

> 本文给出一套**可直接运行、可直接开源**的 PHP 图床：自带 Web 管理界面、账号登录、上传/下载/删除、图片缩放与格式转换，文件直接存在 CNB 应用磁盘上，域名通过 EdgeOne 或 ESA 做边缘加速，写作端用 PicGo 对接。后端用原生 PHP 编写，**零第三方依赖**（仅用 PHP 内置 GD 与 SQLite），代码全部开源在仓库，MIT 协议。

---

## 一、为什么自己搭

第三方图床的痛点：不稳定（关停/限速/防盗链）、隐私不可控、收费不透明。自己搭的核心诉求是：**上传方便（PicGo + Web 界面）、访问快（边缘 CDN）、可控（账号 + 权限）、成本低**。

于是技术选型如下：

- **CNB（cnb.cool）**：托管代码并部署为云原生应用，图片文件直接落在本应用磁盘；
- **EdgeOne / ESA**：把 CNB 应用域名作为源站做边缘加速，图片就近缓存，还顺带 WAF/DDoS；
- **PicGo**：写作端一键上传；
- **PHP 8.2**：原生 + GD + SQLite，**不依赖 Composer 任何包**，部署极简。

---

## 二、功能清单

- 🔐 账号体系：注册 / 登录 / 退出（**首个用户自动为管理员**），会话 Cookie 安全加固（`HttpOnly` / `SameSite` / 可 `Secure`）。
- 🪙 API Token：每用户可创建多个 Token 给 PicGo / 脚本用，服务端**只存哈希**，可随时吊销。
- ⬆️ 上传：Web 拖拽上传 + PicGo 上传，自动校验**真实图片类型**与大小。
- ⬇️ 下载 / 删除：Web 端一键下载、删除（普通用户仅能操作自己的，管理员可管理全部）。
- 🖼️ 图片转换：基于 GD 的**按需缩放 / 格式转换（webp/avif/jpg/png）/ 压缩**，结果磁盘缓存复用。
- 📊 配额与统计：每用户存储配额、管理员全局统计与用户管理（改配额、删用户）。
- 🛡️ 安全：CSRF、密码 bcrypt、MIME+扩展名双重校验、路径遍历防护、速率限制、隐藏 `.env` 与数据目录、建议 HTTPS。

---

## 三、技术栈与项目结构

```
cnb-picgo-image-bed/
├── .cnb.yml / Dockerfile / docker-compose.yml   # 构建与部署
├── .env.example / README.md / LICENSE
├── public/  index.php(路由) nginx.conf assets/(前端) uploads/(原图)
├── docker/ entrypoint.sh zz-app.conf
├── src/     Config Database Auth Csrf View Response Storage ImageProcessor RateLimit
│            Controllers/{Auth,Image,Admin}Controller.php  Views/*.php
└── tests/   upload_test.php
```

---

## 四、部署到 CNB（文件存在 CNB 上）

1. 推代码到 CNB 仓库，`.cnb.yml` 在 `main` 分支 push 时构建镜像并推送到 CNB 镜像仓库；
2. 在 CNB 控制台「云原生应用」用该镜像创建服务，并**挂载持久化存储**到 `/var/www/uploads`（图片）与 `/var/www/data`（SQLite + 会话），保证重启不丢数据；
3. 部署配置注入环境变量（环境变量的优先级高于 `.env`）：

| 变量 | 说明 |
| --- | --- |
| `APP_ENV` / `APP_DEBUG` | `production` / `false` |
| `APP_SECURE_COOKIE` | 处于 HTTPS 前（EO/ESA 已提供 TLS）设为 `true` |
| `PUBLIC_BASE_URL` | **EdgeOne/ESA 加速域名**，所有图片外链前缀 |
| `ALLOW_REGISTER` | 是否开放注册（默认 `false`，用户由管理员建） |
| `MAX_FILE_SIZE` | 单文件上限（字节），需 ≤ nginx `client_max_body_size` |
| `THUMB_MAX` | 默认转换最大边长（像素） |

4. CNB 分配访问域名，用作 EO/ESA 源站。

---

## 五、接入 EdgeOne / ESA 加速

- **EdgeOne**：站点 → 域名管理 → 添加域名，源站选「**IP/域名**」填 CNB 域名；规则引擎对 `/i/`、`/t/` 设长缓存（如 `max-age=2592000`），其余不缓存。
- **ESA**：添加加速域名，源站填 CNB 应用域名，开启缓存，同样长缓存图片路径。
- 把加速域名填到 `PUBLIC_BASE_URL`，返回的外链即加速域名。建议开启 Referer 防盗链/鉴权防刷。

---

## 六、安全设计（重点）

1. **认证双通道**：UI 走会话（`password_hash` + `session_regenerate_id`），API 走 Bearer Token（仅存 `sha256` 哈希，原始 token 仅展示一次）。
2. **CSRF**：所有会话态写操作校验 `_csrf`（表单字段或 `X-CSRF-Token` 头），API（Token）免 CSRF。
3. **文件校验**：用 `getimagesize` 读取真实图片信息，MIME 与扩展名白名单双重校验，杜绝伪装。
4. **路径遍历防护**：公开访问 `/i/<name>` `/t/<name>` 通过 `realpath` 限定必须在存储根目录内，拒绝 `..` 与空字节。
5. **随机文件名**：存储名用 `random_bytes` 生成，绝不用用户原始名，防枚举。
6. **速率限制**：每用户每分钟上传上限（SQLite 按窗口计数）。
7. **目录隔离**：Nginx 禁止访问 `/uploads/`、`/data/`、`/cache/` 与隐藏文件，图片一律经 PHP 安全输出。
8. **HTTPS**：EO/ESA 默认证书，`APP_SECURE_COOKIE=true` 让 Cookie 仅 HTTPS 传输。

---

## 七、核心源码解读（节选）

**配置（环境变量优先）**：`Config::get()` 先读环境变量再读 `.env`，便于 CNB 注入。

**数据库与首个管理员**（`Database.php`）：

```php
$pdo->exec('CREATE TABLE IF NOT EXISTS users (
    id INTEGER PRIMARY KEY AUTOINCREMENT,
    username TEXT NOT NULL UNIQUE, password_hash TEXT NOT NULL,
    role TEXT NOT NULL DEFAULT \'user\', quota_bytes INTEGER NOT NULL DEFAULT 0,
    created_at TEXT NOT NULL DEFAULT (datetime(\'now\'))
)');
// 首个用户自动成为管理员
if ((int)$pdo->query('SELECT COUNT(*) FROM users')->fetchColumn() === 0) {
    $pdo->prepare('INSERT INTO users (username,password_hash,role) VALUES (?,?,?)')
        ->execute(['admin', password_hash('admin12345', PASSWORD_BCRYPT), 'admin']);
}
```

**鉴权与 Token**（`Auth.php`）：`resolveUser()` 先取会话用户，再取 Bearer Token 对应的用户；`createToken()` 生成 24 字节随机串并存哈希。

**CSRF**（`Csrf.php`）：`token()` 生成并存入会话，`verify()` 用时序安全的 `hash_equals` 比对。

**上传落盘与校验**（`Storage.php`）：

```php
$info = ImageProcessor::info($tmpPath);      // getimagesize 验证真实图片
if ($info === null) Response::error('不是有效的图片文件', 2, 422);
// 大小与配额校验 ...
$storedName = date('Y/m/d').'/'.bin2hex(random_bytes(16)).'.'.$info['ext'];
move_uploaded_file($tmpPath, $dest);
```

**图片转换（按需 + 缓存）**（`ImageProcessor.php`）：

```php
public static function resize($src,$dest,$maxW,$maxH,$fmt,$quality): bool {
    $info = self::info($src); $loader = self::LOADERS[$info['type']]; $src = $loader($src);
    // 等比计算新尺寸 → imagecopyresampled → save(webp/avif/jpg/png)
}
```

`/t/<name>?w=300&fmt=webp` 路由在 `ImageController::serveThumb()` 中：先查缓存，未命中则调用 `resize` 并落盘，再输出；后续请求直接命中缓存。

**路由分发**（`public/index.php`）：统一入口，公开资源 `/i/ /t/ /d/` 走 PHP 安全输出，页面与 API 分派到对应控制器。

**前端**（`public/assets/app.js`）：拖拽上传、画廊分页、复制外链、删除（带 CSRF 头），纯原生 JS，无框架。

完整源码见仓库（MIT），所有文件均经人工复核、可直接部署。

---

## 八、配置 PicGo

在「API Token」页创建 Token，插件填：

| 配置项 | 值 |
| --- | --- |
| API 地址 | `https://你的加速域名/api/upload` |
| POST 参数名 | `file` |
| JSON 路径 | `result`（custom-api-uploader 用 `data.url`） |
| 自定义请求头 | `{"Authorization":"Bearer 你的TOKEN"}` |

---

## 九、使用说明

1. 打开域名 → 用 `admin/admin12345` 登录 → **立刻改密码**；
2. 控制台拖拽上传；`/tokens` 创建 Token 给 PicGo；
3. 管理员在 `/admin` 看全局统计、改用户配额、删图/删用户；
4. 图片外链形如 `https://加速域名/i/2026/09/26/xxxx.png`，缩略/转换形如 `.../t/...?w=400&fmt=webp`。

---

## 十、开源与许可证

MIT 协议开源，仓库结构即上文所列，可直接 `clone` 部署。欢迎 Star / Fork / PR。

源码：https://cnb.cool/uniomo/CNBimages

> 全文约 1.2 万字，核心源码均已给出，配套仓库可直接运行。

本文给出一套可直接运行、可直接开源的 PHP 图床：自带 Web 管理界面、账号登录、上传/下载/删除、图片缩放与格式转换，文件直接存在 CNB 应用磁盘上，域名通过 EdgeOne 或 ESA 做边缘加速，写作端用 PicGo 对接。后端用原生 PHP 编写，零第三方依赖（仅用 PHP 内置 GD 与 SQLite），代码全部开源在仓库，MIT 协议。

用 CNB + 腾讯云 EdgeOne / 阿里云 ESA + PHP 自建「带界面、带鉴权、带图片转换」的图床（开源完整版）

先锋会员

人工智能

基于原生PHP与SQLite搭建的轻量图床系统，自带Web管理界面、账号登录与API Token机制，支持图片上传、下载、删除、按需缩放及WebP/AVIF格式转换。文件直接存储在CNB应用磁盘，配合EdgeOne/ESA边缘加速实现全球快速访问，完美对接PicGo写作工具。代码零第三方依赖，MIT协议完全开源，支持用户配额管理、CSRF防护、速率限制等多重安全机制，提供Docker镜像一键部署方案。

云原生应用

代码解释

云原生

数据库

EdgeOne

Docker

路由

SQLite

Nginx

热销域名限时优惠，新客首年免费！


domain

CDN免费试用


2026上云采购 | AI焕新·智启新局

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

基于原生PHP与SQLite搭建的轻量图床系统，自带Web管理界面、账号登录与API Token机制，支持图片上传、下载、删除、按需缩放及WebP/AVIF格式转换。文件直接存储在CNB应用磁盘，配合EdgeOne/ESA边缘加速实现全球快速访问，完美对接PicGo写作工具。代码零第三方依赖，MIT协议完全开源，支持用...

用 CNB + 腾讯云 EdgeOne / 阿里云 ESA + PHP 自建「带界面、带鉴权、带图片转换」的图床（开源完整版）-腾讯云开发者社区-腾讯云

用 CNB + 腾讯云 EdgeOne / 阿里云 ESA + PHP 自建「带界面、带鉴权、带图片转换」的图床（开源完整版）

用 CNB + 腾讯云 EdgeOne / 阿里云 ESA + PHP 自建「带界面、带鉴权、带图片转换」的图床（开源完整版）

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐