ThinkPHP会员系统开发案例-ThinkPHP-PHP中文网

密码须用hash::make()哈希存储，禁用明文；短信验证码应存redis并设5分钟过期，验证后立即删除，失败3次封禁手机号15分钟。

thinkphp会员系统开发案例

会员注册流程中如何安全处理密码和验证码

直接用 $_POST['password'] 原样存库是典型错误，ThinkPHP 6+ 默认已弃用 md5() 和裸 sha1()，必须用框架内置的哈希方案。

推荐做法是使用 think\facade\Hash::make()，它默认调用 PHP 的 password_hash()（bcrypt 算法），兼容性好、防爆破、带盐值：

$hashedPwd = \think\facade\Hash::make($request->post('password'));

短信验证码不能只存在 session 或前端 localStorage 里——容易被绕过。正确姿势是：生成后立即写入 Redis，设置 5 分钟过期，并在验证时用 \think\facade\Cache::get('sms_' . $mobile) 对比，验证成功后立刻 delete()。

别把验证码逻辑写死在控制器里，抽成独立服务类（如 SmsService），便于后续替换阿里云/腾讯云 SDK
验证码校验失败超过 3 次，建议临时封禁该手机号 15 分钟（用 Redis 记录失败次数 + 时间戳）
前端提交密码时，务必禁用 autocomplete：<input type="password" autocomplete="new-password">

会员等级自动升级怎么用模型事件实现

手动在每个消费成功后写“查总金额 → 判断等级 → 更新字段”极易遗漏或重复执行。ThinkPHP 的模型事件（afterWrite、afterUpdate）才是正解。

在 app\model\Member.php 中定义：

protected static function init()
{
    self::event('afterWrite', function ($member) {
        $total = $member->orders()->sum('amount');
        $level = LevelRule::getLevelByAmount($total);
        if ($level > $member->level) {
            $member->save(['level' => $level]);
        }
    });
}

注意：这里不能用 $member->level = $level; $member->save(); 再触发一次事件，否则递归死循环。必须用 $member->save(['level' => $level]) 绕过事件监听。

等级规则（如 VIP1 ≥ 500 元、VIP2 ≥ 2000 元）建议单独建 level_rules 表，而非硬编码，方便运营后台调整
如果订单表有退款字段，记得升级逻辑里排除已退款订单：->where('status', 'paid')
高频消费场景下，避免每次下单都全量 SUM，可用数据库触发器或消费完成时用 Redis INCR 累计金额

多城市门店下如何高效关联会员与服务站

常见错误是把城市 ID、门店 ID、服务站 UID 全塞进会员表，导致查询慢、变更难。ThinkPHP 的关联模型能解耦但需注意外键设计。

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

假设结构为：users（会员/服务站共用）、cities、stores、service_stations。关键点是：

会员表加字段 station_id（外键指向 service_stations.id），而非直接存服务站负责人 UID
服务站表加 city_id 和 store_id，形成两级归属，避免跨表 JOIN 多次
查某城市下所有会员，不要写三层嵌套子查询，改用预加载 + 条件过滤：

Member::with(['station.store.city'])
    ->whereHas('station.city', fn ($q) => $q->where('id', $cityId))
    ->select();

如果并发量大，whereHas 可能变慢，此时应给 service_stations.city_id 和 users.station_id 加联合索引。

为什么推荐用 Hook 而不是中间件处理会员行为扩展

中间件适合全局拦截（如登录校验），但会员注册后发积分、发通知、同步到 CRM 这类“可插拔动作”，用中间件会污染主流程、难以开关、测试困难。

ThinkPHP 的钩子（Hook）机制更合适。例如注册完成触发 member_register_success 钩子：

// 在 app\common\hook\RegisterHook.php
public function sendWelcomeSms($member)
{
    SmsService::send($member['mobile'], '欢迎加入！');
}

// 调用处（注册控制器末尾）
\think\Hook::listen('member_register_success', $member);

这样新增“注册后推送企业微信”只需写个新 Hook 类，无需动原有控制器代码。