简介XYHCMS网站管理系统 v3.5 build0518 是一款基于PHP与MySQL的开源CMS定位于个人博客、企业建站及个性化站点快速搭建适合具备一定开发基础的网站管理员和PHP学习者使用。系统采用三层架构与MVC模式将数据访问、业务逻辑与页面展示分离便于代码维护和功能扩展同时内置防SQL注入、防XSS等常见安全机制并设有分角色权限管理整体实用且轻量。压缩包大小约8.67MB文件组成以源码包为核心并附有HTML安装说明、文本版下载指引等辅助文件便于用户完成部署配置与二次开发。通过这套资源读者能直接获得一套可运行的CMS源码深入理解内容管理系统的目录结构、后台交互流程及数据库表关联也可在此基础上改造模板或新增业务模块提升自身对PHP工程的综合实践能力。目前已有156人学习与下载对于需要快速上手开源CMS或研究MVC建站流程的开发者而言是性价比较高的入门参考素材。1. XYHCMS v3.5 到底适合做什么先看这套系统值不值得上手做网站开发这些年我接过不少“帮忙改改老系统”的活儿其中遇到最多的就是 XYHCMS。标题里这套 v3.5 bulid0518从文件名就能看出是 2018 年 5 月 18 日打包的构建版本到现在依然有不少企业网站在跑。很多新手拿到第一反应是问“这系统还值不值得学”我的答案是值得。XYHCMS 本质是一套基于 PHP MySQL 的内容管理系统核心价值是后台管理、栏目模型、模板标签都做得足够简单哪怕你不会写代码也能在半小时内把栏目建好、文章发出去。对想快速搭企业官网、内容站的人比从零写框架或者用某些臃肿的建站程序省心得多。这篇文章我会把这个版本从环境搭建、后台操作、模板二次开发到上线排错完整过一遍直接把落地路径和坑点交给你。2. 跑起 XYHCMS bulid0518 之前环境搭配与安装参数的三个关键选择2.1 为什么 Nginx PHP 7.x 是 v3.5 的稳定底座我见过不少人在安装这个版本之前直接丢到 Apache 里就跑结果伪静态规则对不上栏目页一访问就 404。v3.5 的时代正好赶上 PHP 5.x 到 7.x 的过渡官方虽然对 PHP 5.4 都能跑但我实际部署下来的经验是PHP 7.0 到 7.2 是最稳的区间。太高的 PHP 8.x 可能踩到老代码的兼容性问题比如each()函数被移除、count()参数变化动辄白屏。所以我一般建议用 PHP 7.2 Nginx 的组合这也是宝塔面板里最顺手的一套。你需要确认好这几个扩展pdo_mysql、gd、curl、mbstring。尤其是gd不装的话图片上传、缩略图生成都会静默失败后台看不出报错直到你打开 front 页面发现图片裂了才反应过来。安装前可以用下面这段命令快速检查php -m | grep -E pdo_mysql|gd|curl|mbstring如果输出里少了某个扩展在宝塔面板的软件商店里找到你的 PHP 版本点击“安装扩展”勾选对应项再重载 PHP 服务。命令行装的话比如 Ubuntu 上你自己编译或从源装就执行sudo apt-get install php7.2-gd php7.2-mbstring php7.2-curl php7.2-mysql sudo systemctl restart php7.2-fpm2.2 用宝塔或手动命令完成安装从上传到 admin 登录整个安装过程不算难但有个细节很影响体验文件名里的 bulid0518 是构建号不代表你需要去下多个补丁包。你拿到手的通常是一个完整压缩包解压后里面有index.php、install/目录、template/目录等。把压缩包上传到站点根目录后解压unzip xycms_v3.5_build0518.zip -d /www/wwwroot/your-site chown -R www:www /www/wwwroot/your-site chmod -R 755 /www/wwwroot/your-site注意最后两步不设置www用户所有权后续后台生成缓存目录时会直接报“目录不可写”。接着在浏览器访问http://你的域名/install进入安装向导。向导一般会先检查环境然后要求填数据库信息。这里我踩过最大的坑是数据库前缀。默认可能是xycms_如果你在同一台机器上装很多个站强烈建议改成不容易撞的前缀比如v35a_否则以后备份恢复或两个系统并库时表名冲突会让你怀疑人生。安装完成以后系统默认会生成一个admin入口登录后台后第一件事不是急着发文章而是去修改后台目录名。v3.5 的后台默认在/admin建议把目录改成一个不显眼的字符串比如/manage35。这不算加固但能挡住 90% 的扫描器。2.3 安装阶段就要改掉的两个默认配置第一个是默认管理员密码。安装时设置的密码如果太简单后台登录框会一直提示验证码错误甚至会触发账号锁定。我见过有人反反复复试了十几遍最后发现是浏览器自动填充了一个旧密码。装完后最好用隐身窗口手动输入一次确认能登录再关。第二个是上传大小限制。v3.5 默认的上传限制通常在 2M 到 10M 之间取决于 PHP 的upload_max_filesize和post_max_size。如果你要做产品图、视频展示必须提前改大。在 PHP 配置文件里搜索这两个参数upload_max_filesize 50M post_max_size 50M max_execution_time 120 memory_limit 256M改完后重启 PHP 服务。别只改一个upload_max_filesizepost_max_size比它小的话上传请求会直接被拦截。改完这两个参数还有个小习惯安装完把/install目录删掉或者改名避免别人在你站点上重装覆盖掉数据。3. 后台管理与内容发布v3.5 后台功能的正确打开顺序3.1 栏目规划与模型选择先定结构再发文章很多新手拿到后台第一件事是去点“添加内容”结果发完发现首页什么都没变。原因很简单内容必须挂到栏目下首页默认调用的是某个特定栏目或推荐位。所以打开后台的正确顺序应该是“栏目管理 → 添加栏目 → 再发内容”。v3.5 里栏目分为单页栏目、列表栏目和外部链接三种类型。做企业官网时我的做法一般是栏目类型适用场景我的用法单页关于我们、联系我们固定介绍不频繁更新列表新闻资讯、产品中心每天或每周更新外部链接友链、跳转入口直接指向站外地址建栏目的时侯建议把“栏目描述”和“栏目关键词”都填上。虽然看起来只是给 SEO 用的但背地里它还影响前台列表页的meta输出。不填的话同站页面全部是重复的 title权重会被稀释。3.2 发布内容的必调项SEO 设置与自定义字段在 v3.5 后台发布文章时表单里除了标题、正文下面通常还有一栏“SEO 选项”。我建议你养成一个习惯每篇文章都手写 SEO 标题和描述别偷懒用默认规则拼接。v3.5 的默认标题规则可没你想的那么智能如果你不填它会自动变成“文章标题 - 网站名称”这种千篇一律的标题在搜索引擎里几乎没有吸引力。正文编辑器里支持插入图片和附件。提一句如果发现编辑器里没有上传按钮多半是gd扩展没启动或者是用户组权限没勾选“允许上传附件”。后者在“用户管理 → 权限设置”里需要给发布内容的管理员单独勾上。另外自定义字段比如产品型号、价格、规格要在“模型管理”里预先定义发布文章时才会出现对应的表单框。这个版本里模型字段类型有文本框、下拉框、数字等够企业站用但不支持复杂联动别抱太高期望。3.3 会员与权限分配别用超管干所有事我看不少团队拿一个超管账号给五六个人用出问题后完全不知道是谁改了数据。v3.5 后台的权限粒度虽然不算细但至少支持“管理员分组”。你可以建一个“编辑组”只授予内容发布、栏目管理的权限不给系统设置和模板修改权限。前台用户可以参与评论等。需要特别注意给管理员账户设置单独的后台登录 IP 限制如果你用的是 Nginx也可以在 server 块里做 allow/deny。这个 CMS 的管理后台登录没有两步验证全靠密码复杂度。如果团队里有人把密码设成admin123那这台服务器基本上等于门没锁。我在做安全巡检时会用类似下面这条命令查一下后台登录日志假设日志路径是/www/wwwlogs/grep login /www/wwwlogs/your-site-access_log | grep -E (POST|/admin) | tail -20这条命令用于确认是不是有异常的登录 POST 请求。如果发现短时间内来自同一个 IP 的多次 POST就要警惕爆破。处理方法很简单在 Nginx 配置里对/admin路径做并发限制比如limit_req zoneadmin burst2 nodelay;能扛掉一批脚本。过犹不及的是限制调得太狠会把你自己也锁在外面得等几秒才能进后台。4. 模板修改与二次开发v3.5 的标签调用和路由逻辑4.1 看懂后台模板机制标签调用和系统函数XYHCMS v3.5 的模板机制比某些国产 CMS 要接近 Laravel 的 Blade但又没那么严格。它是把 PHP 代码直接嵌在.html模板文件里通过系统函数输出数据。常见的标签有这么几个?php get_header(); ? ?php system::get_category(2, catlist); ? ul ?php foreach($catlist as $cat): ? lia href?php echo $cat[url]; ??php echo $cat[name]; ?/a/li ?php endforeach; ? /ul ?php get_footer(); ?第一行get_header()引入公共顶部最后一行引入底部。中间段system::get_category(2, catlist)是指获取 ID 为 2 的栏目的子栏目列表并把结果赋给$catlist变量。这只是个例子实际函数名可能略有差异但思路一致。你要理解的是这段代码背后的顺序PHP 是服务端先把标签解析成数组再交给模板循环输出。所以不要试图在模板里用foreach去遍历一个还没取出来的变量。调试的时候如果想知道某个变量到底有没有值加一句?php var_dump($catlist); exit; ?用完记得删掉否则整个页面后面都是空的而且不会报错让人以为是模板路径错了。4.2 自定义首页列表页一个可复制的修改流程一般要改的是首页栏目列表的样式。我的流程分三步第一步复制默认模板文件到自定义目录避免改坏原文件。在template/default/下找到index.html复制到template/mystyle/作为起点。第二步找到列表循环区域。通常是一个ul包裹着多个li每个li里打印标题、摘要、时间。把这个区域替换成你自己想要的 HTML 结构。比如想做成卡片式就需要把循环部分改成div classlist-item h3a href?php echo $article[url]; ??php echo $article[title]; ?/a/h3 p classtime?php echo date(Y-m-d, $article[time]); ?/p p classdesc?php echo mb_strcut($article[description], 0, 80); ?/p /div第三步在后台“系统设置 → 模板选择”里把你的模板目录设为当前模板。如果前台没变看一下是不是有缓存目录需要清空。v3.5 通常会在data/cache/下生成编译后的模板文件改动不会立即生效你得把缓存目录里的对应文件删除。手动删的话rm -rf data/cache/*别担心删坏浏览器刷新一下会自动重新编译。如果你改了很多遍但一直看到旧页面十有八九是缓存没清干净。4.3 二开时不能碰的核心文件附备份技巧如果你不只是改标签还想增加控制器逻辑那你一定要先搞清楚哪些文件不该动。v3.5 目录结构里/include和/core是核心运行库如果你直接改它们下次升级会直接被覆盖而且很难排查到原因。我只会修改以下两类位置一是模板目录里的.html文件二是自己新增的扩展类文件放在/ext或/plugin等对应目录具体以源码目录提示为准。顺手备份就两条命令。本地快速打包整个站点和数据库tar czf xycms_backup_$(date %F).tar.gz /www/wwwroot/your-site mysqldump -u root -p your_database your_database_$(date %F).sql第一条把站点文件全部打包第二条导出数据库。$(date %F)会自动带上当天日期万一改坏了可以随时回滚。这个习惯比我前几年裸改代码可强多了。最好把备份文件下载到本地或另一个目录别保存在网站根目录否则攻击者带宽够的话可以直接拖库。5. XYHCMS v3.5 避坑指南部署到内容上线最常见的 5 个问题5.1 安装后首页空白或 500现象安装完访问首页什么输出都没有或者直接 500 错误页。原因分布很杂最常见就两种一是 PHP 版本太高碰到老函数兼容问题二是根目录权限不对runtime、data目录不可写程序启动时连日志都写不了自然白屏。解决先把 PHP 切到 7.2 试试如果切完恢复正常就锁这个版本别去追新。如果还白屏看错误日志tail -100 /www/wwwroot/your-site/data/logs/*.log如果日志无输出则执行php -r die;这会触发一次 PHP 执行的简单测试如果页面也是 500说明 PHP 进程本身挂了。再配合tail -30 /var/log/nginx/error.log看 nginx 报什么错。最后大概率回到权限问题chmod -R 755 /www/wwwroot/your-site chown -R www:www /www/wwwroot/your-site。这个版本对www用户的所有者要求挺严格后面换过主机或重传过文件都会踩一次。5.2 后台登录验证码/密码错误现象密码确定没错但总是提示验证码错误或者登录后跳回登录页。原因通常是浏览器缓存了旧验证码图片以及后台 session 存储目录没有写权限。我见过一个更鬼畜的服务器时间比真实时间快了半个小时跨天了导致 session 过期判断出问题。解决第一步清除该域名下 cookie换个隐私窗口重新打开登录页。第二步验证码图片不更新时直接在浏览器地址栏强制刷新CtrlF5。第三步如果还不行检查 PHP session 配置默认是/var/lib/php/sessions确认存在且可写ls -ld /var/lib/php/sessions sudo chown -R www:www /var/lib/php/sessions如果登录后一直跳回登录页把站点配置里的域名从localhost改成实际域名并且确认前台能用该域名访问。5.3 上传图片失败/附件丢失现象编辑器上传图片时提示“上传失败”但文字能发出去或者后台显示图片存在前台加载出来却是裂图。最气人的是后台连个报错都不给。原因十有八九是gd库没装或者上传目录没有写权限。解决先确认gd扩展存在执行php -m | grep gd。如果没有按我在第二章说的方法装扩展。装好后如果还失败找到上传目录通常位于/uploads执行chown -R www:www /www/wwwroot/your-site/uploads find /www/wwwroot/your-site/uploads -type d -exec chmod 755 {} \;如果图片传上去了但前台裂图打开后台附件管理看缩略图是否生成。如果原图有、缩略图没有多半是gd缩略图函数不支持当前图片格式比如 WebP 图片老版gd兼容性差。解决方法是把图片转成 JPEG/PNG 后再传。5.4 栏目页伪静态 404现象在后台开启了伪静态后首页能打开但点栏目页或详情页直接 404。这问题十有八九是 Nginx 的伪静态规则没配对。解决v3.5 需要的 Nginx 重写规则你可以先试试最简单的一套location / { if (!-e $request_filename) { rewrite ^/(.*)$ /index.php?$1 last; break; } }如果加了还 404看一下后台设置里的“URL 模式”是rewrite还是pathinfo。如果选的是 pathinfoNginx 还需要在server块里加一句location ~ \.php(/|$) { fastcgi_pass php-fpm; fastcgi_split_path_info ^(.?\.php)(/.*)$; fastcgi_param PATH_INFO $fastcgi_path_info; include fastcgi_params; }但说实话v3.5 我更推崇直接用rewrite模式它兼容性最好不用在 Nginx 里折腾 PATH_INFO。改完后台缓存再刷新一次。5.5 内存溢出/进程卡死现象后台批量生成静态页面时提示“内存不足”或者数据库查询一多PHP-FPM 进程占用内存一直涨最后卡死。这个问题在 v3.5 上非常典型因为老代码对数据量大的栏目缺乏高效分页单次查询会把整个栏目列表都拉出来循环。解决第一是调大 PHP 内存限制到256M起步这个 CMS 做全站静态化时内存消耗不小。第二个办法是在数据库层面给常用字段加索引特别是cat_id、create_time。我遇到一个客户文章表才 5 万条后台列表就慢到十几秒查了一下model_id没索引加上后秒开。命令参考ALTER TABLE xycms_article ADD INDEX idx_cat_time (cat_id, create_time);这里的表名是示意实际表名请用你自己安装时的前缀去查。还有一个小技巧定时任务里加一条清理日志的命令别让后台日志文件无限膨胀。比如每天凌晨清一下data/logs/目录里 7 天前的文件可以用 cron0 3 * * * find /www/wwwroot/your-site/data/logs -type f -mtime 7 -delete加不加这条并不影响现在跑但对长期维护来说能避免站点在半年后突然陷入“磁盘满”的窘境。6. 把 v3.5 用得更省心一个上线检查清单与数据备份技巧到这一步你的站点基本能正常访问、后台也能发布内容了。但我最后会让你做一遍上线前的检查清单别跳过。检查以下项在隐私窗口下重新走一遍“访问首页 → 点击栏目 → 打开详情 → 提交一个测试留言”四个动作确认没有 404、500 和报错弹窗。用手机浏览器再访问一次看菜单是否适配窄屏。v3.5 自带模板对移动端支持一般如果不适配至少需要给body加一段简单的响应式补丁。后台检查一遍系统设置里的“网站地址”和“静态域名”确保不是http://localhost或http://IP:端口之类否则生成的分享链接全错。关闭后台里不需要的投票、评论等扩展模块减少被攻击面。然后说备份。我自己的习惯是不仅备份文件还备份数据库的“表结构 数据 权限”三样。上面给的mysqldump命令能做到但还得加两个参数更稳妥mysqldump -u root -p --single-transaction --set-gtid-purgedOFF your_database your_database_$(date %F).sql--single-transaction会在备份期间不给整站锁表避免前端用户正在发评论时被你搞断--set-gtid-purgedOFF是解决导入到新环境时抛出 GTID 错误的老毛病。如果数据库比较大还可以加上--quick让逐行导出。最后说说我踩过的一个真教训早先给客户做迁移只拷了文件和数据库但忘了处理缓存目录里残留的绝对路径。到了新服务器后台一直登不进前台很多图片链接都指向旧域名。后来才意识到是缓存文件把旧站点的域名、路径写死在data/cache里。所以迁移后第一件事就是清空缓存目录、再生成一次。从那以后我每次上线前都要重复一遍“清缓存、开隐私窗口、走全流程”。这套清单不算复杂但能把 v3.5 这套老而实用的系统稳稳地兜住。希望帮到你。本文还有配套的精品资源点击获取