gongfuxiang/shopxo

ShopXO企业级免费开源商城系统，可视化DIY拖拽装修、包含PC、H5、多端小程序(微信+支付宝+百度+头条&抖音+QQ+快手)、APP、多仓库、多商户、多门店、IM客服，进销存遵循MIT开源协议发布、基于ThinkPHP8框架研发

ShopXO企业级免费开源电商系统

如果对您有帮助，您可以点右上角 “Star” 收藏一下 ，获取第一时间更新，谢谢！

---

项目介绍

ShopXO国内企业级免费开源电商系统！

• 求实进取、创新专注、自主研发、国内企业级电商系统解决方案。
• 遵循MIT开源协议发布，无需授权、可商用、可二次开发、满足99%的电商运营需求。
• 支持PC+手机自适应，独立H5、小程序（支付宝、微信、百度、头条&抖音、QQ、快手），APP（IOS、Android）
• 支持多仓库、多商户、多门店、进销存（组件插件化、即插即用），可视化DIY拖拽装修。

体验码

基础信息

名称	地址	名称	地址
演示地址	https://demo.shopxo.net/	安装教程	https://install.shopxo.net/
更新日志	https://log.shopxo.net/	文档地址	https://doc.shopxo.net/
开源协议	https://license.shopxo.net/	手机端	https://uniapp.shopxo.net/

官方QQ群、答案shopxo.net

官方1群	官方2群	官方3群	官方4群	官方多商户群	官方多门店群	官方进销存群	官方uniapp群
833531593	641730223	1127073697	323523483	782971010	281418967	719894308	679303149

当前项目源代码平台

平台	地址
Gitee	https://gitee.com/zongzhige/shopxo
GitHub	https://github.com/gongfuxiang/shopxo
Coding	https://zongzhige.coding.net/public/shopxo/shopxo/git
GitCode	https://gitcode.com/zongzhige/shopxo

uniapp端源代码平台

平台	地址
Gitee	https://gitee.com/zongzhige/shopxo-uniapp
GitHub	https://github.com/gongfuxiang/shopxo-uniapp
Coding	https://zongzhige.coding.net/public/shopxo/uniapp/git
GitCode	https://gitcode.com/zongzhige/shopxo-uniapp
uni-app	https://ext.dcloud.net.cn/plugin?id=6380

部分功能特性

名称	描述
多种模式	销售+自提+虚拟+展示+销售/自提，多仓库独立库存管理、可视化DIY拖拽装修
分销	可配置1~3级、分享赚取佣金、小程序商品海报、取货点、佣金可配置具体到SKU(比例和固定金额)
会员等级	等级折扣(具体到商品规格)、满减、手动设置会员等级、付费购买+续费+三级返佣
限时秒杀	独立秒杀中心、商品详情秒杀倒计时、自动开始结束
优惠券	满减劵、折扣劵、注册送、用户领取、管理员发放
钱包	用户钱包，在线充值（固定金额或比例赠送+自定义赠送），申请提现
微信小程序直播	海报分享、web端展示直播列表，支持分身独立多商户模式
积分商城+签到	积分抵扣、积分兑换、无限发布签到活动获取积分
多商户	商家入驻、独立店铺（二级域名/保证金/代理模式）、店铺等级（购买/升级/功能限制）、可视化DIY拖拽装修+页面设计、不同商家自动拆单，店铺、商品（可选择平台商品）、分类、结算、订单管理、评论回复、运费设置、数据统计，支持插件结合使用（电子面单批量导出及发货、微信小程序直播、分销、优惠券、限时秒杀）
多门店	派单+转单+核销+代客下单+商品(独立售价+库存+商品)+批次+次卡+员工和薪水自动抽成+充值+收银+桌码+O2O店铺运营模式，线上线下完美结合、适用（社区+餐饮+美容美发+在线预约+门店消费+自提+外送+快递）、支持达达配送
批发	阶梯售价、新购+复购单独配置、自由配置无限极数量阶梯售价、可以具体到规格
客服	统一多端在线客服系统、支持（表情/图片/视频/快捷消息）、好友上下线实时通知、实时输入状态、支持网页及小程序直接发起即时咨询、客服离线（短信+邮件实时通知）、支持商品卡片、可打包工作台客服APP
进销存ERP	采购(入库/退货)、销售(发货/退货)、自定义模板打印+导出Excel+PDF、产品excel批量导入+多单位+多仓库仓位、仓库盘点+调拨、其他出入库、客商+会员等级、采销收付款、商城商品与产品双向同步、商城订单自动同步批量发货
组合搭配	多个商品组合打包一口价或折扣销售、商品套餐组合搭配用户可选2件起下单、商品关联营销、捆绑销售提高成交率，支持多商户
配送员	同城自建物流团队配送系统，骑手管理、调度中心（地图方圆画圈批量派单及打印、实时观察订单及骑手位置）、配送员微信小程序端实时定位

• 更多查看应用商店 ( https://store.shopxo.net/ )

系统特性

全平台支持

小程序支持多种配色

小程序效果图片

PC端展示

后台管理展示

可视化DIY拖拽装修展示

系统管理模块

用户端模块

扩展功能

荣誉证书

如何参与项目

非常欢迎您对ShopXO的开发作出贡献！你可以选择以下方式向ShopXO贡献：

• Github - 发布issue进行问题反馈和建议
• Gitee - 发布issue进行问题反馈和建议
• Gitcode - 发布issue进行问题反馈和建议

通过Pull Request提交修复、完善我们的文档和例子

shopxo's Issues

XSS vulnerability

After the template file of ‘index.php?s=order/index' is parsed, there is a controllable variable here.


By using payload index.php?s=order&ids="><script>alert(1);</script> ,we can get an xss alert.But it need anyone is logining,so hacker can get user's cookies when they visit the evil link.

https://demo.shopxo.net/search-k-AC6DBBAF.html 的页面错误

是否会出现超卖的情况？

比如商品库存剩1，A和B同时读取到，一起下单，结果库存变成-1。

我粗略看了一下源码，貌似没有看到加锁的部分。

can you provide me a ER picture?

后台任意文件删除漏洞

后台删除文件处由于没有对文件名做校验导致可以通过../进行回溯来删除任意文件夹，删除install文件(锁文件所在的文件夹)时，可以重装系统
在Appminialipaylist.php文件中，params是受控制的：

进入delete方法中，当不是zip结尾时会认为是文件夹

跟进FileUtil.php文件UnlinkDir方法中

方法中只对是不是文件夹做了校验，最后进入了rmdir方法中

点击删除

抓包修改

成功删除

error

适合国外使用吗

重装漏洞

您好：
我是360代码卫士的工作人员，在我们的开源代码审计过程中，发现shopxo存在系统重装漏洞，详细信息如下：
在shopxo\application\install\controller\Index.php文件中，Add方法中没有校验锁文件，导致攻击者可以重装数据库。

构造如下post请求

可以发现本地数据库中新建了一个shopxo2的数据库，实际场景中攻击者可以在自己额公网服务器中的数据库开启远程连接，连上自己的数据库

最关键的地方是数据库配置文件也修改了

这个地方可以通过写入php代码来getshell，由于是在github上，详细信息就不具体说了，如果您对后面getshell的方法流程感兴趣，很乐意通过邮件告诉您

商品分类和品牌管理分类不同步

重现步骤:

1. 在商品管理下面新增分类
2. 到品牌管理增加一个品牌
3. 问题: 当设定品牌所属分类时, 只有之前的分类.

使用CDN，微信支付报invalid spbill_create_ip错误。

查找了原因，发现使用CDN后，使用系统内置函数 GetClientIP 获取到的用户IP为：
218.17.xx.xx,218.93.204.51,36.42.75.103
变成了逗号分隔的三段式，后两个均为CDN的节点IP。

$ips = explode(',' $onlineip);
建议 return reset($ips);

导航管理 抛出未定义数组索引: items 错误

后台管理: 网站管理 -> 导航管理 抛出未定义数组索引: items 错误

Fatal error: Call to undefined function mb_substr()

我下载并解压源代码到我本地的Ubuntu系统里,并且我安装了PHP 7.2.19-0ubuntu0.18.04.2 (cli) (built: Aug 12 2019 19:34:28) ( NTS ), 我通过在shopxo代码所在目录运行 php -S 127.0.0.1:8001 启动了一个本地服务,浏览器里访问 http://127.0.0.1:8001/public/index.php?s=/install/index/index 却遇到Fatal error: Call to undefined function mb_substr(),请我应该如何正确安装呢?

多端的应用，牛逼

支付宝有演示的吗？我在支付宝小程序里没有搜索到shopxo

有升级tp6的计划么？

支持虚拟商品吗，自动发货支持吗？

as title

bug: 退款时选择了理由后立即提示：请选择退款理由

bug: 退款时选择了理由后立即提示：请选择退款理由

作者你好，如何关闭移动端，手机访问只显示PC端

作者你好，如何关闭移动端，手机访问只显示PC端

可否增加支付宝当面付？

当面付可以不用营业执照

php7.4 已经禁止使用大括号进行数组偏移

$value{0}写法要改成$value[0] 否则会报错。

Index/user/index 的问题

我看了很久index模块下user控制器下index方法里面有很多钩子，没看到有什么效果，很迷惑。

涉及到数据库事务的代码, 有点乱~~~

涉及到数据库事务的代码, 有点乱~~~

看这里application/service/OrderService.php:399
`Db::startTrans();

    // 消息通知
    $detail = '订单支付成功，金额'.PriceBeautify($params['order']['total_price']).'元';
    MessageService::MessageAdd($params['order']['user_id'], '订单支付', $detail, 1, $params['order']['id']);

    // 更新订单状态
    $upd_data = array(
        'status'        => 2,
        'pay_status'    => 1,
        'pay_price'     => $pay_price,
        'payment_id'    => $params['payment']['id'],
        'pay_time'      => time(),
        'upd_time'      => time(),
    );
    if(Db::name('Order')->where(['id'=>$params['order']['id']])->update($upd_data))
    {
        // 添加状态日志
        if(self::OrderHistoryAdd($params['order']['id'], 2, $params['order']['status'], '支付', 0, '系统'))
        {
            // 库存扣除
            $ret = BuyService::OrderInventoryDeduct(['order_id'=>$params['order']['id'], 'order_data'=>$upd_data]);
            if($ret['code'] != 0)
            {
                // 事务回滚
                Db::rollback();
                return DataReturn($ret['msg'], -10);
            }

            // 提交事务
            Db::commit();
            return DataReturn('支付成功', 0);
        }
    }

    // 事务回滚
    Db::rollback();`

问下 商品 积分+金额 这种支付方式计划大概什么时间增加，用户积分现在是只有增，没有消费地方

1.9.3 bug

点击后台，站点设置，网站搜索，搜索，扩展均报错。

can you support coupon price

how can i diy coupon price for goods

financial analysis

Whether this system can make a fuss about financial analysis, or as part of an invoicing system, I mainly want to add some elements of financial analysis.

国内领先企业级免费开源电商系统！期待国际版，

用户注册图片验证码 后台关闭 但前台还是是显示

关于欧盟GDPR，你需要知道的事！

http://www.caict.ac.cn/kxyj/qwfb/ztbg/201905/P020190528556912534746.pdf

bug：v2.2.0订单提交后报错：商品信息为空

2.2.0 从github安装后，购买商品时，选择商品规格报错： 商品id有误。订单提交后报错：商品信息为空

建议增加商品预售相关功能

商品预售（预约），定金支付、定金抵扣（定金翻倍功能）。

can you support the version of php ,which is >=7.1 ?

There is a File upload vulnerability that can getshell

The file upload vulnerability here lies in the blacklist method used when verifying the suffix of the uploaded file. This verification method is not strict and is often bypassed by attackers in various ways
The PluginsUpload method in the application\service\PluginsAdminService.php file has a file creation operation, in which the input of the file_put_contents function is controllable

Line 1072 checks the file suffix name, here is the blacklist check

The value in the private static variable $exclude_ext is ‘.php’, which can easily be bypassed

There are many ways to bypass the blacklist verification of suffix names. Taking my local Windows system environment as an example, you can upload file names that do not conform to the Windows file naming rules

shell.php::$DATA
shell.php::$DATA…….
shell.php.
shell.php(空格)
shell.php:1.jpg

The windows system will automatically remove the content behind the symbols that do not conform to the rules. You can change the file suffix in the linux environment and upload it to the website
Through the audit of the PluginsUpload method in the PluginsAdminService.php file
When the zip archive does not match the resource directory, it will jump out of the loop of reading the archive file



And the resource directory cannot be controller, because the directory corresponding to controller exists, and the compressed package will be closed directly without entering the subsequent file writing operation

Finally, the method is called in the Upload method of the application\admin\controller\Pluginsadmin.php file

The attacker can upload such a compressed package after logging into the background system

And upload the compressed package at Application Center -> Application Management -> Upload Application

Visit public\static\upload\file_uploadfile_\shell.php

In application\service\ThemeService.php there is also the same blacklist verification problem for uploaded files

The processing logic is very similar to the above file
After logging in to the system, upload the zip archive at the site management -> theme management -> theme installation

Visit public\static\index\test.php after uploading

未定义变量

application/service/PaymentService.php 153 $payment 三元运算符 :后面是否是空字符串，现在是$payment

建议后台管理添加百度统计的相关配置

如题。

添加微信地址一键导入功能

Feature Request: 添加微信地址一键导入功能

是否支持多语言

提示百度未授权使用地图API错误

点击个人中心是提出alert框：百度未授权使用地图API，可能是因为您提供的密钥不是有效的百度LBS开放平台密钥，或此密钥未对本应用的百度地图JavaScriptAPI授权。您可以访问如下网址了解如何获取有效的密钥：http://lbsyun.baidu.com/apiconsole/key#
请问如何解决呢？

There are some vulnerabilities in the upload payment plugin that can get webshell

When uploading payment plug-ins, attackers can bypass file verification and upload malicious php files by constructing the code of the php file in the zip compression package. Even uploading the php file without constructing the code will trigger the file containment vulnerability or upload files through competitive upload
In the Upload method in the application\service\PaymentService.php file, the file_put_contents function parameter is controllable

But later call GetPaymentConfig method to do file verification, if the file verification is not passed, the file will be deleted
In the GetPaymentConfig method, the class_exists function checks whether the class is defined, the class uses the fully qualified name, and then it checks whether there are three methods defined in the class

According to this, the attacker only needs to define a class in the PHP file, define the namespace, and define the three methods mentioned above in order to pass the verification. The complete code is as follows:

<?php 
namespace payment;
class a{
public function __construct($params = [])
    {
        phpinfo();
    }
public function Config()
    {
    }
public function Pay()
    {
    }
public function Respond()
    {
    }
}
$b=new a();
?>

Finally, the method is called in application\admin\controller\Payment.php

After logging in to the background, upload the zip package containing a.php at the site management -> payment method -> upload

Visit extend/payment/a.php

Not by constructing code:
The first is file inclusion. The class_exists function will call the autoload function by default. The definition of the autoload function is found in /thinkphp/library/think/Loader.php

findFile is the function of thinkphp to find files. It is mainly loaded through psr-4 and classmap. The fully qualified name of the class we passed in is returned by the findFile function and finally spliced into the complete file path.

Finally, the autoload function calls the __include_file function, and this function directly performs the file include operation

At this point, we have not entered the following file deletion operation but included the file, and the code will also be executed.

Upload the zip archive containing the php file at the same location, the code content is:
<?php $f = '1.php'; $shell = '<?php phpinfo(); ?>'; file_put_contents($f,$shell); ?>
Although the upload failed message is returned after uploading, the code has been included and executed
The file is created in 1.php under the root directory of shopxo installation, visit 1.php

There are also problems with uploading files and then deleting files. If there is no file included here, there is another way to upload files is competitive upload, because there is a time difference from file verification to file deletion, and you can keep uploading while keeping access.
I use burpsuite's intruder module to keep sending packages and python scripts to keep accessing

The Python script is as follows:

import requests
url='http://url/extend/payment/2.php'
while True:
	s=requests.get(url)
	if 'phpinfo' in s.text:
		print(s.text)
		exit()

Upload the php file in the compressed package as follows:

<?php 
phpinfo(); 
$f = '1.php'; 
$shell = '<?php phpinfo(); ?>'; 
file_put_contents($f,$shell);
?>

The generated php file is in the extend\payment directory
Visit extend\payment\1.php

Plesk部署，结果炸了

首先给你们点个赞，相当好的项目，整洁清晰，甩其他开源项目好几条街。

有没有试过在plesk上部署？按照教程部署完之后，直接炸了，连plesk也打不开了，"Err_Connection_Refused", 连ssh也连不上机器，重启后一直崩溃无法连接。。。
后来重新试了一两个新机器，目前稳定的设置以下

OS:

ubuntu 18, cpu x 1, ram x 2gb

plesk:

Plesk Obsidian 18.0.20

php:

7.3.11, FPM application served by nginx

DB:

Mariadb 10

ssl:

lets encrypt

问题好像出在将runtime文件夹设置为777，因该在cache上出了点问题，不知道怎么直接把plesk给炸了。plesk上的所有网站都无法响应了"Err_Connection_Refused"，但是还可以通过8443端口连接到后台，然后显示apache和nginx服务都正常运行，cpu高峰才47%，ram最高490mb。。。瞎折腾一番结果连8443端口也炸了，ssh也无法连接。。。幸好是台dev机器。。。
后来删了重装plesk，再次部署shopxo1.7，没有设置runtime权限，保留其原来权限755，目前网站后台（admin.php）只崩溃过几次，499，503，504，也没有波及到plesk及其他网站。

由于之前机器完全废了，所以提供不了更多信息，目前在不设置runtime777的情况下还是稳定的，要是再崩溃的话，我会提供更多信息。

版本通杀无条件登陆任意用户

APPLICATION、$params['user_id']可以被用户控制，存在变量覆盖问题。

利用修改头像接口
1、添加参数application=app跟参数user_id，导致$params['user_id']用户id变成用户指定id

2、进入UserLoginRecord方法，这里好像没啥问题

3、进入UserAvatarUpload方法，这里完成图片上传后又调用了UserLoginRecord方法

4、再进入UserLoginRecord方法。因为这次调用没有指定$is_app，默认为false

这就导致了最终结果变成当前session存储的用户变成用户指定的任意用户id，并且这个id是一个可以猜测的简单数字
5、最终效果

unrestricted file upload vulnerability

You previously fixed one vulnerability of the theme file upload .

But now there is a similar vulnerability in /app/admin/appmini.php,because you didn't use the above method.

http://localhost:3000/admin.php?s=appmini/index/nav_type/weixin/view_type/upload.html


Then my file will be uploaded to sourcecode/weixin/

And i can bypass the !IS_AJAX，even upload my files to any writable directory using ../.
admin.php?s=appmini/themeupload&ajax=ajax

Array and string offset access syntax with curly braces is deprecated

安装的时候提示 Array and string offset access syntax with curly braces is deprecated

商品详情中echarts和edit.js没有必要加载吧

都有200k大

v2.0.2 商品无法修改库存数

商品编辑页面没有修改库存数量的地方，默认的库存为0

有支持第三方入驻的计划么

有支持第三方入驻的计划么，类似京东这样的。

手机号验证太旧了，建议更新为最新的正则表达式

把 application\lang\zh-cn.php   369行的 '^1((3|5|8|7){1}\d{1})\d{8}$'替换为以下 ^1([358][0-9]|4[579]|66|7[0135678]|9[89])[0-9]{8}$

是否考虑换掉AmazeUI

毕竟已经不维护了

shopxo

shopxo/application/install/view/index/check.html

shopxo/application/install/view/index/check.html

第11、62、360行

<th width="25%">坏境</th>

字错了

Trying to get in touch regarding a security issue

Hey there!

I'd like to report a security issue but cannot find contact instructions on your repository.

If not a hassle, might you kindly add a SECURITY.md file with an email, or another contact method? GitHub recommends this best practice to ensure security issues are responsibly disclosed, and it would serve as a simple instruction for security researchers in the future.

Thank you for your consideration, and I look forward to hearing from you!

(cc @huntr-helper)