现在流量入口太散了，用户可能从微信、浏览器、APP、小程序各种地方点进来，光靠一个首页挂满链接早就不管用了。做导航站也好，做内部资源聚合页也好，核心就两件事：分类怎么搭，数据怎么稳。这套V1.8版本的导航管理后台，没加花里胡哨的新功能，重点就是把老底子重新夯实了一遍——尤其是那些上了线就没空再折腾的长期站点，稳比什么都重要。
先说环境，PHP必须8.2起步，别图省事用旧版，PDO、cURL、OpenSSL、fileinfo这些扩展一个不能少，数据库MySQL 5.6到8.0或者MariaDB 10.x都行，Web服务器选Apache或Nginx都跑过压测，但生产环境强烈建议把HTTPS挂上，不然很多安全机制白搭。
安装流程比之前严格了。把程序上传到独立站点目录后，千万记住数据库备份文件或者SQLite文件别傻乎乎扔在根目录下，那是给自己挖坑。然后浏览器访问 /install/ 跟着向导填数据库信息和管理员账号就行，账号密码都限制在6-18位字母数字，默认给的是admin1/123456，装完马上改。安装成功后会生成 install/install.lock，这时候记得把安装目录的写权限撤掉。还有一个硬性动作：把根目录下的 admin 文件夹重命名成一个你自己记得住但别人猜不到的名字，系统会自动识别新路径，千万别留着默认的admin副本。另外《安全部署说明.md》里关于数据库端口限制、账号权限和后台访问来源的几条，最好照着做一遍，别跳过去。
这次V1.8主要更新的点，我挑几个实在的说：
所有数据库查询全改成参数化绑定，以前那种拼接SQL的写法彻底没了，注入和堆叠攻击基本堵死。
后台原先那个恢复数据库的入口去掉了，也不允许在网页上直接执行DDL操作，防止手抖或者被利用。
密码存储换成 password_hash 散列，登录走Session校验，不再依赖老旧的cookie签名。
登录、改密码、后台任何写操作都加了CSRF令牌，跨站请求伪造基本没戏。
登录失败超过5次，这个账号+这个IP会被锁15分钟，暴力破解的成本一下子高了很多。
管理员账号和密码强制6-18位字母数字，太简单的密码系统会提示，但不会强制复杂规则，自己掂量。
Cookie安全属性、Host头校验、代理IP处理、定时任务密钥、SSRF防护都做了加固，常规的扫描器攻击基本会被挡在外面。
上传图片现在同时检查扩展名、MIME类型、真实图像内容，还会重命名为随机文件名，防止恶意文件混进来。
配置、备份、测试、SQLite、旧的扫描器目录、安装锁文件，全部通过.htaccess和路由规则禁止外部直接访问。
前端jQuery从旧版升到3.6.0，之前那些低版本暴露的前端XSS隐患基本修复。
前台页脚如果内容很少也不会飘到中间去，桌面和H5下都会自动贴底，看着舒服些。
内部加了一套自动化安全回归测试，版本号统一标成V1.8（内部版本号1800），方便以后升级判断。
新增公安网安备案设置，后台填备案号和查询链接后，前台页脚会自动显示盾牌组件，桌面和手机端换行都处理好了。
新增访客统计组件，后台可以开关，展示的是匿名真实数据，同时提供每日稳定的随机展示数据，不会出现突然蹦极的尴尬。
前台搜索加了个“本站内搜索”的开关，打开后默认只搜你自己导航站的资源，关掉就退回百度搜索引擎，给用户多一个选择。
修复了几个老毛病：后台登录有时跳回登录页、错误提示显示不全、安装完后台白屏、会话动不动就过期，这些这次都测过不再复现。
之前站点筛选时会误改站点状态，现在不会了，而且批量修改站点所属分类的功能也补上了。
分类状态在前后台显示不一致的问题也修了，改完分类名称后，前台和后台所有关联站点都会同步刷新，不会再出现“改了名但某些页面还是旧的”这种低级bug。
