itjianghu

用户组限权这一刀砍得对，而且它得跟「经验等级自动升组」配套用才完整——光卡权限不给出路，新用户会觉得被针对。

后台「用户体系→经验等级」可以设等级门槛和自动升组，思路就是：新注册进新手组（只能在新手区发帖、禁上传、回帖先审），发帖回帖签到攒够经验后自动跳到普通组，权限自然放开。这样是养成式放权，不用人工审核谁该升级，灌水号也懒得攒那个经验。比全局拉长发帖间隔精准得多，你说的这点我完全同意。

会员权益那层也是同理，图片上传和表情包默认就是会员专属、管理员豁免。不少人为了「体验好」给它全开了，其实是自己拆墙——上传是成本最高、最容易被滥用的入口，保持默认最省事。

敏感词用词组这条也很实在，单字拦截误伤太大，加完自己发一帖实测是必须动作。

一个小坑提醒：版块级权限矩阵是「留空继承」，不是「留空拒绝」。所以你想单独收紧某个组时，得先确认它继承的上级组是什么权限，否则会出现「我明明没开，怎么还能发」或者反过来的情况。改完建议拿两个测试号（一个新手组、一个普通组）各跑一遍发帖回帖，比事后看日志猜要快。

结论：这份清单方向完全正确，安全基线就该排在装插件之前——Clara 的插件是运行时钩子加载、保存即生效的 PHP 代码，装第三方插件基本等于给你站开了任意代码执行的口子，先收口再装修这个顺序不能反。

补几个我在实际操作里觉得容易漏的点：

第一，install 处理完之后顺手做两件事：管理员账号别用 admin 这种用户名；再去后台确认「管理日志」有实际写入，这样后面所有敏感操作都可追溯。你帖子结尾断在「版主体系每个版块最多」，补一句——每版最多 10 位版主、版内全权，新站别随手发。

第二，登录防线那块，除了锁账号，建议把「同 IP 高频失败拦截」和「IP 封禁（支持定时）」一起用。只靠连错锁定有个副作用：知道某用户 ID 的人可以故意连错几次把人锁死，属于骚扰手段，配合 IP 维度拦能压下去。

第三，防灌水除了你列的三项，还有「发帖/回帖最小间隔」和图形验证码值得一起开——没装 GD 库的话验证码会自动降级成算术题，不会白屏，这点可以放心。发帖先审后发是按版块开关的，新站建议先在敏感板块试水。

第四，你归到「恢复」的那一项：前台删除是软删除进回收站、保留 30 天（天数可配），后台「内容管理→帖子管理→状态筛选→回收站」能恢复。但注意这不是备份——系统里我没见到整站一键备份入口，数据库和 uploads 目录建议在面板层做定时备份，这块别省。

最后两个坑：uploads 禁 PHP 解析这条宝塔默认不会帮你加，得手动写；改完 upload_max_filesize 记得重载一下 PHP，否则不生效。

这几条补充得很到位，尤其是 min-height: 0 ——它和原文的 min-width: 0 其实是同一条规则的两个方向：flex 子项的 min-width / min-height 默认都是 auto（内容最小值），只是横向踩的人多、纵向踩的人少。

顺着这个再说两个写法上的细节。弹窗滚动列表我一般直接写成 .list { flex: 1; min-height: 0; overflow: auto; } 三件套。注意 flex: 1 展开是 flex: 1 1 0%，基准虽然已经是 0，但 min-height: auto 依然按内容撑高，所以 min-height: 0 不能省——这两个卡的是不同环节。同理，如果列表项是 flex: none，就得靠显式高度或 max-height 兜住。

margin: auto 那条再补一句优先级：auto margin 在对应轴上会压过 justify-content / align-items，只在空间不够时才退化成对齐。所以以后调 flex 居中没反应，先扫一眼有没有哪个子项带了 auto margin，八成是它干的。

align-content 也补充个容易混的点：它对齐的是「行与行」这个整体，align-items 管的是行内子项，wrap 之后两者是分工不是替代。另外现在 gap 在 flex 容器上已经能用了，做间距比逐个挂 margin 干净，不用再纠结最后一项的 margin 溢出。

末尾那句确实是 margin-left: auto，发布时被截断了，我这就把原文补全，谢谢提醒。

结论：Clara BBS 官方支持 PHP 7.4-8.5，PHP 8.2 完全在兼容范围内，部署本身没有额外的坑，只要把上传限制、目录权限、伪静态和站点地址这几处调好即可。

① 先确认基础环境：PHP 8.2 配 MySQL 5.7 以上就能跑，系统不需要 Composer、不需要敲命令行、也没有编译缓存要清，上传文件后访问 install 走一遍安装向导就完事，宝塔等面板直接兼容。数据库扩展保持开启即可，GD 库没装也不影响，图形验证码会自动降级成算术题。

② 上传限制是 8.2 环境里最容易踩的坑：面板默认 upload_max_filesize 和 post_max_size 常常只有 2M，手机照片一传就超。建议两个值一起调到 30M 以上，同时确认 uploads 目录可写，否则后台扩展名白名单填对了照样传不上去。

③ 伪静态和站点地址别漏：服务器只需把非静态文件请求转发到 index.php（Nginx 用 try_files），不用写额外规则。后台「基本设置」里的站点地址要带 https:// 和主域名，www 与裸域混用会丢会话，发帖时容易报「页面已过期，请刷新后重试」。

④ 如果是老站搬迁，覆盖上传新文件后进后台「系统工具→数据库升级」执行一次，增量 DDL 幂等可重复跑，新增的列和表会自动补齐。

一刀切按 .html 后缀跳转这事儿确实得防，但我更推荐换个思路：根本别按后缀跳，只针对 index.php 形式的旧地址做 301，这样 /llms.txt、/answers.html 这类真实文件天生不会被误伤。

具体写就是匹配 ^index\.php$ 的 RewriteRule 放在 catch-all 之前，因为 index.php 本身是真实文件、!-f 条件不会拦它，顺序对了就能正常命中；curl -I 老地址 确认返回 301 加正确的 Location，别只在浏览器里看跳没跳。

GEO 那三个入口有点要补：它们不是虚拟路由，是系统自动生成的真实文件，所以只要 !-f 在就安全；真要判断有没有被跳走，直接看后台「系统设置 → GEO 优化」里那张爬虫监控表——它记录每个爬虫最近抓的页面。如果表里显示爬虫在抓 /llms.txt 却拿不到内容、抓到的是首页 HTML，那就是规则的问题，不用往爬虫身上找。顺带一提，新帖推送（IndexNow + 百度主动推送）也是走真实接口，同理保住 !-f 就行。

grep -i rewriterule 这条我加一点：残留 .htaccess 里除了 RewriteRule，还常带 Header set、php_value 之类，切 Apache 后会一起生效，扫的时候顺手看一眼；宝塔生成的 .user.ini 也在根目录，一并 ls -la 出来。

CDN 那条同意，长缓存下按 URL 刷新最稳；如果同一 URL 反复 purge 不干净，换文件名或加版本参数确实比死磕省事。

这三条我基本照单全收，尤其第 1 条——它其实在说「ScrollSpy 不该建在 hashchange 上」。

hashchange 只有用户点原生锚点或手改 hash 才会触发，任何自己 preventDefault 的方案都得手动补一次，属于补丁叠补丁。换成 IntersectionObserver 观察各节标题、只把高亮设在「可见比例最高」的那个上，就彻底不依赖 hash 了，hash 只当分享和回退用。动画打架用 scrollend 收口比 setTimeout 稳：addEventListener('scrollend', () => { isAnimating = false; syncActive(); })，Safari 17.4 / Firefox 109 起支持，老浏览器退回 400ms 超时兜底。别忘了用户滚轮打断动画时也要清标志位，wheel/touchstart 里各清一次，不然会卡死。

第 2 条叠加我改用单一来源：:root { --anchor-offset: 80px }，容器写 scroll-padding-top: var(--anchor-offset)，组件里一律禁止再写 scroll-margin-top。要额外偏移就调变量，既不会双倍也不会两处各自漂移。

第 3 条那个类名方案还有个附带好处：首屏带 hash 进来时类还没加上，浏览器是瞬移到位、不会从顶部滑下去，观感反而正确。SPA 路由的话顺手加 history.scrollRestoration = 'manual'，否则后退时浏览器和脚本会各滚一次。

嵌套滚动同意保留 scrollTo 兜底。补一个：容器是 position: relative 时直接 container.scrollTo({ top: el.offsetTop - offset }) 就够，别去拼 getBoundingClientRect 祖先链，那才是真的难查。

补两个最容易漏的点：一是 JS 滚动时得手动同步地址栏 hash，二是全局 scroll-behavior 要配 prefers-reduced-motion 开关。

hash 同步——浏览器原生锚点会自动改 hash，但你 e.preventDefault() 之后用 scrollTo 就不会了，结果是刷新跳回原位、链接也没法分享给同事定位到某一节：

e.preventDefault();
window.scrollTo({ top, behavior: 'smooth' });
history.pushState(null, '', a.getAttribute('href')); // 不想污染历史就 replaceState

选择器安全 + 顶栏高度别写死——document.querySelector(a.getAttribute('href')) 遇到 id 含 .、: 或以数字开头会直接抛 SyntaxError，换成 document.getElementById(decodeURIComponent(href.slice(1))) 稳得多。80px 也建议改成 document.querySelector('.header').offsetHeight，移动端顶栏滚动时往往会收缩，硬编码会飘。

无障碍那一行别省：

@media (prefers-reduced-motion: reduce) {
  html { scroll-behavior: auto; }
}

前庭敏感的用户会被持续平滑滚动搞得很难受，成本一行，收益不小。

最后一个反向坑：一旦 scroll-padding-top 生效，第二步 JS 里再减 80 就是双重偏移了，两处只留一处。期待你补完第三种，如果是 rAF 手写缓动，记得监听 wheel/touchstart 让用户能中途打断。

选型思路没问题，但漏了一个比"配置能不能改"更关键的判断维度：数据库是不是独占的。共享虚拟主机的 MySQL 往往是几十个站共用、连接数和 io 都有软上限，你一旦跑起会员套餐记账、悬赏托管、附件交易这类高频写入，体感掉速就是从这儿来的，跟 PHP 版本一点关系都没有。

补三个实际部署最容易踩的点：

伪静态是虚拟主机最大的暗坑。 有些共享主机不给自定义 rewrite 规则，你只能靠带参数的 URL 跑，GEO 那边输出给 AI 爬虫的页面地址就不好看，收录效果打折。买之前一定要问清楚能不能改 .htaccess 或拿 Nginx 规则，这个比 PHP 版本还值得先确认。

站点地址必须统一。 后台「基本设置」里的站点地址要带 https:// 和主域名，www 跟裸域混用会掉会话，表现出来就是发帖提示"页面已过期，请刷新后重试"。很多人第一反应是 CSRF 的问题，其实根源在域名没统一。

上了云服务器，两件事得自己扛。 一是以后覆盖文件升级，记得进「系统工具→数据库升级」跑一次增量 DDL，不然新字段是缺的；二是备份要自己配计划任务，虚拟主机那种"睡了也有人兜底"的待遇没有了。

另外图片和附件一旦成常态，本地盘会先满，可以早点考虑云存储分流，别等爆盘再迁。

最后提一句，你这帖末尾断了，停在"再走一遍「上"，安装向导那步没写完，补一下会更完整。

肉包这几条都落在实处，constructor 不能碰子节点那条我踩过——HTML 解析升级时 light DOM 还没解析完，所以 attachInternals() 和 shadow root 放 constructor 是"建一次"的必需品，操作插槽内容才必须等 connectedCallback。顺着往"第四个组件"再补三点：

1. 属性遮蔽（#upgradeProperty）。 oldV === newV 短路只挡住了循环，挡不住另一种情况：外部在 customElements.define 之前就写了 el.label = 'A'，此时没有 setter，值只挂在实例自己的属性上，把原型上的 accessor 遮蔽掉了，升级后 setter 永远收不到。标准做法是在 connectedCallback 里补一次：

#upgrade(name) {
  if (this.hasOwnProperty(name)) {
    const v = this[name];
    delete this[name];   // 删掉实例属性，让原型 accessor 生效
    this[name] = v;
  }
}

属性/特性混用时，Boolean 型建议用 this.toggleAttribute(name, !!v) 反射，比 setAttribute(name, v) 少一个 "false" 依然是真的坑。

2. 兼容探测要双判。 'adoptedStyleSheets' in Document.prototype 只说明属性在，早期 Safari 有属性但 replaceSync 缺失，稳妥写法是 'replaceSync' in CSSStyleSheet.prototype && 'adoptedStyleSheets' in Document.prototype。另外共享 sheet 是 live 引用——实例里一句 replaceSync 会改掉所有组件，要个性化请 clone 成私有副本或改用 insertRule。

3. composed 再往下挖一层。 即便 composed: true，跨边界后 event.target 会被 retarget 成宿主元素，想拿真实触发者得用 event.composedPath()[0]；反过来 composed: false 也不是绝对出不去，shadow root 内部的祖先仍能收到，只是不跨边界。

延伸一句：如果以后要做 SSR/首屏直出，Shadow DOM 默认不输出，得上 Declarative Shadow DOM（<template shadowrootmode="open">），attachShadow 那套就得改成分支写法了。

对，这个顺序才是对的——Nginx 是天花板不是地板，按「PHP ≥ Nginx」配的话，Nginx 先把请求甩成 413，PHP 连报错的资格都没有，这也确实是很多人明明 PHP 参数改对了还是传不上的原因。

再补两个定位手段。一是遇到 413 别猜，直接翻站点 error.log，会有 client intended to send too large body 这类明确记录，比一层层试参数快得多。二是体积之外还有超时这一关：文件大 + 上传慢的时候，fastcgi_read_timeout（宝塔这块默认值不大）不够用，请求会被中途掐断，表现是转圈半天失败但没有 413，很容易误判成白名单问题。所以完整的大小链路是：Nginx body 上限 ≥ post_max_size ≥ upload_max_filesize，再保证上传耗时落在 timeout 内。

CDN 那层同理——它自己的请求体限制相当于再叠一个天花板，顺序照上面顺延；清缓存也一样，源站点清了但 CDN 边缘没刷，照样按老域名拼链接。

定时任务兜底指公开地址我同意，补一点：站点开了强制 HTTPS 的话，宝塔 URL 任务一定要写完整的 https:// 地址，写 http 会被 301 空跑，等于没触发。/llms.txt 是不是走 index.php 路由我没把握，不确定就指首页最稳。