简介：XYHCMS网站管理系统 v3.5 bulid0518 是一套面向个人博客、企业建站及个性化网站场景的开源内容管理系统，适合具备一定 PHP 基础的开发者与站长使用。系统基于 PHP + MySQL 构建，采用 MVC 分层设计，将数据处理、界面展示与控制逻辑分离，便于二次开发与后期迭代；后台管理界面直观，非技术用户也能完成内容发布与页面设置，并集成防 SQL 注入、XSS 攻击及角色权限管理等安全机制。压缩包为 zip 格式，整体约 8.67MB，内含系统源码包及说明文档、下载指引等辅助文件，解压后即可按说明完成安装配置。目前已有 156 人浏览学习，可作为快速搭建中小型网站、研究 CMS 架构与定制扩展的实用参考。
1. 从一份老牌 CMS 源码说起：XYHCMS v3.5 到底能解决什么问题
如果你手头有一个闲置的虚拟主机、一台低配云服务器，或者只是想在本地快速搭一个能跑起来的内容站点，XYHCMS 网站管理系统 v3.5 build0518 这类轻量级 CMS 源码包，往往比那些动辄几十兆、依赖一堆扩展的现代框架更省心。它的定位很明确：给中小型站点、企业展示站、个人博客或内部信息页提供一个开箱即用的后台管理加前台渲染方案。你不需要从零写路由、写权限、写模板引擎，解压、配数据库、跑安装向导，十几分钟就能看到一个带登录后台的完整站点。适合谁？适合想快速交付展示型站点的外包开发者、需要给客户一个低成本可维护后台的建站从业者，以及想拆一套 PHP CMS 源码来学习传统 MVC 分层写法的同学。它不追求高并发和复杂业务编排，追求的是“能跑、能改、能维护”。
2. 环境准备与安装：把源码跑起来需要几步
2.1 运行环境与依赖清单
XYHCMS 这类传统 PHP CMS，核心依赖通常集中在 PHP 加 MySQL 加 Web 服务器三件套上。v3.5 这个版本号对应的年代，PHP 5.6 到 7.2 之间兼容性最好，MySQL 用 5.5 到 5.7 的 InnoDB 引擎足够。Web 服务器用 Apache 或 Nginx 都行，Apache 下一般自带 .htaccess 伪静态规则，Nginx 需要自己转写 rewrite。常见做法是本地用 phpStudy 或 XAMPP 这类集成环境先跑通，再往线上迁。
需要确认的 PHP 扩展不多，但缺一个就白屏：mysqli 或 pdo_mysql（看源码用的哪种连接方式）、gd（验证码和缩略图）、mbstring（中文截取）、curl（远程请求，部分采集或更新检查会用到）。我一般会先写一个 phpinfo 探针丢到根目录，跑一遍看扩展齐不齐，再删掉。
| 组件 | 推荐版本 | 说明 |
|---|---|---|
| PHP | 5.6 / 7.0 / 7.2 | 7.4 以上部分函数废弃会报错 |
| MySQL | 5.5 - 5.7 | 字符集用 utf8 或 utf8mb4 |
| Web 服务器 | Apache 2.4 / Nginx 1.14+ | Apache 需开启 rewrite |
| 必需扩展 | mysqli、gd、mbstring | 缺一不可 |
2.2 安装向导与数据库配置
把源码包解压到站点根目录后，先别急着访问。检查一下目录权限，Linux 下 runtime、uploads、data 这类目录要给写权限，否则安装到写配置文件那一步会卡住。Windows 本地环境一般不用管权限，但要注意路径里别带中文和空格。
# Linux 下给关键目录写权限，用户组按实际 Web 运行用户调整 chmod -R 755 /www/xyhcms chown -R www:www /www/xyhcms chmod -R 777 /www/xyhcms/runtime chmod -R 777 /www/xyhcms/uploads chmod -R 777 /www/xyhcms/data上面这几条命令的逻辑是：整体给 755 保证可读可执行，再把运行时会写入的 runtime、uploads、data 单独放开到 777。参数说明：www:www是 Web 服务运行用户，Nginx 常见是www-data或nginx，Apache 常见是apache或www，用ps aux | grep nginx能查到实际用户。权限给错的表现是安装向导报“目录不可写”，但页面不一定告诉你具体哪个目录，得自己逐个排查。
接着浏览器访问站点域名或本地地址，会自动跳到 install 安装页。填写数据库地址（本地一般 localhost）、库名、用户名、密码、表前缀。表前缀建议改掉默认的，别用xyh_这种一眼能猜到的，降低被批量扫描的风险。管理员账号密码在这一步设置，密码别用弱口令，后台入口路径安装完最好也改一下。
// 安装完成后，config 或 data 目录下会生成类似 database.php 的配置文件 // 典型内容结构如下，确认连接参数是否正确 return [ 'hostname' => '127.0.0.1', 'database' => 'xyhcms_db', 'username' => 'db_user', 'password' => 'your_password', 'hostport' => '3306', 'prefix' => 'my_', 'charset' => 'utf8', ];这段配置是安装向导自动写入的，逻辑说明：hostname 用 127.0.0.1 比 localhost 在某些环境下更稳，避免 socket 连接问题；prefix 就是刚才设的表前缀；charset 如果站点要存 emoji 或特殊字符，得改成 utf8mb4，同时数据库和表也要对应改。参数改完保存，访问前台首页，能看到默认模板渲染出来的页面，说明安装成功。
2.3 伪静态与后台入口
安装完第一件事是配伪静态，否则内页 URL 会带一长串参数，既不好看也不利于收录。Apache 环境下源码包一般带 .htaccess，确认AllowOverride All已开启即可。Nginx 需要手动加 rewrite 规则，常见做法是把请求转发到 index.php。
# Nginx 伪静态配置片段，放在 server 块内 location / { if (!-e $request_filename) { rewrite ^/(.*)$ /index.php?s=$1 last; } }逻辑说明：!-e $request_filename判断请求的文件或目录是否真实存在，不存在才转发给 index.php，避免把静态资源也吞掉。参数s=$1是常见 CMS 的路由参数名，具体看源码里入口文件怎么接的，有的用s，有的用r，对不上就 404。改完nginx -t测试配置，再nginx -s reload重载。
后台入口一般在/admin.php或/admin/下，安装完先登录一遍，确认账号能进。然后立刻做两件事：改后台路径（重命名入口文件或目录）、关掉安装目录（把 install 文件夹删掉或改名）。这两步不做，等于把门钥匙插在门上。
3. 目录结构与模板机制：改哪里、怎么改不翻车
3.1 核心目录职责划分
拆一套 CMS 源码，第一步永远是看目录结构，它决定了你改代码时该动哪个文件。XYHCMS 这类系统通常遵循“入口 + 应用 + 公共 + 模板 + 上传”的分法，虽然不同版本命名有差异，但职责大同小异。
| 目录 | 职责 | 改动频率 |
|---|---|---|
| index.php / admin.php | 前台与后台入口 | 低 |
| application / app | 控制器、模型、业务逻辑 | 中 |
| template / theme | 前台模板文件 | 高 |
| static / public | CSS、JS、图片 | 中 |
| uploads | 用户上传文件 | 不手动改 |
| runtime / cache | 编译缓存、日志 | 不手动改 |
| data / config | 配置文件、安装锁 | 低 |
常见做法是：前台样式和结构改动只碰 template 和 static，业务逻辑改动才进 application。很多人翻车是因为直接改了 runtime 里的编译文件，结果系统一清缓存全没了。记住一条：runtime 和 cache 目录里的东西都是生成物，不是源码，改了白改。
3.2 模板标签与变量调用
传统 CMS 的模板机制，核心是“标签替换”或“模板引擎”。XYHCMS 前台模板里通常能看到类似{dede:arclist}或{$list.title}这种写法，前者是自定义标签解析，后者是模板引擎变量输出。改模板前先找到模板目录下的首页文件，一般是index.html或index.htm，看里面变量命名规律。
<!-- 模板中常见的列表循环写法，具体标签名以源码为准 --> {volist name="list" id="vo"} <li> <a href="{$vo.url}">{$vo.title}</a> <span>{$vo.createtime|date="Y-m-d",###}</span> </li> {/volist}逻辑说明：volist是循环标签，name指定数据源变量，id是单条记录的别名。{$vo.url}输出链接，{$vo.title}输出标题，|date="Y-m-d",###是模板函数调用，把时间戳格式化。参数怎么改：想加字段就在循环体里加{$vo.字段名}，字段名要和数据库表里的列名一致，不一致就输出空。改完模板如果没生效，先清 runtime 缓存，再看模板文件是不是被编译过。
3.3 新增一个自定义页面模板
实际交付里最常见的需求是“加一个单页，比如关于我们，但样式要和首页不一样”。步骤不复杂，但顺序错了就白干。
第一步，在模板目录下复制一份现有模板文件，比如把index.html复制成page_about.html，改掉里面不需要的循环块，换成静态内容加少量变量。
第二步，进后台找到“单页”或“栏目”管理，新增一个栏目，类型选单页，模板名填page_about，系统会去模板目录找page_about.html。
第三步，如果后台没有模板选择项，就得改控制器或路由配置，让某个 URL 指向这个模板。这一步因源码而异，常见做法是在 application 里找路由配置文件，加一条规则。
// 路由配置示例，把 about 映射到单页控制器 Route::get('about', 'index/Page/about');逻辑说明：这条规则的意思是访问/about时，交给 index 模块的 Page 控制器的 about 方法处理。参数说明：不同框架路由写法不同，有的用数组配置，有的用注解，得看源码实际用的路由组件。改完路由记得清缓存，否则新规则不生效。
4. 避坑与排查：那些装完才发现的坑
4.1 安装页空白或 500 错误
现象：访问 install 目录，页面全白，或者直接 500，日志里一堆看不懂的报错。
原因：九成是 PHP 版本不匹配或扩展缺失。v3.5 这个年代的代码，在 PHP 7.4 以上跑，很多老函数被废弃或移除，比如mysql_*系列、each()、create_function()，一调用就致命错误。另一个常见原因是短标签<?没开，源码里用了短标签但 php.ini 里short_open_tag = Off。
解决：先把 PHP 版本降到 7.2 或 5.6 试，能跑起来再考虑逐步升级。短标签问题就在 php.ini 里把short_open_tag改成 On，或者把源码里的<?批量替换成<?php。改之前备份，别直接在生产环境动手。
4.2 后台登录后跳回登录页
现象：账号密码明明对，点登录后闪一下又回到登录页，或者提示“请先登录”。
原因：session 写入失败或 cookie 域配置不对。常见于 Linux 下 runtime 目录没写权限，session 文件存不进去；或者站点配了 CDN、反向代理，cookie 的 domain 和实际访问域名对不上。
解决：先确认 runtime 目录可写，再看 php.ini 里session.save_path指向的目录是否存在且可写。如果是代理环境，检查配置文件里 cookie domain 设置，把它改成空或实际域名。还有一个隐蔽原因：服务器时间不对，session 过期时间计算异常，date命令看一眼系统时间。
4.3 上传图片失败或缩略图不显示
现象：后台上传图片提示成功，但前台不显示，或者缩略图是裂图。
原因：gd 扩展没装或版本不对，导致缩略图生成失败；uploads 目录权限不足，文件没真正写进去；伪静态规则把 uploads 下的静态资源也重写了，请求被转到 index.php。
解决：php -m | grep gd确认扩展在。uploads 目录给 777 写权限。Nginx 配置里加一条location ^~ /uploads/ { }让上传目录直接走静态文件，不参与 rewrite。改完重载配置，再传一张图测试。
4.4 修改模板后前台没变化
现象：明明改了模板文件，刷新前台还是老样子。
原因：模板编译缓存没清。这类 CMS 大多会把模板编译成 PHP 文件存到 runtime 或 cache 目录，改源模板不会自动触发重新编译，得手动清缓存。
解决：后台一般有“清除缓存”按钮，点一下。没有的话就手动删 runtime 目录下的缓存文件夹，注意别把整个 runtime 删了，有的系统在那里存了安装锁文件。删完刷新前台，新模板就生效了。
4.5 数据库导入报错或乱码
现象：迁移站点时导入 SQL 文件，报错中断，或者导入成功但中文全是问号。
原因：字符集不匹配。导出时是 utf8，导入时连接用的是 latin1，或者 SQL 文件里建表语句写死了 charset 但数据库默认不是。
解决：导入前先建库并指定CHARACTER SET utf8mb4 COLLATE utf8mb4_general_ci。导入命令加--default-character-set=utf8mb4。如果已经乱码，只能重新导，乱码后的数据没法直接转回来。
# 正确的导入方式，指定字符集 mysql -u root -p --default-character-set=utf8mb4 xyhcms_db < backup.sql逻辑说明：--default-character-set告诉客户端用 utf8mb4 解析 SQL 文件内容，避免中文被按 latin1 解读。参数xyhcms_db是目标库名，backup.sql是备份文件。导入前确认备份文件本身编码正确，用file backup.sql看一眼。
5. 二次开发与安全加固：让这套老系统多跑几年
5.1 安全加固的四个必做项
老 CMS 最大的问题不是功能不够，是安全补丁停更。v3.5 这个版本放到今天，默认配置下有几处是必须手动处理的。
第一，后台入口改名。把 admin.php 改成只有自己知道的名字，比如manage_随机串.php，同时改掉后台目录名。第二，删掉 install 目录，或者至少加 IP 白名单限制访问。第三，数据库账号最小权限，只给当前库的增删改查，别用 root。第四，关闭错误显示，生产环境display_errors = Off，避免报错信息泄露路径和表结构。
// 在入口文件顶部加一行，屏蔽错误显示，只记日志 ini_set('display_errors', 'Off'); ini_set('log_errors', 'On');逻辑说明：这两行让 PHP 不在页面上输出错误，但把错误写进日志，方便排查又不暴露信息。参数说明：日志路径在 php.ini 的error_log里配，没配的话默认写到 Web 服务器日志里。改完记得重启 PHP 服务。
5.2 加一个简单的访问频率限制
如果站点对外开放，后台登录页和搜索页容易被扫。加一层简单的频率限制，不用上复杂组件，用文件计数就能挡掉大部分脚本小子。
// 简易频率限制，放在公共入口或控制器基类里 $ip = $_SERVER['REMOTE_ADDR']; $key = 'rate_' . md5($ip); $file = sys_get_temp_dir() . '/' . $key; $count = (int)@file_get_contents($file); if ($count > 30) { exit('请求过于频繁'); } file_put_contents($file, $count + 1, LOCK_EX);逻辑说明：用 IP 的哈希做文件名，存在临时目录，每次请求读计数加一。参数说明：30是阈值，按实际调整；sys_get_temp_dir()是系统临时目录，Linux 下一般是 /tmp。这个方案不精确，重启就清零，但挡脚本够用。要更准就上 Redis，但那就不是这套轻量 CMS 的初衷了。
5.3 数据备份的自动化习惯
老系统最怕的是数据库悄悄坏掉，等发现时已经晚了。我一般会给这类站点配一个每日备份脚本，用 cron 跑，保留最近七天。
#!/bin/bash # 每日数据库备份，保留七天 DATE=$(date +%Y%m%d) mysqldump -u db_user -p'password' --default-character-set=utf8mb4 xyhcms_db > /backup/db_$DATE.sql find /backup -name "db_*.sql" -mtime +7 -delete逻辑说明：mysqldump导出当天数据，文件名带日期。find命令找出七天前的备份文件删掉，避免磁盘占满。参数说明：-p'password'里密码紧贴-p不要有空格，这是 mysqldump 的语法要求。脚本加进 crontab，每天凌晨跑一次。备份文件最好再同步一份到别的机器或对象存储，别和站点放同一块盘。
5.4 模板继承与公共片段抽取
改模板改多了会发现，页头页尾到处重复，改一处要动十个文件。这时候把公共部分抽出来，用模板的 include 机制引入。
<!-- 在模板中引入公共头部 --> {include file="public/header" /} <!-- 页面主体内容 --> <div class="main">...</div> <!-- 引入公共底部 --> {include file="public/footer" /}逻辑说明：include标签把public/header.html的内容嵌进来，改头部只改一个文件。参数说明：file路径相对于模板根目录，不带扩展名。注意被引入的文件里不要再带<html>和<body>标签，否则页面结构会乱。抽取顺序建议先抽 header 和 footer，再抽侧边栏和面包屑，一步步来，别一次动太多。
5.5 版本升级与迁移的取舍
XYHCMS v3.5 build0518 这个版本号意味着它已经是一个固定快照，官方大概率不再更新。要不要升级到更高版本，得看两点：新版本有没有修复你正在用的功能的安全问题，以及升级成本能不能接受。常见做法是先在本地克隆一份站点，把新版本源码覆盖上去，跑一遍数据库升级脚本，看后台和前台是否正常。没问题再动线上。如果站点已经稳定运行且没有暴露在公网，不升级也是一种选择，但安全加固必须做。
从那以后我每次拿到这类老 CMS 源码，都强制走一遍“本地跑通、权限收紧、后台改名、备份脚本”这四步，再考虑功能改动。希望帮到你。
本文还有配套的精品资源，点击获取
