ZBlogCMS 采集插件是否稳定安全

学完这篇你能得到一套判断 ZBlogCMS（Z-BlogPHP）采集插件是否稳定、安全的实测流程和避坑清单。

第一步：确认版本兼容，别装错包

这一步要确认你的 ZBlogPHP 版本、PHP 版本和插件要求是否匹配，做完能得到一个“能不能装”的结论。

进入 Z-BlogPHP 1.7.3 后台，左侧菜单点「应用中心」→「插件管理」，再点「导入插件」上传 .zba 包；或者直接在「应用中心」搜索插件名。看插件详情页的「适用版本」和「PHP 版本」。如果插件只写支持 5.6-7.4，而你的服务器是 PHP 8.1，不要装。

查看 PHP 版本：在宝塔面板 7.x/8.x 中进「网站」→「站点设置」→「PHP版本」。命令行执行：

php -v

注意：Z-BlogPHP 1.7 以后应用中心有签名校验，任何要求你关闭签名校验才能装的插件，都不要用。

第二步：装前备份、隔离、看权限

这一步要做备份和代码初筛，做完即使插件有问题也能一键回滚。

先备份：宝塔面板「数据库」→ 选中站点数据库 → 点「备份」；再进「文件」→ 站点根目录 → 压缩 wwwroot 目录。然后建测试站，例如 test.example.com，不要在生产站直接启用采集插件。

解压插件包，检查危险函数：

grep -R "eval(\|base64_decode(\|shell_exec(\|file_get_contents('http\|curl_exec" zb_users/plugin/

目录权限建议：插件目录 755，文件 644，属主 www。

注意：Z-BlogPHP 插件能读取 c_option.php，里面含数据库账号密码。给 777 权限或给管理员权限，等于把整站交出去。

第三步：小量采集，测稳定性

这一步要验证插件会不会拖慢站点、重复入库或导致 502，做完能判断它能不能长期跑。

后台「插件管理」找到插件，点「启用」。先设置采集 1-5 条，间隔 10 秒以上，不要一上来采 1000 条。打开宝塔「监控」看 CPU、内存、MySQL 连接数。再进 Z-BlogPHP 后台「网站设置」→「调试模式」开启，查看 zb_users/logs/ 或 zb_users/data/logs/ 里的错误日志。

重点观察：文章是否重复、标题是否乱码、是否出现 404、MySQL 连接数是否爆满。若出现 502/504，把并发降到 1，超时调到 30 秒，并检查伪静态规则冲突。

注意：采集插件最常见的问题是循环采集、重复插入和未释放数据库连接，表现就是数据库连接数飙升。

第四步：查外部请求和越权操作

这一步要确认插件有没有后门、会不会偷传数据或改管理员密码，做完能排除明显恶意插件。

按 F12 打开浏览器开发者工具，切到 Network，看插件运行时请求了哪些域名。正常采集只应请求目标站；如果还请求作者服务器、统计站或陌生 IP，就要警惕。

再搜索代码里是否有越权操作：

grep -R "UPDATE zb_users\|DELETE FROM\|admin\|password\|file_put_contents" zb_users/plugin/

给采集插件单独建一个低权限作者账号：后台「用户管理」→「新建用户」→ 权限选“作者”或“ contributor”，不要用管理员账号跑采集。

注意：任何要求开启 allow_url_include=On、给 777 权限、关闭签名校验的插件，直接放弃。

第五步：上线后的监控和退出机制

这一步要保证插件长期不更新时你能安全停用，做完就有退出方案。

上线后每天看 zb_users/logs/，每周记录插件版本。若插件半年不更新、作者失联、应用中心下架，就停用并删除。删除顺序：后台「插件管理」→「停用」→「删除」，再删 zb_users/plugin/插件ID/，最后保留数据库备份。

小结

• ZBlogPHP 1.7.3 只从应用中心装，核对适用版本和 PHP 版本。
• 先测试站、小量采集、开调试日志，再上生产。
• 检查 eval、base64_decode、外部请求，权限用 755/644。
• 采集插件不要用管理员账号，单独建低权限用户。
• 不更新、失联、下架的插件，停用删除并保留备份。