什么使cakephp安全?我们如何提高它的安全性?

蛋糕 遵循许多领域的最佳实践,并具有相当安全的内置工具 附带的基础设施已经在一定程度上涵盖了许多典型的webapp安全领域。例如,您不必太担心SQL注入,因为cake的数据库抽象会忽略所有输入。如果没有, the manual warns you 适当地:

updateAll(array $fields, array $conditions)

! $fields数组接受SQL表达式。文本值应手动引用。

使用SecurityComponent,您可以获得自动表单欺骗保护。
数据验证是模型的重要组成部分。
authcomponent哈希和salts密码 适当地 尽管不一定以最安全的方式。
有一把手提包 h() 快捷方式 htmlentities 您应该使用它来转义输出以避免XSS问题。
等等,佩奇·佩奇…

你 但仍然必须正确使用所有组件,并注意不要打开任何“自定义”孔。cake只是一个工具箱,使用它构建一个非常不安全的应用程序仍然是完全可能的。不管这把枪有多好,你仍然可以用脚射自己。默认的蛋糕结构只是一个起点。这并不是所有的目的都是为了安全;为你自己想想。这个 link 由约翰提供确实是一个很好的起点。

利奥:有些网站不需要高级别 他们可以给 性能出众。其他必须是 不可侵犯的

对不起,利奥,但我不同意。你建造的每一个站点,都要非常注意安全。不管它是什么类型的网站。例如,假设您构建了一个非常紧密的超级duper黑客安全站点。你把它放在共享服务器上,猜猜看……有人通过你不太安全的地方的一个洞进入了你的安全地点。甚至整个服务器。

我知道,这是一个末日理论,但我相信像这样的事情每天都会发生。

cakephp框架已经存在一段时间了(从2005年开始),并且是开源软件。这意味着它的代码可供任何希望这样做的开发人员或非开发人员查看。cakephp社区和安全社区都有足够的时间来检查代码库并发现/纠正潜在的安全问题。这并不意味着软件是完美的,但是Cakephp非常受欢迎,你可以打赌它已经被彻底地审查过了,如果其中有任何缺陷,它们是深刻的,很难找到/识别。

但请记住,仅仅因为框架中的代码是安全的,并不意味着使用它可以使代码安全。您仍然需要遵循安全的编码实践,因为无论您使用的框架的安全级别如何,您的代码库都可能容易受到攻击。

蛋糕的安全性很好,但每样东西都有漏洞。对于一个超安全的站点,我将研究已知的安全漏洞和错误,并针对这些情况测试该站点。仅仅依靠别人的安全声明是不够的。

有些站点不需要高级别的安全性,它们可能会影响性能。其他人必须不受侵犯。

所有人都说,我对cake的内置安全性印象深刻,而且还没有修改过它。