拓冰网站定制 
简介这套2021年PHP自助建站系统源码是一套基于宝塔面板开发的全开源自助搭建网站平台适合站长、开发者及建站服务商用于搭建建站业务或学习二次开发。系统基于PHPMYSQL开发内置论坛、博客、官网等30多套网站程序模板前台用户注册后即可在线购买模板一键完成网站部署。后台支持网站管理、自定义域名、SSL管理、重装还原、多服务器集群管理并集成易支付、码支付、微信官方支付与支付宝官方支付覆盖自助建站全流程。资源包共786个文件、17.18MB包含png图片、php脚本、js脚本、scss样式、css样式、ttf字体等目录结构清晰便于定位后台程序、前端模板和SQL数据库文件。已有1091人学习下载适合具备PHP基础、希望研究宝塔面板对接和自动化建站机制的中高级学习者。1. 与其让建站工单排队不如把这套自助建站 PHP 源码直接丢给用户做服务器代售、虚拟主机销售或者在公司里管着一堆业务站点的运维应该都对同一件事有感觉开站这个操作本身不难但架不住量大、零碎、还要等人工。用户下单后问“网站什么时候好”技术这边得先去面板建站、开库、配 PHP 版本、绑域名一个站下来没有十几次点击根本起不来。这套宝塔自助建站系统源码就是来解决这个环节的用户端是 PHP 写的自助开通页面注册登录之后选套餐、填域名、点创建系统调宝塔面板的开放 API自动完成建站、建库、绑定域名这些动作全程十几秒。部署在宝塔 LNMP 环境就能跑运维只需要把 API 密钥配好后续基本不用再管开站工单。适合有少量 Linux 基础、想把手头建站流程自动化的人也适合做模板站、企业站批量交付的小团队。2. 部署这套源码环境、目录结构与上线前的参数核对2.1 运行环境与目录结构这套源码是 PHP 实现官方跑法就是宝塔面板自家环境Nginx PHP 7.4或 8.0/8.1 MySQL 5.7。PHP 版本别低于 7.2因为代码里用了??空合并运算符和类型声明换到 5.x 会直接报语法错误。MySQL 用 5.7 或者 8.0 都行表结构没有特殊依赖utf8mb4 字符集记得选上。源码包解压后的布局大致是这样bt-builder/ ├── app/ │ ├── Controllers/ // 用户端和后台控制器 │ ├── Services/BtApi.php // 宝塔API封装 │ └── Models/ // 数据模型 ├── config/ │ ├── database.php // 数据库连接配置 │ └── bt.php // 宝塔API密钥与面板地址 ├── public/ │ └── index.php // 入口文件 ├── install/ │ └── install.sql // 初始表结构 └── .env // 环境变量含敏感密钥拿到源码第一件事不是丢进站点目录而是先看config/database.php和install/install.sql里的表结构。这套系统的核心数据表不多用户表、套餐表、站点表、订单表、API 日志表加起来五张左右。搞清楚这几张表之间的关系后面二开会顺手很多。2.2 初始化导入 SQL 并改配置在宝塔面板里先建一个数据库比如sites_builder然后导入install/install.sql。接着打开config/database.php把数据库连接信息改成实际值return [ host 127.0.0.1, port 3306, dbname sites_builder, username builder_user, password 改成你自己的随机密码, charset utf8mb4, ];再打开config/bt.php这是整个系统能不能跑起来的关键。宝塔面板开启 API 的位置在「面板设置 → API接口」进去之后生成一套 app_key 和 app_secret。注意面板 API 的请求路径是面板端口下的/data/api.json跟浏览器访问面板用的安全入口不是一回事。return [ panel_url http://127.0.0.1:8888, app_key 你生成的app_key, app_secret 你生成的app_secret, default_php 74, default_path /www/wwwroot, ];这里有个容易踩的细节panel_url里的地址不要从浏览器地址栏复制粘贴浏览器里会带面板安全入口的路径而 API 调用是另一套路径通常直接写http://IP:端口就行。面板 API 那里还有个 IP 白名单设置建议先填127.0.0.1等确认系统跑通了再放行业务服务器地址。提示config/bt.php和.env里保存的是面板主权限密钥务必把文件权限设为 600chmod 600Web 目录下其他用户不要给写权限。2.3 入口配置与连通性验证把public/作为站点运行目录或者把源码放到站点目录后设置伪静态让所有请求都走index.php入口。Nginx 伪静态规则location / { try_files $uri $uri/ /index.php?$query_string; }改完伪静态访问站点正常会看到安装检测页检测目录权限、PHP 扩展和数据库连接。这套源码没有复杂的 Composer 依赖核心是 PHP 的 curl 扩展检测时重点确认curl、json、mysqli、openssl四个扩展都是开启状态。部署完成后我习惯先做一次 API 连通性验证确认密钥和签名流程没问题再开放前台注册。用 shell 直接测最直观TS$(date %s%3N) RT$(echo -n ${TS}haoshu | md5sum | cut -d -f1) SIGN$(echo -n ${RT}你的app_secret | sha256sum | cut -d -f1) curl -s -X POST http://127.0.0.1:8888/data/api.json \ -d request_token${RT} \ -d request_time${TS} \ -d request_token_sha256${SIGN}这条命令里的TS是毫秒时间戳RT是 md5 出来的 request_tokenSIGN是 request_token 加 app_secret 的 SHA256 值。如果响应头里能看到X-Request-Token说明密钥和签名流程没问题再去接前端。注意sha256sum输出的十六进制是小写PHP 的hash(sha256)也是小写两边对得上。3. 核心逻辑拆解PHP 怎么把「点按钮」变成「自动开站」3.1 宝塔 API 认证token 的获取方式宝塔 API 跟常规 REST API 不太一样不能拿着 app_key 直接请求建站接口得先请求一次/data/api.json换 token后续接口在请求头里带上 token 才有权限。这个机制和大多数 PHP 后台系统的登录态设计类似只是 token 在响应头里返回不在 body 里。具体流程每次请求先拼一个request_token这个字符串可以自定义但通常用毫秒时间戳加随机串做 md5然后按 app_secret 给请求签名最后把 token 从响应头里取出来供后续使用。我封装了一个 BtApi 服务核心代码长这样public function getToken(): string { $time time() * 1000; $secret $this-secret; $requestToken md5($time . haoshu); $data [ request_token $requestToken, request_time $time, request_token_sha256 hash(sha256, $requestToken . $secret), ]; $ch curl_init($this-panelUrl . /data/api.json); curl_setopt($ch, CURLOPT_POST, 1); curl_setopt($ch, CURLOPT_POSTFIELDS, $data); curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1); curl_setopt($ch, CURLOPT_HEADER, 1); curl_setopt($ch, CURLOPT_TIMEOUT, 10); $response curl_exec($ch); $headerSize curl_getinfo($ch, CURLINFO_HEADER_SIZE); $header substr($response, 0, $headerSize); curl_close($ch); if (preg_match(/X-Request-Token:\s*([a-zA-Z0-9])/i, $header, $match)) { return trim($match[1]); } throw new RuntimeException(获取宝塔Token失败请检查面板地址和密钥); }逻辑说明request_token用time() * 1000加固定盐值做 md5保证每次请求都不一样request_token_sha256是 request_token 加 app_secret 的哈希相当于给换取 token 的请求本身签了名。参数里CURLOPT_HEADER设为 1 是让 curl 把响应头一并返回这样才能从 header 里截取 tokenCURLOPT_TIMEOUT给 10 秒面板 API 在高负载下响应会慢但超过 10 秒基本就是面板侧卡住了不值得继续等。3.2 创建站点一次建站要拼好 webname 参数拿到 token 之后就可以调建站接口了。创建站点对应POST /site?actionAddSite它需要的参数比想象中多一些public function addSite(string $domain, string $path, int $phpVersion 74): array { $token $this-getToken(); $webname json_encode([ domain $domain, domainlist [], Index 0, type PHP, ]); $post [ webname $webname, path $path, type_id 0, version $phpVersion, port 80, ps 自助开通, ftp 0, sql 0, ]; $ch curl_init($this-panelUrl . /site?actionAddSite); curl_setopt($ch, CURLOPT_POST, 1); curl_setopt($ch, CURLOPT_POSTFIELDS, http_build_query($post)); curl_setopt($ch, CURLOPT_HTTPHEADER, [X-Request-Token: . $token]); curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1); curl_setopt($ch, CURLOPT_TIMEOUT, 15); $response curl_exec($ch); curl_close($ch); $result json_decode($response, true); if (($result[status] ?? false) ! true) { throw new RuntimeException($result[msg] ?? 建站返回未知错误); } return $result; }webname是一个 JSON 字符串里面domainlist是附加域名数组Index为 0 代表用主域名作为目录归属type固定PHP。version是 PHP 版本内部 ID74 对应 PHP 7.480 对应 8.0。这个映射关系是宝塔面板内部约定的不同面板版本可能有差异部署后建议手动在面板里建一个站对照日志确认实际接受的版本号格式。代码里用http_build_query做参数序列化是必要的。宝塔 API 对 POST 参数的解析依赖 urlencoded 格式直接传数组在部分 PHP 配置下会解析异常这个坑比较隐蔽。sql参数这里先给 0意味着不同时创建数据库如果套餐里包含数据库需要单独调建库接口下一节讲。3.3 建库与密码生成数据库参数不能写死需要给用户开数据库时请求POST /database?actionAddDatabase至少需要name、db_user、db_pwd、codeing、db_type这几个参数public function addDatabase(string $dbName, string $dbUser, string $dbPwd): array { $token $this-getToken(); $post [ name $dbName, db_user $dbUser, db_pwd $dbPwd, codeing utf8mb4, db_type MySQL, dataAccess localhost, ]; $ch curl_init($this-panelUrl . /database?actionAddDatabase); curl_setopt($ch, CURLOPT_POST, 1); curl_setopt($ch, CURLOPT_POSTFIELDS, http_build_query($post)); curl_setopt($ch, CURLOPT_HTTPHEADER, [X-Request-Token: . $token]); curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1); curl_setopt($ch, CURLOPT_TIMEOUT, 15); $response curl_exec($ch); curl_close($ch); $result json_decode($response, true); if (($result[status] ?? false) ! true) { throw new RuntimeException($result[msg] ?? 创建数据库失败); } return $result; }数据库密码不要写死我一般用随机生成器每次创建都生成独立密码function randomDbPwd(int $length 16): string { $chars abcdefghijkmnpqrstuvwxyzABCDEFGHJKMNPQRSTUVWXYZ23456789; $str ; for ($i 0; $i $length; $i) { $str . $chars[random_int(0, strlen($chars) - 1)]; } return $str; }这个生成器排掉了容易混淆的字符l、o、0、1生成的密码即使被打印在工单消息里抄写时也不会出错。生成后把数据库名、用户名、密码、站点路径统一写进bt_sites表用户后续在个人中心能看到完整信息。最后一步是更新站点记录状态并给用户发送开通通知。整套流程下来一般在 5 秒内完成。如果某一步失败建议在bt_api_logs表里记录请求参数和面板返回的原文。这个习惯特别重要线上跑起来之后日志就是排查问题的第一手资料。4. 二次开发指南套餐、配额与域名白名单怎么改4.1 套餐表结构与配额判定默认表结构里有一张bt_plans套餐表控制用户能开几个站、几个库。核心字段用表列一下字段类型说明idint套餐IDnamevarchar套餐名称site_limitint可创建站点数0表示不限db_limitint可创建数据库数ftp_enabletinyint是否允许开通FTPdomain_limitint单站点可绑定域名数pricedecimal套餐价格cycleenum月付/年付用户下单后套餐和用户绑定配额判断在创建站点的入口做。注意一个点配额校验必须放后端不能依赖前端 JS。我见过有同事把限制写在页面脚本里结果被用户直接 post 请求打穿一口气建了十几个站最后才在接口层补上后端校验。public function checkQuota(int $userId, int $planId): bool { $plan PlanModel::find($planId); if (!$plan) return false; if ($plan-site_limit 0) { $count SiteModel::where(user_id, $userId)-count(); if ($count $plan-site_limit) return false; } return true; }4.2 域名绑定数量与格式校验如果要做“一个站点绑定多个域名”的业务可以在addSite之前加一层域名数量和格式校验。我的做法是把用户提交的域名数组解析出来比对套餐表里的domain_limit超过就拒绝创建并返回明确提示public function validateDomainLimit(array $domains, int $planId): void { $limit PlanModel::where(id, $planId)-value(domain_limit); if ($limit 0 count($domains) $limit) { throw new InvalidArgumentException( 当前套餐最多绑定 . $limit . 个域名你提交了 . count($domains) . 个 ); } foreach ($domains as $domain) { if (!preg_match(/^([a-z0-9-]\.)[a-z]{2,}$/i, $domain)) { throw new InvalidArgumentException(域名格式不合法: . $domain); } } }这个正则把https://、斜杠、星号都挡在了门外防止有人把路径直接拼进域名参数。之前有个翻车现场就是用户提交了带../的内容路径段被拼到站点目录里虽然没有提权风险但目录结构被搞乱了加了这个校验之后同类问题再没出现过。域名校验要做两端前端做格式提示是为了体验后端做强制校验才是安全边界。4.3 失败回滚别让半成品站点挂在面板上自助建站是多个 API 请求的组合先建站、再建库。如果建库那一步失败站点已经留在面板里了用户看到的结果是“报错但网站确实存在了”。正确做法是记录当前执行到的步骤失败时调用删除接口回滚$siteResult $btApi-addSite($domain, $path, $phpVersion); $siteId $siteResult[data][id] ?? 0; try { $dbResult $btApi-addDatabase($db, $dbUser, $dbPwd); } catch (Exception $e) { if ($siteId 0) { $btApi-deleteSite((int)$siteId); } throw $e; }删除接口对应宝塔 API 的POST /site?actionDeleteSite参数传站点id。这样用户重新点击创建时不会遇到“站点已存在”的残留问题。回滚时还要注意一点删除站点时宝塔默认保留文件目录如果不想留在磁盘上要看清楚 DeleteSite 的参数说明把删除目录和数据库的选项一并传上避免白白占着磁盘空间。5. 避坑从对接宝塔 API 到上线这五个坑值得记下来5.1 Token 取不到接口一直 403现象前台点击创建日志记录的是403 Forbidden请求根本没到建站逻辑。原因getToken()里解析响应头的正则跟面板实际返回格式对不上。面板返回的是X-Request-Token: xxx但正则匹配时把空格也带进去了请求头拼接后变成X-Request-Token: xxx宝塔侧解析失败直接拒绝。解决正则改成/X-Request-Token:\s*([a-zA-Z0-9])/i取出来后trim()一下。最好把响应 header 原样记录到日志排查时一眼就能看到问题。5.2 站点创建成功但网站打不开现象建站接口返回成功用户访问域名却看到默认欢迎页或者 PHP 代码被当作纯文本输出。原因version参数传了 74但当前面板版本识别的 PHP 版本 ID 不是 74。宝塔不同面板大版本里PHP 版本内部编号并不一致有的面板要用PHP-74这种字符串有的用纯数字 ID。解决部署后先手动在面板里点一次创建站点再去看面板数据库里sites表的php_version字段或者翻事件日志确认实际请求参数把映射关系确认后写进配置。不要想当然地认为 74 一定对应 PHP 7.4。5.3 数据库创建成功但程序连不上现象数据库建出来了业务程序连接时报 access denied。原因宝塔 API 创建数据库后权限默认只授予了localhost的主机访问。如果 PHP 业务代码部署在另一台服务器上或者用户填的数据库地址是公网 IP授权主机不匹配就连不上。另一个常见原因是密码里有#、$这类字符在 shell 拼接时被转义掉实际存进去的密码跟显示的不一样。解决数据库地址和授权主机要统一或者直接授权%通配密码生成时避开 shell 特殊字符。前面给的字符集已经排除了全角符号和特殊字符够用。5.4 用户重复点击同一个域名被创建两次现象创建按钮没做防抖用户双击或网络慢时重复提交同一个域名在面板里出现两条站点记录或者第二次请求返回“域名已存在”。原因前端按钮没有 disabled 状态后端也没有做幂等控制。宝塔 API 本身对已存在域名会拒绝但报错时机不稳定。解决三件事一起做。前端点击后按钮置灰后端在bt_sites表给domain字段加唯一索引进addSite之前先查库存在就直接返回“该域名已开通”不再重复调 API。5.5 API 密钥泄漏被刷建站现象服务器上多了一批不认识的站点目录面板登录日志显示异常 IP。原因config/bt.php的密钥写死在 PHP 文件里站点目录被设置成了 777 权限源码包在传输过程中也没做加密密钥跟着一起泄露。解决密钥独立放到.env文件.env权限设为 600并且配置 Nginx 禁止访问点开头的文件宝塔面板 API 接口开启 IP 白名单只允许本机或内网地址调用在bt_api_logs表里加上请求 IP 字段出现异常调用能第一时间定位来源。6. 上线前加一道保险给创建接口加签名与限流自助建站系统上线后最容易被人盯上的不是宝塔 API 本身而是对外暴露的创建接口。如果让用户直接请求create_site随便写个脚本就能批量刷建站轻则把服务器资源耗光重则导致整个面板被封。所以我在创建接口前加了一个签名校验层前端发起创建请求时用当前时间戳和 shared_key 生成签名后端验签通过才进入建站逻辑。整个过程不需要引入复杂的 OAuth一个简易签名就够了。public function verifySign(array $params, string $sharedKey): bool { $timestamp $params[timestamp] ?? 0; if (abs(time() - (int)$timestamp) 300) { return false; } $checkStr $sharedKey . $params[user_id] . $params[domain] . $timestamp; return hash_equals($params[sign] ?? , md5($checkStr)); }sharedKey同时存在于前端配置和后端.env不在浏览器里明文出现。timestamp防重放超过 5 分钟的请求直接丢弃。hash_equals做常量时间比较避免时序攻击别用直接比较。限流我一般用 Redis 计数器实现在入口加一层每分钟请求次数限制。用 Redis 的 INCR 和 EXPIRE 最方便$key site_create: . $userId . : . date(i); $count $redis-incr($key); if ($count 1) { $redis-expire($key, 60); } if ($count 3) { throw new RuntimeException(每分钟最多创建3个站点请稍后再试); }频率放到 3 次/分钟手动测试也够用批量刷直接被弹回去。做完签名和限流这两件事系统才算真正能放在公网环境跑。从那以后我每次部署这套自助建站源码都会强制把签名校验、限流、密钥权限三项检查走一遍再开放前台注册这三件事在源码里默认可能没做得那么完整上线前最好自己补上。希望这篇拆解能帮你在部署和二次开发时少走几步弯路一步步跑通它。本文还有配套的精品资源点击获取 宝塔面板API对接指南：自助建站PHP源码自动化部署与二次开发实战
简介这套2021年PHP自助建站系统源码是一套基于宝塔面板开发的全开源自助搭建网站平台适合站长、开发者及建站服务商用于搭建建站业务或学习二次开发。系统基于PHPMYSQL开发内置论坛、博客、官网等30多套网站程序模板前台用户注册后即可在线购买模板一键完成网站部署。后台支持网站管理、自定义域名、SSL管理、重装还原、多服务器集群管理并集成易支付、码支付、微信官方支付与支付宝官方支付覆盖自助建站全流程。资源包共786个文件、17.18MB包含png图片、php脚本、js脚本、scss样式、css样式、ttf字体等目录结构清晰便于定位后台程序、前端模板和SQL数据库文件。已有1091人学习下载适合具备PHP基础、希望研究宝塔面板对接和自动化建站机制的中高级学习者。1. 与其让建站工单排队不如把这套自助建站 PHP 源码直接丢给用户做服务器代售、虚拟主机销售或者在公司里管着一堆业务站点的运维应该都对同一件事有感觉开站这个操作本身不难但架不住量大、零碎、还要等人工。用户下单后问“网站什么时候好”技术这边得先去面板建站、开库、配 PHP 版本、绑域名一个站下来没有十几次点击根本起不来。这套宝塔自助建站系统源码就是来解决这个环节的用户端是 PHP 写的自助开通页面注册登录之后选套餐、填域名、点创建系统调宝塔面板的开放 API自动完成建站、建库、绑定域名这些动作全程十几秒。部署在宝塔 LNMP 环境就能跑运维只需要把 API 密钥配好后续基本不用再管开站工单。适合有少量 Linux 基础、想把手头建站流程自动化的人也适合做模板站、企业站批量交付的小团队。2. 部署这套源码环境、目录结构与上线前的参数核对2.1 运行环境与目录结构这套源码是 PHP 实现官方跑法就是宝塔面板自家环境Nginx PHP 7.4或 8.0/8.1 MySQL 5.7。PHP 版本别低于 7.2因为代码里用了??空合并运算符和类型声明换到 5.x 会直接报语法错误。MySQL 用 5.7 或者 8.0 都行表结构没有特殊依赖utf8mb4 字符集记得选上。源码包解压后的布局大致是这样bt-builder/ ├── app/ │ ├── Controllers/ // 用户端和后台控制器 │ ├── Services/BtApi.php // 宝塔API封装 │ └── Models/ // 数据模型 ├── config/ │ ├── database.php // 数据库连接配置 │ └── bt.php // 宝塔API密钥与面板地址 ├── public/ │ └── index.php // 入口文件 ├── install/ │ └── install.sql // 初始表结构 └── .env // 环境变量含敏感密钥拿到源码第一件事不是丢进站点目录而是先看config/database.php和install/install.sql里的表结构。这套系统的核心数据表不多用户表、套餐表、站点表、订单表、API 日志表加起来五张左右。搞清楚这几张表之间的关系后面二开会顺手很多。2.2 初始化导入 SQL 并改配置在宝塔面板里先建一个数据库比如sites_builder然后导入install/install.sql。接着打开config/database.php把数据库连接信息改成实际值return [ host 127.0.0.1, port 3306, dbname sites_builder, username builder_user, password 改成你自己的随机密码, charset utf8mb4, ];再打开config/bt.php这是整个系统能不能跑起来的关键。宝塔面板开启 API 的位置在「面板设置 → API接口」进去之后生成一套 app_key 和 app_secret。注意面板 API 的请求路径是面板端口下的/data/api.json跟浏览器访问面板用的安全入口不是一回事。return [ panel_url http://127.0.0.1:8888, app_key 你生成的app_key, app_secret 你生成的app_secret, default_php 74, default_path /www/wwwroot, ];这里有个容易踩的细节panel_url里的地址不要从浏览器地址栏复制粘贴浏览器里会带面板安全入口的路径而 API 调用是另一套路径通常直接写http://IP:端口就行。面板 API 那里还有个 IP 白名单设置建议先填127.0.0.1等确认系统跑通了再放行业务服务器地址。提示config/bt.php和.env里保存的是面板主权限密钥务必把文件权限设为 600chmod 600Web 目录下其他用户不要给写权限。2.3 入口配置与连通性验证把public/作为站点运行目录或者把源码放到站点目录后设置伪静态让所有请求都走index.php入口。Nginx 伪静态规则location / { try_files $uri $uri/ /index.php?$query_string; }改完伪静态访问站点正常会看到安装检测页检测目录权限、PHP 扩展和数据库连接。这套源码没有复杂的 Composer 依赖核心是 PHP 的 curl 扩展检测时重点确认curl、json、mysqli、openssl四个扩展都是开启状态。部署完成后我习惯先做一次 API 连通性验证确认密钥和签名流程没问题再开放前台注册。用 shell 直接测最直观TS$(date %s%3N) RT$(echo -n ${TS}haoshu | md5sum | cut -d -f1) SIGN$(echo -n ${RT}你的app_secret | sha256sum | cut -d -f1) curl -s -X POST http://127.0.0.1:8888/data/api.json \ -d request_token${RT} \ -d request_time${TS} \ -d request_token_sha256${SIGN}这条命令里的TS是毫秒时间戳RT是 md5 出来的 request_tokenSIGN是 request_token 加 app_secret 的 SHA256 值。如果响应头里能看到X-Request-Token说明密钥和签名流程没问题再去接前端。注意sha256sum输出的十六进制是小写PHP 的hash(sha256)也是小写两边对得上。3. 核心逻辑拆解PHP 怎么把「点按钮」变成「自动开站」3.1 宝塔 API 认证token 的获取方式宝塔 API 跟常规 REST API 不太一样不能拿着 app_key 直接请求建站接口得先请求一次/data/api.json换 token后续接口在请求头里带上 token 才有权限。这个机制和大多数 PHP 后台系统的登录态设计类似只是 token 在响应头里返回不在 body 里。具体流程每次请求先拼一个request_token这个字符串可以自定义但通常用毫秒时间戳加随机串做 md5然后按 app_secret 给请求签名最后把 token 从响应头里取出来供后续使用。我封装了一个 BtApi 服务核心代码长这样public function getToken(): string { $time time() * 1000; $secret $this-secret; $requestToken md5($time . haoshu); $data [ request_token $requestToken, request_time $time, request_token_sha256 hash(sha256, $requestToken . $secret), ]; $ch curl_init($this-panelUrl . /data/api.json); curl_setopt($ch, CURLOPT_POST, 1); curl_setopt($ch, CURLOPT_POSTFIELDS, $data); curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1); curl_setopt($ch, CURLOPT_HEADER, 1); curl_setopt($ch, CURLOPT_TIMEOUT, 10); $response curl_exec($ch); $headerSize curl_getinfo($ch, CURLINFO_HEADER_SIZE); $header substr($response, 0, $headerSize); curl_close($ch); if (preg_match(/X-Request-Token:\s*([a-zA-Z0-9])/i, $header, $match)) { return trim($match[1]); } throw new RuntimeException(获取宝塔Token失败请检查面板地址和密钥); }逻辑说明request_token用time() * 1000加固定盐值做 md5保证每次请求都不一样request_token_sha256是 request_token 加 app_secret 的哈希相当于给换取 token 的请求本身签了名。参数里CURLOPT_HEADER设为 1 是让 curl 把响应头一并返回这样才能从 header 里截取 tokenCURLOPT_TIMEOUT给 10 秒面板 API 在高负载下响应会慢但超过 10 秒基本就是面板侧卡住了不值得继续等。3.2 创建站点一次建站要拼好 webname 参数拿到 token 之后就可以调建站接口了。创建站点对应POST /site?actionAddSite它需要的参数比想象中多一些public function addSite(string $domain, string $path, int $phpVersion 74): array { $token $this-getToken(); $webname json_encode([ domain $domain, domainlist [], Index 0, type PHP, ]); $post [ webname $webname, path $path, type_id 0, version $phpVersion, port 80, ps 自助开通, ftp 0, sql 0, ]; $ch curl_init($this-panelUrl . /site?actionAddSite); curl_setopt($ch, CURLOPT_POST, 1); curl_setopt($ch, CURLOPT_POSTFIELDS, http_build_query($post)); curl_setopt($ch, CURLOPT_HTTPHEADER, [X-Request-Token: . $token]); curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1); curl_setopt($ch, CURLOPT_TIMEOUT, 15); $response curl_exec($ch); curl_close($ch); $result json_decode($response, true); if (($result[status] ?? false) ! true) { throw new RuntimeException($result[msg] ?? 建站返回未知错误); } return $result; }webname是一个 JSON 字符串里面domainlist是附加域名数组Index为 0 代表用主域名作为目录归属type固定PHP。version是 PHP 版本内部 ID74 对应 PHP 7.480 对应 8.0。这个映射关系是宝塔面板内部约定的不同面板版本可能有差异部署后建议手动在面板里建一个站对照日志确认实际接受的版本号格式。代码里用http_build_query做参数序列化是必要的。宝塔 API 对 POST 参数的解析依赖 urlencoded 格式直接传数组在部分 PHP 配置下会解析异常这个坑比较隐蔽。sql参数这里先给 0意味着不同时创建数据库如果套餐里包含数据库需要单独调建库接口下一节讲。3.3 建库与密码生成数据库参数不能写死需要给用户开数据库时请求POST /database?actionAddDatabase至少需要name、db_user、db_pwd、codeing、db_type这几个参数public function addDatabase(string $dbName, string $dbUser, string $dbPwd): array { $token $this-getToken(); $post [ name $dbName, db_user $dbUser, db_pwd $dbPwd, codeing utf8mb4, db_type MySQL, dataAccess localhost, ]; $ch curl_init($this-panelUrl . /database?actionAddDatabase); curl_setopt($ch, CURLOPT_POST, 1); curl_setopt($ch, CURLOPT_POSTFIELDS, http_build_query($post)); curl_setopt($ch, CURLOPT_HTTPHEADER, [X-Request-Token: . $token]); curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1); curl_setopt($ch, CURLOPT_TIMEOUT, 15); $response curl_exec($ch); curl_close($ch); $result json_decode($response, true); if (($result[status] ?? false) ! true) { throw new RuntimeException($result[msg] ?? 创建数据库失败); } return $result; }数据库密码不要写死我一般用随机生成器每次创建都生成独立密码function randomDbPwd(int $length 16): string { $chars abcdefghijkmnpqrstuvwxyzABCDEFGHJKMNPQRSTUVWXYZ23456789; $str ; for ($i 0; $i $length; $i) { $str . $chars[random_int(0, strlen($chars) - 1)]; } return $str; }这个生成器排掉了容易混淆的字符l、o、0、1生成的密码即使被打印在工单消息里抄写时也不会出错。生成后把数据库名、用户名、密码、站点路径统一写进bt_sites表用户后续在个人中心能看到完整信息。最后一步是更新站点记录状态并给用户发送开通通知。整套流程下来一般在 5 秒内完成。如果某一步失败建议在bt_api_logs表里记录请求参数和面板返回的原文。这个习惯特别重要线上跑起来之后日志就是排查问题的第一手资料。4. 二次开发指南套餐、配额与域名白名单怎么改4.1 套餐表结构与配额判定默认表结构里有一张bt_plans套餐表控制用户能开几个站、几个库。核心字段用表列一下字段类型说明idint套餐IDnamevarchar套餐名称site_limitint可创建站点数0表示不限db_limitint可创建数据库数ftp_enabletinyint是否允许开通FTPdomain_limitint单站点可绑定域名数pricedecimal套餐价格cycleenum月付/年付用户下单后套餐和用户绑定配额判断在创建站点的入口做。注意一个点配额校验必须放后端不能依赖前端 JS。我见过有同事把限制写在页面脚本里结果被用户直接 post 请求打穿一口气建了十几个站最后才在接口层补上后端校验。public function checkQuota(int $userId, int $planId): bool { $plan PlanModel::find($planId); if (!$plan) return false; if ($plan-site_limit 0) { $count SiteModel::where(user_id, $userId)-count(); if ($count $plan-site_limit) return false; } return true; }4.2 域名绑定数量与格式校验如果要做“一个站点绑定多个域名”的业务可以在addSite之前加一层域名数量和格式校验。我的做法是把用户提交的域名数组解析出来比对套餐表里的domain_limit超过就拒绝创建并返回明确提示public function validateDomainLimit(array $domains, int $planId): void { $limit PlanModel::where(id, $planId)-value(domain_limit); if ($limit 0 count($domains) $limit) { throw new InvalidArgumentException( 当前套餐最多绑定 . $limit . 个域名你提交了 . count($domains) . 个 ); } foreach ($domains as $domain) { if (!preg_match(/^([a-z0-9-]\.)[a-z]{2,}$/i, $domain)) { throw new InvalidArgumentException(域名格式不合法: . $domain); } } }这个正则把https://、斜杠、星号都挡在了门外防止有人把路径直接拼进域名参数。之前有个翻车现场就是用户提交了带../的内容路径段被拼到站点目录里虽然没有提权风险但目录结构被搞乱了加了这个校验之后同类问题再没出现过。域名校验要做两端前端做格式提示是为了体验后端做强制校验才是安全边界。4.3 失败回滚别让半成品站点挂在面板上自助建站是多个 API 请求的组合先建站、再建库。如果建库那一步失败站点已经留在面板里了用户看到的结果是“报错但网站确实存在了”。正确做法是记录当前执行到的步骤失败时调用删除接口回滚$siteResult $btApi-addSite($domain, $path, $phpVersion); $siteId $siteResult[data][id] ?? 0; try { $dbResult $btApi-addDatabase($db, $dbUser, $dbPwd); } catch (Exception $e) { if ($siteId 0) { $btApi-deleteSite((int)$siteId); } throw $e; }删除接口对应宝塔 API 的POST /site?actionDeleteSite参数传站点id。这样用户重新点击创建时不会遇到“站点已存在”的残留问题。回滚时还要注意一点删除站点时宝塔默认保留文件目录如果不想留在磁盘上要看清楚 DeleteSite 的参数说明把删除目录和数据库的选项一并传上避免白白占着磁盘空间。5. 避坑从对接宝塔 API 到上线这五个坑值得记下来5.1 Token 取不到接口一直 403现象前台点击创建日志记录的是403 Forbidden请求根本没到建站逻辑。原因getToken()里解析响应头的正则跟面板实际返回格式对不上。面板返回的是X-Request-Token: xxx但正则匹配时把空格也带进去了请求头拼接后变成X-Request-Token: xxx宝塔侧解析失败直接拒绝。解决正则改成/X-Request-Token:\s*([a-zA-Z0-9])/i取出来后trim()一下。最好把响应 header 原样记录到日志排查时一眼就能看到问题。5.2 站点创建成功但网站打不开现象建站接口返回成功用户访问域名却看到默认欢迎页或者 PHP 代码被当作纯文本输出。原因version参数传了 74但当前面板版本识别的 PHP 版本 ID 不是 74。宝塔不同面板大版本里PHP 版本内部编号并不一致有的面板要用PHP-74这种字符串有的用纯数字 ID。解决部署后先手动在面板里点一次创建站点再去看面板数据库里sites表的php_version字段或者翻事件日志确认实际请求参数把映射关系确认后写进配置。不要想当然地认为 74 一定对应 PHP 7.4。5.3 数据库创建成功但程序连不上现象数据库建出来了业务程序连接时报 access denied。原因宝塔 API 创建数据库后权限默认只授予了localhost的主机访问。如果 PHP 业务代码部署在另一台服务器上或者用户填的数据库地址是公网 IP授权主机不匹配就连不上。另一个常见原因是密码里有#、$这类字符在 shell 拼接时被转义掉实际存进去的密码跟显示的不一样。解决数据库地址和授权主机要统一或者直接授权%通配密码生成时避开 shell 特殊字符。前面给的字符集已经排除了全角符号和特殊字符够用。5.4 用户重复点击同一个域名被创建两次现象创建按钮没做防抖用户双击或网络慢时重复提交同一个域名在面板里出现两条站点记录或者第二次请求返回“域名已存在”。原因前端按钮没有 disabled 状态后端也没有做幂等控制。宝塔 API 本身对已存在域名会拒绝但报错时机不稳定。解决三件事一起做。前端点击后按钮置灰后端在bt_sites表给domain字段加唯一索引进addSite之前先查库存在就直接返回“该域名已开通”不再重复调 API。5.5 API 密钥泄漏被刷建站现象服务器上多了一批不认识的站点目录面板登录日志显示异常 IP。原因config/bt.php的密钥写死在 PHP 文件里站点目录被设置成了 777 权限源码包在传输过程中也没做加密密钥跟着一起泄露。解决密钥独立放到.env文件.env权限设为 600并且配置 Nginx 禁止访问点开头的文件宝塔面板 API 接口开启 IP 白名单只允许本机或内网地址调用在bt_api_logs表里加上请求 IP 字段出现异常调用能第一时间定位来源。6. 上线前加一道保险给创建接口加签名与限流自助建站系统上线后最容易被人盯上的不是宝塔 API 本身而是对外暴露的创建接口。如果让用户直接请求create_site随便写个脚本就能批量刷建站轻则把服务器资源耗光重则导致整个面板被封。所以我在创建接口前加了一个签名校验层前端发起创建请求时用当前时间戳和 shared_key 生成签名后端验签通过才进入建站逻辑。整个过程不需要引入复杂的 OAuth一个简易签名就够了。public function verifySign(array $params, string $sharedKey): bool { $timestamp $params[timestamp] ?? 0; if (abs(time() - (int)$timestamp) 300) { return false; } $checkStr $sharedKey . $params[user_id] . $params[domain] . $timestamp; return hash_equals($params[sign] ?? , md5($checkStr)); }sharedKey同时存在于前端配置和后端.env不在浏览器里明文出现。timestamp防重放超过 5 分钟的请求直接丢弃。hash_equals做常量时间比较避免时序攻击别用直接比较。限流我一般用 Redis 计数器实现在入口加一层每分钟请求次数限制。用 Redis 的 INCR 和 EXPIRE 最方便$key site_create: . $userId . : . date(i); $count $redis-incr($key); if ($count 1) { $redis-expire($key, 60); } if ($count 3) { throw new RuntimeException(每分钟最多创建3个站点请稍后再试); }频率放到 3 次/分钟手动测试也够用批量刷直接被弹回去。做完签名和限流这两件事系统才算真正能放在公网环境跑。从那以后我每次部署这套自助建站源码都会强制把签名校验、限流、密钥权限三项检查走一遍再开放前台注册这三件事在源码里默认可能没做得那么完整上线前最好自己补上。希望这篇拆解能帮你在部署和二次开发时少走几步弯路一步步跑通它。本文还有配套的精品资源点击获取