上线前检查

伪静态规则

Nginx 完整示例：

server {
    listen 80;
    server_name pycms.example.com;
    root /www/wwwroot/pycms-market;
    index index.php;

    location / {
        try_files $uri $uri/ /index.php?$query_string;
    }

    location ~ \.php$ {
        include fastcgi_params;
        fastcgi_pass unix:/run/php/php8.0-fpm.sock; # 按实际 PHP 版本调整，支持 8.0 - 8.5
        fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
    }

    location ~* /storage/ {
        deny all;
    }
}

必须修改的配置

• security.key：下载令牌签名密钥，泄露后可伪造下载链接。
• 后台管理员密码：不要保留演示密码。
• 支付密钥：建议改为环境变量读取，不要提交到公开仓库。
• app.debug：生产环境设为 false。
• notify_url：正式域名 + HTTPS，避免异步通知失败。

权限建议

• Web 运行用户只拥有 storage/ 与 assets/uploads/ 写权限。
• config/config.php 设为 640，属主为 Web 用户。
• 禁止执行 storage/ 下的任何 PHP 文件。
• 定期备份数据库与 storage/packages。

HTTPS

支付回调与开发者登录都涉及敏感信息，必须启用 HTTPS。申请证书后把站点地址改为 https://，并确认后台「平台设置」中的站点 URL 同步更新。