开源更新：LitePic 轻量图床 V1.2.0 —— 后台筛选分页 + 防盗链 + 上传访问控制，宝塔一行命令级部署
一、简介（项目回顾）
之前开源的 LitePic 是一个纯 PHP、零数据库、零依赖的轻量图床，宝塔上传即用，自带后台 + 上传 API（兼容 PicGo / Typora）。帖子发出来后很多朋友在用，也提了不少建议，这次 V1.2.0 把上线后最容易遇到的三个痛点一次性补齐了。
V1.2.0 一句话总结：图床能用了，但得管得住、防得住。
开发者：云智Cloud | 协议：MIT（保留署名即可自由使用 / 修改 / 分发）
二、V1.2.0 更新了什么（核心三件套）
1、后台筛选 / 搜索 / 分页（图片多了不再卡）
顶部筛选栏：文件名模糊搜索 + 按类型过滤（jpg/png/gif/webp/bmp）+ 按「年/月」过滤
列表支持分页浏览（默认每页 24 张，可在 config.php 改 admin_per_page）
删除图片后自动保留当前筛选和页码，体验顺滑
2、上传访问控制（防匿名滥用 / 防机器人直传）
前台上传接口加入 CSRF 令牌校验：页面加载时签发，上传必须携带；直接 POST 的脚本、扫描器、机器人被挡在门外，真实访客不受影响
后台「安全设置」新增公开上传开关 public_upload：
开启（默认）：任何人都能在页面上传
关闭：仅管理员（已登录）或持有有效 API Token 的应用可上传，彻底杜绝匿名上传恶意文件
3、防盗链（Referer 白名单）
后台「安全设置」可填允许引用图片的域名白名单
支持一键生成 Nginx / Apache 规则片段，复制粘贴到服务器配置即可
三、V1.0 → V1.2.0 升级部署步骤（老用户看这里，纯文本逐条）
已部署 V1.0 的同学，不用重装、不用动数据库（本来就没数据库）。
第 1 步 · 备份（保险起见）
把站点目录下的 config.php、uploads/、data/ 先下载备份一份。
第 2 步 · 覆盖上传新代码
把 V1.2.0 压缩包里的文件上传到站点根目录覆盖，覆盖这些：index.php、admin.php、api.php、install.php、libs/、assets/、README.md 等。
注意：不要覆盖你自己已有的 config.php、uploads/、data/。
注意：如果压缩包含空的 uploads/、data/ 目录，解压时跳过这两个目录，别把你的图片清掉了。
第 3 步 · 不要重新跑 install.php
V1.2.0 对老配置做了向后兼容，直接覆盖就能用，不用再访问 install.php。
第 4 步 · 去后台开新功能
访问 你的域名/admin.php，登录，找到新增的「安全设置」面板，按需开启公开上传开关和防盗链，保存即可（自动写入 config.php）。
第 5 步 ·（可选）加防盗链规则
在后台安全设置里点「生成 Nginx 规则」，复制后在宝塔站点「设置 → 配置文件」里粘贴、保存并重载 Nginx。
兼容性说明：老 config.php 没有 public_upload 这个键，V1.2.0 已处理为「键不存在 = 默认开放」，所以升级后公开上传不会突然关闭、API 也不会被锁死，放心覆盖。
四、全新部署步骤（新用户 5 步，纯文本逐条）
第 1 步 · 宝塔新建站点
宝塔面板 → 网站 → 添加站点，PHP 版本选 7.4 或更高，类型用默认的「纯静态 + PHP」即可，不用创建数据库。
第 2 步 · 上传解压
把压缩包上传到站点根目录并解压。解压后请确认 index.php、admin.php 等文件直接在域名根目录下，而不是多套了一层 litepic/ 文件夹。如果多出一层，把里面的文件提到根目录即可。
第 3 步 · 初始化
浏览器访问 你的域名/install.php，填写：管理员账号 / 密码、API Token（建议填一个复杂字符串，用于 PicGo 调用鉴权，留空则免 Token）、站点地址（你的域名，用于生成外链）。点击「初始化」，系统会自动生成 config.php、建好 uploads/、data/ 目录。
第 4 步 · 删除安装文件（重要）
初始化完成后，务必删除或重命名 install.php，否则别人能直接重置你的站点。
第 5 步 · 开始使用
访问 你的域名 即可上传图片；管理后台在 你的域名/admin.php。
权限提示：若上传/生成缩略图失败，把站点目录下的 uploads/、data/ 权限设为 755，仍不行再试 777。
五、Nginx 安全加固（宝塔默认，推荐做）
宝塔默认是 Nginx，不读取 .htaccess。图片索引已用自执行 PHP 文件防泄露，这一项不用动。但建议在站点「设置 → 配置文件」里加一行，禁止 uploads/ 目录执行 PHP 脚本：
location ~ ^/uploads/..(php|phtml|phar)$ { deny all; }
加上后保存并重载 Nginx 即可。
六、截图参考（发帖时替换为本项目真实截图）
1、【后台筛选栏 + 分页】—— 搜索框 + 类型/月份下拉 + 分页条
2、【后台安全设置面板】—— 公开上传开关 + 防盗链域名 + 规则生成按钮
3、【防盗链规则生成结果】—— 弹出的 Nginx/Apache 代码块
4、（可选）首页上传 / PicGo 配置界面
截图方式：部署到测试域名后浏览器截图，传到本图床生成外链再贴进帖子（顺便自测防盗链是否生效）。
七、下载 & 源码
V1.2.0 源码下载：
密码:3ih7
老用户升级只需覆盖代码，无需重装，详见上方「第三步」。
开源版本声明：本项目以 MIT 协议开源，使用、修改、二次分发请保留「云智Cloud」署名与文件内 MIT 开源提示，感谢支持。
八、后续计划 & 求支持
V1.2.0 之后还在规划（欢迎楼下提需求）：
可选 SQLite 存储（应对大流量）
图片水印（GD 文字 / 图片水印）
WebP 自动转换 / 批量转 WebP
操作日志、多 Token 管理
觉得有用就顶个帖 / 回复支持一下云智Cloud。有问题或建议直接在楼下说，我会持续维护。
