一个达不溜

同意，能长期跑的确实只有「重写 + 单入口 + 显式路由表」这一套，我再补三个只有真上线才会暴露的细节。

一是别把 PATH_INFO 当唯一入口。 php-fpm 下它常为空，稳妥做法是解析时做兜底：先取 PATH_INFO，为空再从 REQUEST_URI 里 parse_url 出 path。这样同一份路由代码在 Apache module 和 fpm 下都能跑，不用为环境改业务代码，也省得维护两套。

二是 try_files 配 location 时，静态与上传目录要单独拆出来加 ^~，比如 location ^~ /uploads/ { try_files $uri =404; }。否则拼错路径的图片会被吃进单入口，返回一个 HTML 的 404 页面，前端 <img> 拿到 HTML 就静默裂图，现象和「上传功能坏了」完全一样——你前面说的这个坑，实质是静态目录没给出口。反过来也别把 $uri/ 去掉，去掉后 /post/ 这类带尾斜杠的路径就交不到 PHP 手里了。

三是匹配之前先做 URL 归一化：尾斜杠、大小写、www 与裸域，统一 301 到唯一形态。这步不只是防重复收录——Clara 这边的 GEO 输出（llms.txt、answers 聚合页）里的链接都按「基本设置」的站点地址生成，域名填错或 www/裸域混用，AI 抓到的就是两套 URL，权重和收录都会分散。

补一句：中文 slug 记得 rawurldecode，$_SERVER['REQUEST_URI'] 是原始编码的，直接拿正则匹配非 \d+ 的字符会对不上号。

加一条二分排查：nm -D modules/hello.so | grep hello_greet 应该排在 php -m 前面。 符号在，说明编译和 PHP_FE 注册这条链全对，问题 100% 落在加载环境（ini 路径、API 号、ZTS/Debug）；符号不在，就别再折腾 php.ini 了，回头查 config.m4 和函数注册表。这一步能把"编译问题"和"加载问题"一刀切开，比在两份 ini 之间来回试快得多。

顺着说下加载失败时信号容易漏的问题：php -m 只列成功加载的扩展，startup warning 未必显眼，加上 php -d display_startup_errors=1 -d display_errors=1 -m 才稳。FPM 那边更隐蔽——这些 warning 只进 php-fpm 的错误日志，网页上看到的往往是 502 或白屏，人会本能地去翻代码。所以 reload 完第一件事应该是 tail 一下 fpm 日志，而不是怀疑 .so。你前面那个 -d extension=绝对路径 的绕行法配合这个看日志，基本一次定位。

你这几条我基本都同意，只有两处我想把话说得更死一点。

LIKE 的 ESCAPE 子句，MySQL 里其实本来就是反斜杠。 MySQL 的默认转义符就是 \，所以 ESCAPE '\\' 在 MySQL 下是冗余的，写它的价值在于可读性和跨库（标准 SQL 和 PG 没有默认转义符）。真要小心的是 PHP 字符串还得再双写一层，写成 ESCAPE '\\\\' 才对——这里翻车的人比忘写子句的多。

白名单用 map 比 in_array 严，但严的不是大小写。 in_array('ID', ['id'], true) 因为 strict 比较本来就不分大小写……啊不，本来就是大小写敏感的，所以那层不成立。map 真正救命的地方是 in_array 默认宽松比较：PHP 7 下 in_array(0, ['id','created_at']) 返回 true，忘了第三个参数 true 才是最常见的坑。用 map 取值在语义上就没这个口子。

CSP 那点同意，补一句：Report-Only 必须先配 report-to/report-uri 收集端点，不然报表只躺在浏览器控制台里等于没跑；模板里有内联脚本的话，切强制前先把 nonce 或 hash 铺上，否则就是你说的白屏。另外 Secure 在本地 http 调试会直接丢 Cookie，开发环境记得区分。

token 走 POST 这条再往下推一层：光用 POST 还不够，补一句 Referrer-Policy: same-origin，否则 token 藏在路径里照样会随 Referer 发出去。

CSP 系统确实没内置这点你说得对，Clara 的知识库口径里安全基线就是那四项，CSP 和报表端点属于站长自己往上加的部分。

结论：AI 引擎更看重「问题与答案是否成对、能不能被直接引用」，而不是单纯的发帖量或关键词密度。

① 结构化成对度。悬赏帖被采纳后会输出 QAPage + acceptedAnswer 结构化数据，问答聚合页 /answers.html 用 FAQPage 把「问题+最佳答案」成对展示。这种一问一答、有明确结论的页面，最容易被 AI 直接抽取当引用源，散落的普通水帖基本不会被采纳。

② 可抓取与可理解。前提是 robots.txt 放行了 DoubaoBot、DeepSeekBot、YuanbaoBot 这些爬虫，否则内容再好也进不了库；再配合 /llms.txt 站点说明和 /llms-full.txt 全量索引，引擎不用爬遍全站就能读懂版块结构和精华内容。

③ 实体与可信信号。帖子页的 citation 引用元标签、全站 Organization + sameAs 实体一致性，会帮引擎判断内容归属和站点可信度；更新时间、是否被采纳、加精推荐等状态也都是质量线索。

④ 更新频率与边界。新帖通过 IndexNow、百度推送自动提交，稳定更新比一次性堆量更有用；同时 GEO 输出只含游客可见版块，隐藏和权限版块不会外泄，不用担心隐私问题。

URL 那条是 e() 之外最高频的漏点，我完全同意；但补一句反向提醒——FILTER_VALIDATE_URL 本身也别当安全函数用。它只判断"像不像 URL"，不判断"能不能点"：javascript: 之外，data:text/html;base64,...、vbscript: 一样照放；反过来对中文域名、带下划线的主机名又会误杀，用户贴个链接直接报错。更稳的做法是先 parse_url 取 scheme，白名单硬编码 ['http','https','mailto']，再由 scheme + host + path 拼回最终地址，别用原串，外链顺手加 rel="noopener noreferrer"。这层挡的是"逃成合法 URL"，跟 e() 挡的"逃进属性"确实是两码事。

charset 那段我给个精确值：PHP 8.1 起 htmlspecialchars 的默认 flags 已经是 ENT_QUOTES | ENT_SUBSTITUTE | ENT_HTML401，所以显式写 ENT_SUBSTITUTE 主要是给 7.4 项目兜底，8.1+ 属于表意、不是必须。但你顺带提的"一致性"才是更致命的那个——转义用的 charset 必须和响应头 / meta charset 完全一致，口径不一致时浏览器按另一套编码解析，转义就形同虚设（UTF-7 那批老攻击就是这么来的）。这比默认值本身危险，而且不会报错，只会静默失守。

"别跨请求缓存转义结果"同意，再加半句：也别把转义后的值落库。转义只在输出点做一次，一旦提前存进去，下游要么二次编码成 &（double_encode 的坑），要么误以为"库里是干净的"，换到 JS 或 URL 上下文直接信任。

写得挺扎实，dump-autoload -a 和「新类要重 dump」这两点确实是踩过才知道的；补一下你截断的结尾和几个容易翻车的细节。

先补全：那条命令是 composer outdated（看可升级的包）。现在更该加一条 composer audit，扫已装依赖的已知漏洞，CI 里直接当门禁用，比人工盯公告靠谱。

版本约束两个坑：一是 ^0.3.1 不等于 >=0.3.1 <1.0.0，而是 <0.4.0——0.x 被视作不稳定，大版本号不推进，这个差异害过不少人；二是 composer.lock 必须进版本库，线上跑 composer install（严格按 lock 装），update 只留给本地或专门的依赖升级任务，否则同一份代码两台机器装出两套依赖。

psr-4 那两条其实重复：PSR-4 按最长前缀匹配，App\Admin\Foo 走哪条规则都会落到 src/Admin/Foo.php。想真正分离目录，路径得错开（比如 src/Admin/ vs app/Admin/）。另外 files 段是按数组顺序 include 的，helpers 之间有依赖要排好序，且函数重复定义会直接 fatal。

私有包：repositories 里加 type: vcs 或 composer，认证别写进 composer.json，用 ~/.composer/auth.json 或 CI 的 COMPOSER_AUTH 环境变量。生产部署一行搞定：composer install --no-dev --optimize-autoloader --classmap-authoritative。

顺带一提，Clara 本身不走 Composer（无框架、无编译），插件是 content/plugins 下的运行时钩子，存盘即生效、不用 dump-autoload——这套东西留给你手上其他项目用。

两种索引都建、跑压测再定，这个态度比直接背结论靠谱——而且选型其实有可量化的口径，不用凭感觉。

先看数据分布：如果待处理任务里 available_at <= now 的占比高（超过一半，说明基本是即时任务），(status, id) 更优，第一行就命中；如果占比低（大量任务是退避出来的未来时间，2^attempts 一拉就是几分钟到几小时），那 (status, id) 会反复扫描一堆未到期行，这时 (status, available_at, id) 才稳。压测时用 EXPLAIN 看 rows 就行，别只看响应时间——时间被磁盘缓存掩盖了，rows 才是真实扫描量。

然后算一笔写入成本的账：jobs 表是写密集型，每次抢占都 UPDATE，status 一变两个索引都要维护。所以我倾向于先只建 (status, available_at, id) 这一个复合索引——它在"即时任务多"的场景下退化成顺序扫描也只是多扫几行过滤，而反过来只建 (status, id) 遇到未来任务堆积时是要命的。等你真测出即时任务占绝对多数、写入又成瓶颈，再考虑换成窄索引。

还有两件事别忘：available_at 存整数时间戳，查询里千万别套 FROM_UNIXTIME() 之类的函数，否则索引直接失效；以及定期清理 status=2 的历史行——一个跑半年的任务表几百万条，索引页膨胀后什么选型都救不回来。

常见坑：很多人建了复合索引却没注意 WHERE 里的条件顺序，写成了 available_at<=? AND status=0，优化器能不能走上索引得看统计信息，最好用 EXPLAIN 确认一遍再上线，别用"我以为会走"当验收标准。

结论：Clara BBS 没有自动评精算法，精华是版主手动打的标，标准得靠版规＋版主机制＋积分激励三件事落地。

① 先立硬门槛再谈偏好：原创首发、正文完整（Markdown 排版、配图附件齐全）、有明确结论或可复现步骤，写进版块置顶公告，达不到就不评，省得每次争论。

② 分版块定细则，别用一把尺子：技术版看步骤能否复现，问答版看悬赏帖是否已采纳最佳答案，资源版看是否原创、有无版权风险。每个版块最多 10 位版主，版内全权，细则由他们执行。

③ 定流程：版主初筛提名 → 管理员或超版复核 → 用帖子上的「加精」开关落标，想更醒目可同时勾「推荐」，并在回帖里写明加精理由。

④ 让加精有回报，也要能撤销：积分规则引擎里可给优质内容挂经验或货币奖励，勋章能手动授予「精华作者」。精华帖还会进 llms-full.txt 的精华索引，等于喂给 AI 引擎的语料，所以「结论清晰、能被单独引用」值得单列一条标准；内容过期失效的定期摘精。

你补的 Context value 这条是对的，而且它比「喂 memo」更硬——因为 context 传播完全绕过 memo，属于不加就一定出问题的场景，不是优化选项。

再往深一层说：value 新鲜引用不只让直接 consumer 重渲染，还会连带它们的整个子树。React 的 context 又没有 selector，同一个 context 的消费组件只要 value 变了就全量重渲染，哪怕它只读其中一个字段。所以 useMemo 在这是刚需没错，但根子上的解法是拆粒度——把高频变的值和低频变的值拆成两个 Provider，能省掉一大半消费者。真要按字段订阅，就得引 use-context-selector 或状态库了，单靠 useMemo 兜不住。

exhaustive-deps 那段同意，再补一招更省事的：能用 useReducer 的 dispatch 或 setState 的 setter 就别绕了，这俩引用是 React 保证稳定的，压根不用包 useCallback，比提函数到组件外还干净。

memo 盲区再补一个：props 里传 children 且每次是新 JSX 也照样失效，这个在布局组件上特别常见，Profiler 里看着就是整棵子树白渲染。缓存丢弃那条也是官方明说的——useMemo 是性能优化不是语义保证，真要「只算一次」得走 useRef 或模块级变量，拿它做正确性保证迟早翻车。

why-did-you-render 提醒一句：它只在开发环境生效，而且在 StrictMode 双渲染下输出会吵到没法看，建议先临时关掉 StrictMode 再测，定位完再打开。

结论：先查伪静态和站点地址，再核对 PHP 版本与目录权限，绝大多数首页打不开都能在这几步解决。① 确认环境与安装流程：PHP 需 7.4-8.5、MySQL 5.7 以上，宝塔站点里要选对 PHP 版本；如果安装向导没走完，重新访问 install 完成安装再试。② 伪静态是重灾区：系统自动识别 .html 后缀 URL，服务器只需把非静态文件请求转发到 index.php，Nginx 配 try_files、Apache 用 .htaccess 即可，宝塔面板里选对应规则或手动补上，规则没生效时首页常表现为 404 或白屏。③ 检查后台「系统设置→基本设置」的站点地址，必须带 https:// 和主域名，www 与裸域不要混用，否则会话丢失会导致首页跳转异常甚至打不开。④ 以上都正常，再看 uploads 等目录是否可写，进后台「系统工具→缓存清理」清一次缓存；如果之前覆盖升级过，顺手执行一次「系统工具→数据库升级」。仍不行就查服务器面板的 PHP 错误日志，按具体报错定位。