Sicherheit in PHP-Code #

Diese Seite richtet sich an PHP-Entwickler, die Code schreiben, der Anfragen, Daten oder Dateien verarbeitet. Sie sammelt die Regeln, die Exponential-Code sicher halten, und verweist auf die Seite, die jede davon erklärt. Der Sicherheitsstandard des Projekts ist der Sicherheitsstandard; Administratoren härten die Installation mit Sicherheitshärtung.

Inhalt #

1. Die Regeln
2. Woher Eingaben kommen
3. Berechtigungen an jedem Einstiegspunkt
4. Weiterleitungen
5. Geheimnisse
6. Dateien und Uploads
7. Was der Kernel für Sie tut
8. Eine Schwachstelle melden

Die Regeln #

Woher Eingaben kommen #

Behandeln Sie all das als nicht vertrauenswürdig:

• $Params und ungeordnete Parameter einer View: Strings aus der Adresse.
• eZHTTPTool::instance()->postVariable(), getVariable(), variable(): die Anfrage. Lesen Sie Eingaben über eZHTTPTool, nicht direkt aus $_POST und $_GET, damit die Anfragevorbereitung des Kernels greift (unter Velocity bereitet er sie pro Anfrage vor).
• Argumente von ezjscore-Serverfunktionen und REST-Routen.
• Einstellungen: von Menschen geschrieben, manchmal von anderen Erweiterungen.
• Die Datenbank: früher von jemandem geschrieben, vielleicht von einem Import.
• Header wie Referer, Host und X-Forwarded-For; verwenden Sie die Behandlung vertrauenswürdiger Proxys des Kernels, nicht den rohen Header (Vertrauenswürdige Proxys).

Berechtigungen an jedem Einstiegspunkt #

$user = eZUser::currentUser();
$access = $user->hasAccessTo( 'acmereport', 'read' );
if ( $access['accessWord'] === 'no' )
    return $Module->handleError( eZError::KERNEL_ACCESS_DENIED, 'kernel' );

• accessWord ist yes, no oder limited; bei limited prüfen Sie die Einschränkung gegen das Objekt (oder verwenden Sie für Inhalte $node->canRead(), $object->canEdit()).
• Die functions einer View in module.php prüft der Kernel, bevor Ihr Code läuft, aber Fetch-Funktionen, ezjscore-Serverfunktionen, REST-Aktionen und Befehle werden von Stellen aufgerufen, die nicht prüfen: Sie müssen selbst prüfen (Zugriffskontrolle im Code).
• Inhaltslisten aus eZContentObjectTreeNode::subTreeByNodeID() wenden content/read des aktuellen Benutzers an, sofern Sie nicht 'Limitation' => array() übergeben; übergeben Sie das niemals für Ergebnisse, die Benutzer sehen.

Weiterleitungen #

Leiten Sie niemals ungeprüft an eine Adresse weiter, die aus der Anfrage stammt. eZRedirectManager (kernel/classes/ezredirectmanager.php) enthält die Regeln: Pfade derselben Site, der aktuelle Host oder Hosts aus site.ini [SiteSettings] AllowedRedirectHosts, keine Steuerzeichen oder Backslashes, kein // und keine fremden Schemata, auch nicht prozentkodiert, keine Zugangsdaten in der URL. eZRedirectManager::safeURI( $uri ) prüft eine Adresse; redirectTo() und returnURI() wählen ein sicheres Ziel mit einem Standardwert (Sichere Weiterleitungen).

Geheimnisse #

• API-Schlüssel, Passwörter und Tokens liegen in settings/override/ der Installation oder in Umgebungsvariablen, niemals im Repository Ihrer Erweiterung und niemals in einer URL.
• Protokollieren Sie sie niemals; geben Sie sie niemals in der Debug-Ausgabe aus; maskieren Sie sie in Fehlermeldungen.
• Vergleichen Sie Geheimnisse mit hash_equals(); speichern Sie Tokens nach Möglichkeit als Hashes (die API-Schlüssel des Kernels speichern nur einen gesalzenen HMAC-SHA-256-Hash, expservices-Tokens nur einen SHA-256-Hash).
• Erzeugen Sie Zufallswerte mit random_bytes() oder random_int().

Dateien und Uploads #

• Lesen Sie Uploads über eZHTTPFile::canFetch() und eZHTTPFile::fetch(); prüfen Sie den Typ nach Inhalt und die Größe gegen eine Allow-Liste.
• Speichern Sie Dateien bevorzugt als Inhalte (die Klassen file und image), was Speicherung, Clustering und SVG-Bereinigung übernimmt (SVG-Bilder).
• Bauen Sie niemals einen Dateipfad aus einer Eingabe, ohne ihn zu normalisieren und zu prüfen, dass er im erwarteten Verzeichnis bleibt.
• autoload.php hebt bei jeder Anfrage die Registrierung des Stream-Wrappers phar:// auf (sofern die Laufzeitumgebung nicht selbst aus einem Archiv läuft), sodass eine hochgeladene Datei, die zugleich ein gültiges phar ist, niemals als Code eingebunden werden kann. Registrieren Sie ihn nicht erneut.

Was der Kernel für Sie tut #

Eine Schwachstelle melden #

Wenn Sie ein Sicherheitsproblem in Exponential finden, melden Sie es vertraulich an die Adresse in SECURITY.md im Wurzelverzeichnis des Repositorys, nicht in einem öffentlichen Issue.

Verwandte Seiten #

• Sicherheit für Anwendungen
• Sicherheit in Erweiterungen
• Referenz zur Sicherheitshärtung
• Freie Dokumentation: diese Seite darf unter der GNU FDL 1.3 frei kopiert, übersetzt und verbessert werden.