PHP фильтр и риски безопасности

Question

Я хочу создать пару PHP блоков со мной, как администратора только иметь возможность редактировать

От http://drupal.org/node/1046700:

Важное примечание: Есть соображения безопасности в обеспечении ей Модуль фильтра PHP. Фильтр ввода PHP позволяет злоумышленникам атаковать ваш сайт с помощью вредоносных скриптов. Вы должны разрешать использовать фильтр PHP только тем людям, которым вы доверяете. Кроме того, убедитесь, что те, кому вы даете разрешение, являются компетентными PHP-кодонами, так как неверный код может сломать ваш сайт и полностью прекратить его работу. Это хорошая идея создать отдельную роль для этого модуля (и других потенциально опасных), таких как «разработчик» или «веб-мастер», отличный от «администратора», который может быть экспертом Drupal, но не экспертным кодером, поэтому вы можете предоставить это только для тех, кто выполняет такие критерии.

Означает ли это, что существуют риски от внешних атак, или я могу добавить блоки PHP только для моего использования?

Answer 1

Они просто убедились, что вы знаете, что можете попасть в проблему, если вы дадите только любое разрешение на текстовый формат кода PHP. Они также предупреждают, что если вы испортите PHP, это может испортить сайт, не что иное, как если бы вы загрузили PHP-скрипт, который был неправильным.

У людей -> разрешений есть разрешение «Использовать текстовый формат кода PHP». Убедитесь, что к ним доступны только роли, которым вы доверяете, чтобы использовать PHP. Если вы используете пользователя 1 для управления вашими блоками, просто оставьте его без каких-либо других ролей, имеющих это разрешение. Пользователь 1 имеет разрешение на все.

Я также рекомендую иметь другую тему администратора, чтобы уменьшить потенциал блока с плохим PHP, препятствующим доступу к вашей панели администратора.

Answer 2

Соответствующая часть для вас заключается в следующем:

Вы должны предоставить только разрешение на использование PHP фильтр для людей, которым вы доверяете.

Всегда существует риск подвергнуть сайт возможным атакам при написании кода, и на самом деле задача команды безопасности Drupal заключается в том, чтобы сообщать о нарушениях безопасности для поддерживающих модулей для их исправления.
С помощью фильтра PHP более непосредственный риск состоит в том, что пользователи, которые его используют, имеют доступ к любой таблице базы данных. Пользователю было бы легко изменить пароль учетной записи пользователя, изменить принадлежность узла и т. Д.