Xiuno BBS 审计之问题14：依赖XXTEA 弱加密算法的鉴权令牌可被伪造
本文分享了Xiunox版本重构审计中发现的问题，该问题已在新版本中修复，供基于xiunobbs4.0.4版本开发者和站长参考。核心加密函数xn_encrypt/xn_decrypt在未加载xiuno.so时回退到纯PHP实现的XXTEA算法，该算法非现代标准，存在密钥派生弱、密文无完整性校验等问题。密钥派生仅md5，密文可被篡改，影响bbs_token、bbs_admin_token等鉴权令牌，存在身份伪造风险。修复建议改用现代AEAD算法，使用HKDF/PBKDF2进行密钥派生，并增加随机IV与认证标签及MAC校验，同时强制随机生成auth_key。
Xiuno BBS 审计之问题10：后台 phpinfo() 暴露完整服务器环境信息
Xiuno BBS 4.0.4 后台存在 `phpinfo()` 接口（`admin-index-phpinfo.htm`），无 CSRF 防护，可被诱导触发。该接口直接输出完整 PHP 环境信息，泄露绝对路径、PHP 版本、`disable_functions`、`bbs_admin_token` 等敏感数据，属中高危信息泄露风险。（239字）
阿里云ECS云服务器手动搭建Discuz!论坛：从零到上线全攻略
本文提供了一份完整的阿里云ECS云服务器手动搭建Discuz!论坛的技术指南。从ECS实例的选购与安全组配置出发，详细讲解了LAMP（Linux+Apache+MySQL+PHP）环境的完整部署流程，包括各组件的安装、启动与验证。随后深入Discuz! X3.5的下载、解压、文件部署与安装向导配置，涵盖数据库创建、管理员账号设置等核心环节。文章还针对生产环境的安全加固提出了具体建议，包括文件权限的最小化原则、域名绑定与备案流程、伪静态URL优化、数据备份策略以及性能调优方案。最后总结了搭建过程中常见的故障场景及对应的排查思路，帮助读者系统掌握在阿里云ECS上独立部署Discuz!论坛的全链路技
