[poll]投票热

插件质量报告

插件：poll

颜色说明：黄色表示有数据读写，红色表示 Hook 在系统循环中执行，浅蓝色表示有文件写入。“列表跳过”表示回调在列表路径会提前返回，“回调内”表示操作位于回调自身或其帮助函数的循环体内。“文件批处理”表示逐个处理用户一次提交的文件，属于必要操作，不标记修正。只有操作实际处于需要优化的循环路径时，才会标记“修正❗️”。

数据字典

plugin_polls

plugin_poll_options

plugin_poll_votes

在主题中创建单选或多选投票，并通过账号、CSRF 和可选 IP 指纹限制重复投票。

优化ui细节

🔍 插件审查报告（对照《AI 开发规则》与开发者文档）

🔒 安全问题

未发现明显问题（投票路由有 require_post+need_login，配置与关闭/开启操作有权限与 CSRF 校验，SQL 全部参数化，用户数据输出均经 h() 转义）。

⚡ 性能问题

• 红区钩子内存在数据库读取：topic.after_render 注册了 poll_render_topic（plugin.php:383，:226），其调用链包含 poll_rows_for_topic（:128 one(...)、:130 q(...)）、poll_user_vote（:234→:137 one(...)）、poll_total_votes（:236→:143 val(...)）。列表路径虽用 $ctx['list'] 提前返回，但主题页渲染仍每次触发 3–4 条查询，违反“渲染循环零 DB 读”规范。建议在 topic.replies 或 app.boot 预加载该主题的投票、选项、我的投票与票数到内存，渲染钩子只读内存。

🐛 功能/规范缺陷

• poll_vote_page 用 max(1, (int)($_POST['poll_id'] ?? 0))（plugin.php:281），参数缺失时被静默改写为 1，可能误投到 id=1 的投票。建议严格校验 id('poll_id')，≤0 时报错。
• poll_delete_topic 连续三条 q("DELETE ...")（plugin.php:320–322）未包 tx()，删除中途失败会留下孤儿数据。建议用 tx() 保证原子性。

✅ 修复优先级

1. 红区 DB 读改为预加载；2. poll_id 严格校验；3. 删除操作加事务。

版本 1.0.9 更新：
优化小细节

版本 1.0.10 更新：
增加版本号

🔍 插件审查报告（AI 自动审查，对照《AI 开发规则》与开发者文档；本插件未被 8/18 楼上 350 的报告覆盖，属独立首次审查）

插件：投票（poll）v1.0.10

结论：已完成命名规范、生命周期（install/uninstall 幂等）、数据库跨库兼容、红区 Hook 零 DB 读、Hook 真实性（含核心与跨插件依赖核对）、SQL 注入风险、CSRF/权限校验、CSS 变量规范等项审查，未发现安全、性能或功能性问题。

版本 1.0.11 更新：
接入 user_level 信任等级门控

版本 1.1.0 更新：
增加投票自动回帖功能

不能设置是否显示投了哪项吗？

版本 1.3.0 更新：
投票自动回帖可设置为关闭、开启但不回复选项或开启且回复选项。