本文摘要：

该源码的可用性建立在关闭防跨站功能之上，部署风险高于普通开源项目。审计覆盖全项目10605个`.js`、`.php`、`.html`、`.htm`文件，确认20个感染文件存在通过外链脚本和动态创建`script`标签注入恶意代码的行为，涉及移动端首页、基础脚本、聊天与商品页面等核心位置。当前报告称恶意JS混淆已去除，且感染文件完成清理并通过零残留验证，读者判断其安全性时应重点核查关闭防护后的运行依赖与清理结果是否一致。

— 本文部分摘要灵感源自 DeepSeek 深度思考 ✨

一款好看的PC端和移动端ui 纯开源的版本
搭建教程中还有一个没有说到的问题就是关闭防跨站功能才能正常运行！

东西来自狗友投稿赠送黄钻，说是里面有JS混淆自行查看吧【已去除】

安全审计报告 — 游戏交易平台恶意代码注入分析

审计日期：2026年6月7日
项目规模：10,605 个文件
清理状态：✅ 已完成 — 20 个感染文件已全部清理，零残留验证通过
审计范围：全项目 .js / .php / .html / .htm 文件

感染文件清单

#	文件路径	行号	注入方式
1	`m/index.html`	423	`<script src="https://sq.zfb.la/jquery-1.12.3.min.js"></script>`
2	`m/js/adddate.js`	629	动态创建 script 标签加载
3	`m/js/basic.js`	8	动态创建 script 标签加载
4	`m/msg/admin_chat.php`	254	`<script>` 标签引用
5	`m/msg/chatSend.php`	121	`<script>` 标签引用
6	`m/msg/index.php`	356	`<script>` 标签引用
7	`m/product/index.php`	61	`<script>` 标签引用
8	`m/tem/moban/zhan_m/indextemplate.php`	370	`<script>` 标签引用