网站与服务器模组的历次更新，最新的排在最前面
这里按时间倒序列出云岭网站和服务端模组的每一次更新，方便你回头看某个功能是什么时候上线的、某个毛病是什么时候修好的。
/admin/** —— 邮箱验证码那一步被整个绕过去了（原先只在后台登录页堵了这条路）。现在多了一张「本会话确实输过验证码」的凭证，前台登录不再等于后台登录。站内一直写着「后台只认 admins 表账号」，现在实现和说明终于对上了players.is_banned 也一起清掉。现在模组只有确实读到了才会声明「这份名单是权威的」，网站也只在拿到这个声明（或名单非空）时才做解封对账。这条要模组 1.6.6 才算完全生效，网站侧已经先兜住了style="…url(地址)"。地址里塞一个 ) 就能追加任意 CSS 声明 —— 个人页是给别人看的，等于每个访客都会中招（position:fixed 做全屏覆盖式钓鱼，或者挂一张追踪图泄漏访客的 IP 和浏览器）。这里转义救不了：HTML 会把 " 还原成引号，CSS 看到的还是那个引号。现在地址要走白名单，不合格就当没有横幅/whitelist 里那张标题写着「我的申请」的卡片，实际查的是全站最近 5 条 —— 任何登录用户都能看到别人的游戏 ID、QQ 号和审核备注。现在按归属过滤，后台和服务器管理页仍然是全站视图127.0.0.1 或内网域名去查都能出结果，还能顺着 SRV 记录绕（目标由别人的 DNS 说了算）；host:port 的端口检查原来排在拆分冒号之前，8.8.8.8:53 这种任意端口照样能探。三处都补上了，顺带把「AAAA 指向 ::1」也纳入了拦截next= 参数填 javascript:… 能变成一句话 XSS（Url::ensure() 只要看见串里有 index.php 就原样放行，根本不看协议）；② 跑过找回密码脚本之后，后台登录页会把新的明文密码显示给任何打开该页面的人 —— 密码本来就会打在服务器控制台上，页面上那份已经删掉；③ 打开 CDR_DEBUG_CSRF 调试开关时，日志里会记下登录请求的前 160 字节，那正是明文密码 —— 现在只记字段名和长度adv_done 同理，只接受大于 0 的值）00000000-0000-...）又有正版 UUID，两边都指向他。原来按数据文件里的先后顺序先到先得：线上 birdzhonghuifei 同时对应 106.4 小时和 1.9 小时两行，这次正好是时长长的那行排在前面才归对了，换个顺序就会把名字给错人。现在改成归给时长最长的那一行，跟顺序无关usercache.json 只保留约一个月，这份从 1.21 生存服一路升到 1.21.11 的存档里，老玩家的名字早就过期了 —— 网站只能拿 UUID 当标识，显示成「未知玩家 · xxxxxx」。去备份档里翻了一遍：历代服务器的 usercache / whitelist / ops / banned-players 按时间从旧到新合并，863 个名字一个不落全部找回（排行榜上那个 395 小时的现在叫 iRXC）。升级到 v13 时自动回填一次：只补「名字还是 UUID」的行，已经有真名的一个字节都不动players.name 是唯一索引，万一要回填的名字已经被另一行占用，就跳过那一行并记一笔，不会因为唯一约束让整次升级失败 —— 宁可留一个人继续显示「未知玩家」，也不能把升级卡死usercache.json 只保留约一个月，这份老存档带过来的名字早就过期了，网站只能拿完整 UUID 当唯一标识（不是显示不出来，是确实没有名字可显示）代码 与 粗体 两种标记（之前只认反引号，粗体会把星号原样显示出来）[网页] 前缀出现在游戏公屏上；游戏内外看到的是同一个名字（你绑定的角色名），冒充不了别人日期为对应版本的发布时间。发现新问题欢迎到讨论区反馈，或者直接找服主。