CakePHP безопасности

Question

Я думаю об использовании cakePHP для создания веб-приложения.У меня вопрос, сколько средств безопасности мне придется кодировать самому, чтобы предотвратить (внедрение SQL и т. Д.)?О каких аспектах безопасности говорит сама себяakePHP и что мне нужно будет кодировать?

Answer 1

торт делает много вещей автоматически, а некоторые нет.в зависимости от того, насколько безопасны ваши формы, вы также должны рассмотреть «белый список»: детали

самый простой способ - использовать компонент безопасности.

Answer 2

Безопасность в торт можно включить с помощью нескольких строк кода и с использованием встроенных классов.

Для защиты от впрыска Sql

• use cakephp $ this-> find автоматически очистит ваши параметры, но если вы хотите использовать необработанный запрос, вы все равно можете очистить данные, используя Sanitize :: escape () method

Для защиты от CSRF

• Вы можете включить его app / Controller / AppController.php

`` `

public $components = [
   'Security' => [
       'csrfUseOnce' => false,
       'csrfExpires' => '+1 hour',
   ],
];

`` `

Для XSS

• если возможно, всегда используйте cakephp Form Helper (http://book.cakephp.org/2.0/en/core-libraries/helpers/form.html)
• когда ваши данные из текстового поля, всегда печатайте их, используя h () (текст для переноса htmlspecialchars )

https://book.cakephp.org/2.0/en/core-libraries/components/security-component.html

Answer 3

Cake предоставляет свои собственные функции, такие как проверка данных, шаблон кодирования MVC, контроллеры, компонент аутентификации, процесс автоматической настройки, а также компонент безопасности. Так что не о чем беспокоиться. Если вы не удовлетворены этим и хотите добавить свой собственный компонент безопасности, просмотрите блог: http://goo.gl/ZoQzLx

Answer 4

Конечно, это зависит от того, каков ваш стиль кода и как вы понимаете структуру. Наверняка, если вы используете функцию CakePHP для хранения данных, все будет в порядке.

Но в настоящее время я работаю над платным приложением CakePHP, которое далеко от безопасного кода :) Так что это действительно зависит от разработчика.

Answer 5

CakePHP сам по себе довольно хорош, вам не придется беспокоиться о том, что представлено. Но если вы используете данные, все, конечно, не будет спасено. Таким образом, форма, созданная из классов Helper, будет безопасна для XSS, но как только вы распечатываете, что такое int $ this-> data, вы должны знать и стараться избегать его. h () - это часто используемый псевдоним для htmlspecialchars ().

CakePHP не имеет встроенной защиты от XSRF.

Для ACL он предоставляет вам некоторые компоненты.