代码区域。需要特别区分两个配置项头部JS和页面底部JS。头部 JS 输出在head结束标签前适合放统计代码和第三方 SDK底部 JS 输出在/body前适合放依赖 DOM 加载的交互逻辑。设置完记得在后台模板管理里更新缓存sdcms 的模板引擎会把编译结果缓存成 PHP 文件不更新缓存的话改完页面纹丝不动。3.2 在模板标签里输出自定义 JS 代码sdcms 模板里的自定义 JS 输出有两种形式全局占位符{sdcms:js}和变量形式{$web_config[custom_js]}。前者更贴近模板引擎习惯后者方便在逻辑中二次处理使用哪个以你安装版本支持为准。在默认模板的 header 文件里找到head标签插入head meta charsetutf-8 title{sdcms:title}/title {sdcms:js} /head{sdcms:js}被解析后后台填写的完整代码会插入到该位置如果用底部配置项把占位符移到/body前面。这里有个常见编码坑后台编辑器会把转义粘贴a b保存后变成a amp;amp; b浏览器解析 HTML 时会还原成但如果模板转成纯文本输出或走了 JSON 接口这个还原不会发生控制台报 Unexpected token。遇到这种情况把逻辑改成a and b或直接写#38;#38;。3.3 自定义 JS 的三种典型用法验证码刷新、异步提交与统计上报把 JS 写进后台只是第一步能用起来的场景有三种验证码刷新、异步表单提交和统计上报。验证码图片点击不换是常见投诉原因是浏览器把同一 URL 缓存了加时间戳参数即可异步提交表单要保留控件的 name 属性sdcms 后端依赖$_POST里的字段名取数统计上报监听点击事件把数据拼接成 URL 发给统计接口。场景核心代码关键注意点验证码刷新this.src.split(?)[0] ?t Date.now()选择器要匹配模板实际 class异步提交fetch(form.action, { method: POST, body: new FormData(form) })保留表单的 name 属性统计上报new Image().src /stat?eclickt encodeURIComponent(page)URL 参数做 encodeURIComponent以异步提交为例完整写法document.querySelector(#contact-form).addEventListener(submit, function (e) { e.preventDefault(); fetch(this.action, { method: POST, body: new FormData(this) }).then(function (resp) { if (resp.redirected) { window.location.href resp.url; } else { alert(提交失败请稍后重试); } }); });e.preventDefault()阻止浏览器默认跳转new FormData(this)把表单里所有带 name 的控件序列化文件上传字段也能一并携带resp.redirected判断后端是否返回 302 跳转。如果 sdcms 的表单控制器提交成功后直接输出 JSON 而不是跳转要改成先解析响应内容再决定页面行为。无论哪种写法自定义 JS 每次在后台修改后都要回到前台硬刷新验证一次部分浏览器对 HTML 的缓存策略会掩盖更新结果。4. 自定义表单从字段定义到数据落库的完整链路4.1 表单字段类型与数据表结构设计sdcms 的自定义表单是动态字段生成器后台定义字段名、类型和排序程序自动生成前台 HTML 表单并在数据库里建表存储提交数据。理解背后的表结构能让排查速度快一个档次。一张自定义表单通常对应两张表表名用途关键字段sdcms_form_xxx存储提交的具体记录id, addtime, ip, 各自定义字段列sdcms_form_field存储字段定义fieldname, fieldtype, required, orderid设计阶段的原则是需要统计或筛选的字段用下拉或单选自由输入的备注用文本域地址类字段拆成省市区三段。sdcms 的日期字段在 MySQL 里可能存成 VARCHAR导出 Excel 时显示为文本如果后续要做按日期的聚合报表提交时间字段要明确为DATETIME或者入库前用strtotime()统一转换。4.2 用 sdcms 后台创建自定义表单并嵌入模板后台自定义表单菜单下新建表单后进入字段编辑。以客户询盘为例典型字段配置如下字段名字段类型必填排序姓名文本是1联系电话文本是2产品型号下拉否3预算金额数字否4备注文本域否5排序值越小越靠前决定前台表单位置。保存后系统生成表单标签常见写法form action{sdcms:form actionpost namecustomer} methodpost input typetext namename placeholder姓名 input typetext namephone placeholder电话 {sdcms:captcha} button typesubmit提交/button /form用标签生成 action 而不是写死路径原因在于伪静态开关变化会改变 URL 格式标签能自动跟随系统配置调整提交地址写死 action 的话后台开启伪静态后表单可能提交进 404。{sdcms:captcha}是验证码占位可以去掉但去掉后攻击者用脚本批量提交能把数据库写满建议保留。4.3 让提交结果通知到你SMTP 邮件配置与失败时的处理表单数据默认只存数据库后台列表可见。要实时获取客户信息需要配置 SMTP 邮件通知。后台邮件配置里填 SMTP 服务器、端口、账号和密码再到目标表单设置里勾选提交后发送邮件。以 QQ 邮箱为例SMTP 服务器填smtp.qq.com、端口465、账号填完整邮箱、密码填授权码而不是登录密码。// 以 PHPMailer 为例说明发信参数sdcms 内部实现类似 $mail new PHPMailer\PHPMailer\PHPMailer(true); $mail-isSMTP(); $mail-Host smtp.qq.com; $mail-SMTPAuth true; $mail-Username senderqq.com; $mail-Password your-auth-code; $mail-SMTPSecure PHPMailer::ENCRYPTION_SMTPS; $mail-Port 465;注意发信失败不该阻断表单主流程。多数 sdcms 版本的处理顺序是先写库、再发信发信失败只记日志不影响入库如果二次开发时改成先发信再入库SMTP 超时会让用户页面卡 30 秒以上体验极差。另外25 端口在云服务器上默认被封改用 465 或 587 更可靠。5. 安全与排错自定义 JS 和表单最容易踩的 4 个坑5.1 验证码绕过与频率限制sdcms 的验证码默认存 session校验逻辑是$_SESSION[code] $_POST[code]。有两个坑大小写没统一会让用户反复输入失败进而关闭验证码表单被脚本刷爆session 生命周期太短会让刚打开页面的访客在提交时提示验证码过期。做法是保存和校验时都统一小写同时加 IP 频率限制$ip $_SERVER[REMOTE_ADDR]; $key form_limit_ . md5($ip); $count (int) $cache-get($key); if ($count 5) { http_response_code(429); exit(提交过于频繁请稍后再试); } $cache-incr($key); $cache-expire($key, 300);http_response_code(429)让浏览器和脚本都能明确识别被限流比返回 200 但提示错误更规范$cache换成 Redis 或 MySQL 均可关键是 key 要过期防止膨胀。限制条数不建议调太高5 分钟 5 次已经能容纳正常人工操作。5.2 SQL 注入与字段名白名单自定义字段是重灾区自定义表单允许任意定义字段程序最终要把$_POST里的键值对拼进 INSERT。如果核心代码只做了字段名白名单校验而没有参数化查询攻击者可以在备注框提交abc); DROP TABLE xxx;--这类数据。排查方式很直接搜索代码里的 INSERT INTO 语句看是否是预处理$stmt $pdo-prepare(INSERT INTO sdcms_form_customer (name, phone, remark) VALUES (?, ?, ?)); $stmt-execute([$name, $phone, $remark]);?占位符配合 execute 传参是 PDO 的参数化查询攻击值只会被当作字符串处理。注意即便查询是预处理字段名拼装仍然不能信任用户输入程序应只使用后台定义过的字段名对未知键直接丢弃。5.3 目录权限把上传功能弄坏怎么定位自定义表单的文件上传字段让文件落到uploads/form/目录。上传失败时页面一般只提示上传出现错误排查步骤依次是看 PHP 错误日志确认是否 Permission denied用php -r var_dump(is_writable(/www/wwwroot/sdcms/uploads/form/));检查目录可写确认upload_max_filesize和post_max_size是否小于文件体积。症状可能原因检查命令提示无权限属主不是 www 或权限小于 755ls -la uploads/form/文件传了但为空post_max_size 过小php -i | grep post_max_size中文文件名乱码上传类未做安全文件名处理看日志里的原始文件名5.4 用 Chrome DevTools 排查自定义 JS 不生效自定义 JS 不生效分三类没加载、加载但报错、执行了但没效果。打开 DevTools 的 Network 面板看请求外链 JS 返回 404 多半是中文文件名没有 URL 编码内联脚本则切到 Console 面板看红色错误SyntaxError 几乎都来自后台编辑器对引号或换行的自动转换。sdcms 编辑器会把粘贴内容里的换行转成实体代码先复制到本地 IDE 跑一遍 JSHint能提前发现配对问题。定位到问题改完后在后台更新模板缓存再 CtrlShiftR 强制刷新浏览器。注意修改任何自定义 JS 前先备份后台配置项sdcms 的文本存储是一整块覆盖式保存误操作后没有历史版本可回滚。6. 模板调用技巧把自定义表单嵌入页面并控制展示逻辑6.1 用条件标签控制表单显示范围sdcms 模板支持条件判断。常见做法是在栏目模板里判断当前栏目是否绑定了表单再决定是否输出表单代码{if isset($form_config) and $form_config} {include fileform_contact.html} {else} p当前栏目暂未启用表单/p {/if}$form_config在后台栏目设置中绑定表单后由程序注入用isset包裹是为了避免模板引擎对未定义变量输出警告。如果表单只希望登录用户可见再包一层用户状态判断逻辑一致。6.2 提交成功页与变量约定表单提交成功后sdcms 通常通过重定向跳转到自定义成功页或在原页面写入成功提示。模板里一般这样处理{if $form_status success} div classalert alert-success提交成功我们会尽快与您联系/div {/if}$form_status的值由控制器写库后设置。注意这种提示依赖页面刷新如果前台用自定义 JS 做了异步提交而服务端返回 302 前端没跟随用户会认为没提交成功。前端代码需要监听redirected或读取返回的 JSON 状态字段后再提示。6.3 后台数据导出 CSV 的中文乱码处理后台列表的导出功能用 Excel 打开乱码多数是缺 BOM 头。修正办法是导出时在文件开头写入 UTF-8 BOMheader(Content-Type: text/csv; charsetutf-8); echo \xEF\xBB\xBF; $fp fopen(php://output, w); fputcsv($fp, [姓名, 电话, 提交时间]);\xEF\xBB\xBF是 UTF-8 的 BOM 字节Excel 据此识别文件编码如果加了 BOM 仍乱码检查导出数据里是否混入了 GBK 编码字符串sdcms 老版本模板文件偶尔保存成 GBK导出前用mb_detect_encoding检查一遍字段内容。本文还有配套的精品资源点击获取 sdcms建站系统实战：自定义JS与动态表单配置指南
简介这是一个免费可用的 SDCMS 网站管理系统资源包基于 ASP 开发面向需要快速搭建内容站点或对现有系统进行二次开发的网站管理员、前端开发者和 ASP 学习者。系统后台设置简单灵活可在不修改源码的前提下扩展系统分组、系统字段、内容模型与自定义表单并支持前台列表显示和自定义模板适用于企业网站、信息发布及在线表单等场景。包内共 521 个文件压缩包约 2.47MB其中 95 个 ASP 文件承担后台逻辑与数据接口96 个 HTML、69 个 JS 与 38 个 CSS 组成前端页面和交互效果128 个 GIF、53 个 PNG 等提供图片素材另有 SQL/DB 数据库文件及字体图标文件结构清晰。已有 158 人学习下载。通过该资源可研究 SDCMS 的后台扩展机制、自定义表单与自定义 JS 的接入方式包内含后台管理、栏目、内容、上传、验证码等常见 ASP 逻辑可直接部署后按需调整字段、模板和脚本节省从零开发的时间是 ASP 建站与二次开发的实用参考。1. sdcms 给的是什么免费开源、后台可配自定义 JS 与表单都在这里落地sdcms 是一套国产的 PHP 建站系统免费授权和后台可视化配置是它最吸引人的两个点。拿到sdcms_web (1).rar这种压缩包解开通常就是完整的 web 项目源码前台模板、后台管理程序和安装向导都齐了。对做企业展示站、学校网站或内部信息系统的工程师而言它的价值在于把往页面插入 JS 特效和收集访客表单两件事从改代码层面抬高到了后台配置层面——不用翻源码就能挂统计脚本也能把表单绑定到指定栏目。下面按部署、自定义 JS、自定义表单、安全排错的顺序把这条路走通适合接外包的 PHP 工程师、正在维护 sdcms 站点的运维以及想把静态页升级成动态站的技术爱好者。2. 环境准备与 sdcms_web 部署从 RAR 解压到建库的最小路径2.1 运行环境PHP 版本、扩展与目录权限的三个注意点sdcms 常见的部署环境是 PHP 7.4 加 MySQL 5.7搭配 Nginx 或 Apache。推荐 7.4 而不是更新版本是因为老程序里部分代码仍依赖 PHP 7 时代的行为某些函数从 PHP 8 开始对参数类型更严格直接上 8.x 容易在安装向导或者后台列表页报 deprecation 警告。部署前先确认下表里的检查项每一项缺了都会直接影响安装过程。检查项推荐值缺了会怎样PHP 版本7.4 LTS安装页白屏或函数不存在报错扩展 pdo_mysql已启用数据库连接直接失败扩展 mbstring已启用后台中文内容乱码扩展 gd已启用验证码图片不显示uploads 目录权限755 且属主为 www附件上传失败、模板无法更新验证这些条件只需要两条命令php -v看版本php -m | grep -E pdo_mysql|mbstring|gd看扩展输出。如果 grep 结果缺项在宝塔面板的 PHP 设置页勾选对应扩展后重启 PHP-FPM如果维护的是裸机 LNMP 环境用apt install php7.4-mbstring php7.4-gd补上。另外一台服务器要用 Nginx 部署多个 web 项目时每个 sdcms 站点务必单独配置 server 块并把 root 指向各自站点目录避免伪静态规则互相覆盖导致后台菜单 404。2.2 解压 sdcms_web 的正确姿势别跳过不可见文件标题里带.rar这个环节的坑主要是换机解压导致的文件缺失。Windows 上右键解压一次、传到 Linux 又解压一次两次解压的字符集和隐藏文件处理可能不一致。常见做法是本地解压后用 find 清理 macOS 生成的.DS_Store和 Windows 的 Thumbs.db再打成 tar 包上传服务器端解包后统一文件属主。# 本地先解压 rar清理多余文件后再重新打包 unrar x sdcms_web (1).rar sdcms_src/ find sdcms_src -name .DS_Store -o -name Thumbs.db | xargs rm -f tar czf sdcms_clean.tar.gz -C sdcms_src . # 服务器端解包并统一属主 mkdir -p /www/wwwroot/sdcms tar xzf sdcms_clean.tar.gz -C /www/wwwroot/sdcms chown -R www:www /www/wwwroot/sdcms chmod -R 755 /www/wwwroot/sdcms/uploadstar czf里的-C sdcms_src .表示打包目录内容而不是连目录名一起包进去解包后文件直接落在站点根目录chown统一属主是为让 PHP-FPM 写入缓存和上传目录时不至于权限不足。解包后还要检查config/下有没有config.php.bak、config.php~这类备份文件有就删掉——安装配置里包含数据库账号密码被访问到等于把数据库凭据拱手送人。用ls -la查看有没有异常软链接sdcms 本身不需要软链接出现指向系统目录的记录基本可以判断压缩包被改动过建议弃用。2.3 安装向导数据库配置与后台入口源码就位后浏览器访问域名会自动跳到/install/index.php。需要填写数据库主机、库名、账号、密码和初始管理员账号。两个参数容易被忽略数据库主机本机部署写localhost一般没问题但 MySQL 通过/var/run/mysqld/mysqld.sock监听而 PHP 配置的 socket 路径不一致时程序会误报连接失败把主机改成127.0.0.1:3306走 TCP 更稳数据表前缀默认sdcms_一台服务器跑多个站点时改成独立前缀方便将来只备份某个站的数据。安装过程报错先看页面提示再看 PHP 错误日志。SQLSTATE[HY000] [2002]表示连不上 MySQL检查 MySQL 是否启动、端口是否被占用出现函数不存在报错则多半是 PHP 版本过高退回 7.4 再试。安装完成后立即清理这一步别拖# 删除安装目录防止重新安装覆盖配置 rm -rf /www/wwwroot/sdcms/install # 修改后台入口文件名避免扫描器直接命中默认路径 mv /www/wwwroot/sdcms/admin.php /www/wwwroot/sdcms/myadmin.phprm -rf install是安装完成后的第一步清理mv admin.php myadmin.php把后台入口改成不易猜的名字之后通过/myadmin.php登录。保留 install 目录导致站点被重装的案例不少旧站迁移时也要顺手处理。3. sdcms 自定义 JS先在后台写一段能被模板引用的脚本3.1 后台自定义JS的存储机制与调用时机sdcms 后台的自定义 JS本质是文本存储模型编辑器里粘贴的 JavaScript 代码保存时被转义后写入数据表前台模板用占位符引用时再原样输出。理解这个机制对排错很有帮助——代码里出现未转义的单引号可能被后台函数截断导致页面只输出半段 JS。不同版本后台菜单命名不一样有的叫自定义JS有的叫网页特效特征是在菜单下能看到一段可编辑的代码区域。需要特别区分两个配置项头部JS和页面底部JS。头部 JS 输出在head结束标签前适合放统计代码和第三方 SDK底部 JS 输出在/body前适合放依赖 DOM 加载的交互逻辑。设置完记得在后台模板管理里更新缓存sdcms 的模板引擎会把编译结果缓存成 PHP 文件不更新缓存的话改完页面纹丝不动。3.2 在模板标签里输出自定义 JS 代码sdcms 模板里的自定义 JS 输出有两种形式全局占位符{sdcms:js}和变量形式{$web_config[custom_js]}。前者更贴近模板引擎习惯后者方便在逻辑中二次处理使用哪个以你安装版本支持为准。在默认模板的 header 文件里找到head标签插入head meta charsetutf-8 title{sdcms:title}/title {sdcms:js} /head{sdcms:js}被解析后后台填写的完整代码会插入到该位置如果用底部配置项把占位符移到/body前面。这里有个常见编码坑后台编辑器会把转义粘贴a b保存后变成a amp;amp; b浏览器解析 HTML 时会还原成但如果模板转成纯文本输出或走了 JSON 接口这个还原不会发生控制台报 Unexpected token。遇到这种情况把逻辑改成a and b或直接写#38;#38;。3.3 自定义 JS 的三种典型用法验证码刷新、异步提交与统计上报把 JS 写进后台只是第一步能用起来的场景有三种验证码刷新、异步表单提交和统计上报。验证码图片点击不换是常见投诉原因是浏览器把同一 URL 缓存了加时间戳参数即可异步提交表单要保留控件的 name 属性sdcms 后端依赖$_POST里的字段名取数统计上报监听点击事件把数据拼接成 URL 发给统计接口。场景核心代码关键注意点验证码刷新this.src.split(?)[0] ?t Date.now()选择器要匹配模板实际 class异步提交fetch(form.action, { method: POST, body: new FormData(form) })保留表单的 name 属性统计上报new Image().src /stat?eclickt encodeURIComponent(page)URL 参数做 encodeURIComponent以异步提交为例完整写法document.querySelector(#contact-form).addEventListener(submit, function (e) { e.preventDefault(); fetch(this.action, { method: POST, body: new FormData(this) }).then(function (resp) { if (resp.redirected) { window.location.href resp.url; } else { alert(提交失败请稍后重试); } }); });e.preventDefault()阻止浏览器默认跳转new FormData(this)把表单里所有带 name 的控件序列化文件上传字段也能一并携带resp.redirected判断后端是否返回 302 跳转。如果 sdcms 的表单控制器提交成功后直接输出 JSON 而不是跳转要改成先解析响应内容再决定页面行为。无论哪种写法自定义 JS 每次在后台修改后都要回到前台硬刷新验证一次部分浏览器对 HTML 的缓存策略会掩盖更新结果。4. 自定义表单从字段定义到数据落库的完整链路4.1 表单字段类型与数据表结构设计sdcms 的自定义表单是动态字段生成器后台定义字段名、类型和排序程序自动生成前台 HTML 表单并在数据库里建表存储提交数据。理解背后的表结构能让排查速度快一个档次。一张自定义表单通常对应两张表表名用途关键字段sdcms_form_xxx存储提交的具体记录id, addtime, ip, 各自定义字段列sdcms_form_field存储字段定义fieldname, fieldtype, required, orderid设计阶段的原则是需要统计或筛选的字段用下拉或单选自由输入的备注用文本域地址类字段拆成省市区三段。sdcms 的日期字段在 MySQL 里可能存成 VARCHAR导出 Excel 时显示为文本如果后续要做按日期的聚合报表提交时间字段要明确为DATETIME或者入库前用strtotime()统一转换。4.2 用 sdcms 后台创建自定义表单并嵌入模板后台自定义表单菜单下新建表单后进入字段编辑。以客户询盘为例典型字段配置如下字段名字段类型必填排序姓名文本是1联系电话文本是2产品型号下拉否3预算金额数字否4备注文本域否5排序值越小越靠前决定前台表单位置。保存后系统生成表单标签常见写法form action{sdcms:form actionpost namecustomer} methodpost input typetext namename placeholder姓名 input typetext namephone placeholder电话 {sdcms:captcha} button typesubmit提交/button /form用标签生成 action 而不是写死路径原因在于伪静态开关变化会改变 URL 格式标签能自动跟随系统配置调整提交地址写死 action 的话后台开启伪静态后表单可能提交进 404。{sdcms:captcha}是验证码占位可以去掉但去掉后攻击者用脚本批量提交能把数据库写满建议保留。4.3 让提交结果通知到你SMTP 邮件配置与失败时的处理表单数据默认只存数据库后台列表可见。要实时获取客户信息需要配置 SMTP 邮件通知。后台邮件配置里填 SMTP 服务器、端口、账号和密码再到目标表单设置里勾选提交后发送邮件。以 QQ 邮箱为例SMTP 服务器填smtp.qq.com、端口465、账号填完整邮箱、密码填授权码而不是登录密码。// 以 PHPMailer 为例说明发信参数sdcms 内部实现类似 $mail new PHPMailer\PHPMailer\PHPMailer(true); $mail-isSMTP(); $mail-Host smtp.qq.com; $mail-SMTPAuth true; $mail-Username senderqq.com; $mail-Password your-auth-code; $mail-SMTPSecure PHPMailer::ENCRYPTION_SMTPS; $mail-Port 465;注意发信失败不该阻断表单主流程。多数 sdcms 版本的处理顺序是先写库、再发信发信失败只记日志不影响入库如果二次开发时改成先发信再入库SMTP 超时会让用户页面卡 30 秒以上体验极差。另外25 端口在云服务器上默认被封改用 465 或 587 更可靠。5. 安全与排错自定义 JS 和表单最容易踩的 4 个坑5.1 验证码绕过与频率限制sdcms 的验证码默认存 session校验逻辑是$_SESSION[code] $_POST[code]。有两个坑大小写没统一会让用户反复输入失败进而关闭验证码表单被脚本刷爆session 生命周期太短会让刚打开页面的访客在提交时提示验证码过期。做法是保存和校验时都统一小写同时加 IP 频率限制$ip $_SERVER[REMOTE_ADDR]; $key form_limit_ . md5($ip); $count (int) $cache-get($key); if ($count 5) { http_response_code(429); exit(提交过于频繁请稍后再试); } $cache-incr($key); $cache-expire($key, 300);http_response_code(429)让浏览器和脚本都能明确识别被限流比返回 200 但提示错误更规范$cache换成 Redis 或 MySQL 均可关键是 key 要过期防止膨胀。限制条数不建议调太高5 分钟 5 次已经能容纳正常人工操作。5.2 SQL 注入与字段名白名单自定义字段是重灾区自定义表单允许任意定义字段程序最终要把$_POST里的键值对拼进 INSERT。如果核心代码只做了字段名白名单校验而没有参数化查询攻击者可以在备注框提交abc); DROP TABLE xxx;--这类数据。排查方式很直接搜索代码里的 INSERT INTO 语句看是否是预处理$stmt $pdo-prepare(INSERT INTO sdcms_form_customer (name, phone, remark) VALUES (?, ?, ?)); $stmt-execute([$name, $phone, $remark]);?占位符配合 execute 传参是 PDO 的参数化查询攻击值只会被当作字符串处理。注意即便查询是预处理字段名拼装仍然不能信任用户输入程序应只使用后台定义过的字段名对未知键直接丢弃。5.3 目录权限把上传功能弄坏怎么定位自定义表单的文件上传字段让文件落到uploads/form/目录。上传失败时页面一般只提示上传出现错误排查步骤依次是看 PHP 错误日志确认是否 Permission denied用php -r var_dump(is_writable(/www/wwwroot/sdcms/uploads/form/));检查目录可写确认upload_max_filesize和post_max_size是否小于文件体积。症状可能原因检查命令提示无权限属主不是 www 或权限小于 755ls -la uploads/form/文件传了但为空post_max_size 过小php -i | grep post_max_size中文文件名乱码上传类未做安全文件名处理看日志里的原始文件名5.4 用 Chrome DevTools 排查自定义 JS 不生效自定义 JS 不生效分三类没加载、加载但报错、执行了但没效果。打开 DevTools 的 Network 面板看请求外链 JS 返回 404 多半是中文文件名没有 URL 编码内联脚本则切到 Console 面板看红色错误SyntaxError 几乎都来自后台编辑器对引号或换行的自动转换。sdcms 编辑器会把粘贴内容里的换行转成实体代码先复制到本地 IDE 跑一遍 JSHint能提前发现配对问题。定位到问题改完后在后台更新模板缓存再 CtrlShiftR 强制刷新浏览器。注意修改任何自定义 JS 前先备份后台配置项sdcms 的文本存储是一整块覆盖式保存误操作后没有历史版本可回滚。6. 模板调用技巧把自定义表单嵌入页面并控制展示逻辑6.1 用条件标签控制表单显示范围sdcms 模板支持条件判断。常见做法是在栏目模板里判断当前栏目是否绑定了表单再决定是否输出表单代码{if isset($form_config) and $form_config} {include fileform_contact.html} {else} p当前栏目暂未启用表单/p {/if}$form_config在后台栏目设置中绑定表单后由程序注入用isset包裹是为了避免模板引擎对未定义变量输出警告。如果表单只希望登录用户可见再包一层用户状态判断逻辑一致。6.2 提交成功页与变量约定表单提交成功后sdcms 通常通过重定向跳转到自定义成功页或在原页面写入成功提示。模板里一般这样处理{if $form_status success} div classalert alert-success提交成功我们会尽快与您联系/div {/if}$form_status的值由控制器写库后设置。注意这种提示依赖页面刷新如果前台用自定义 JS 做了异步提交而服务端返回 302 前端没跟随用户会认为没提交成功。前端代码需要监听redirected或读取返回的 JSON 状态字段后再提示。6.3 后台数据导出 CSV 的中文乱码处理后台列表的导出功能用 Excel 打开乱码多数是缺 BOM 头。修正办法是导出时在文件开头写入 UTF-8 BOMheader(Content-Type: text/csv; charsetutf-8); echo \xEF\xBB\xBF; $fp fopen(php://output, w); fputcsv($fp, [姓名, 电话, 提交时间]);\xEF\xBB\xBF是 UTF-8 的 BOM 字节Excel 据此识别文件编码如果加了 BOM 仍乱码检查导出数据里是否混入了 GBK 编码字符串sdcms 老版本模板文件偶尔保存成 GBK导出前用mb_detect_encoding检查一遍字段内容。本文还有配套的精品资源点击获取