CakePHP - 安全性

安全性是构建 web 应用程序的另一个重要功能。它向网站用户保证他们的数据是安全的。CakePHP 提供了一些工具来保护您的应用程序。

加密和解密

CakePHP 中的安全库提供了一些方法，我们可以用这些方法来加密和解密数据。以下是用于此目的的两种方法。

static Cake\Utility\Security::encrypt($text, $key, $hmacSalt = null)
static Cake\Utility\Security::decrypt($cipher, $key, $hmacSalt = null)

encrypt 方法将文本和密钥作为参数来加密数据，返回值将是带有 HMAC 校验和的加密值。

要散列数据，使用hash()方法。以下是 hash() 方法的语法。

static Cake\Utility\Security::hash($string, $type = NULL, $salt = false)

CSRF

CSRF 代表跨站点请求伪造。通过启用 CSRF 组件，您可以获得针对攻击的保护。CSRF 是 web 应用程序中常见的漏洞。

它允许攻击者捕获并重播之前的请求，有时还会使用其他域上的图像标签或资源提交数据请求。可以通过简单地将CsrfComponent添加到您的组件数组中来启用 CSRF，如下所示：

public function initialize(): void {
   parent::initialize();
   $this->loadComponent('Csrf');
}

CsrfComponent 与FormHelper无缝集成。每次使用 FormHelper 创建表单时，它都会插入一个包含 CSRF 令牌的隐藏字段。

虽然不推荐这样做，但您可能希望在某些请求上禁用 CsrfComponent。您可以在beforeFilter()方法期间使用控制器的事件调度程序来做到这一点。

public function beforeFilter(Event $event) {
   $this->eventManager()->off($this->Csrf);
}

安全组件

安全组件对您的应用程序应用更严格的安全措施。它为各种任务提供方法，例如：

限制应用程序接受的 HTTP 方法 - 在执行副作用之前，您应该始终验证正在使用的 HTTP 方法。您应该检查 HTTP 方法或使用Cake\Network\Request::allowMethod()来确保使用了正确的 HTTP 方法。
表单篡改保护 - 默认情况下，SecurityComponent 可防止用户以特定方式篡改表单。SecurityComponent 将阻止以下行为：
- 无法向表单添加未知字段。
- 无法从表单中删除字段。
- 隐藏输入中的值不能被修改。
要求使用 SSL - 所有操作都需要 SSL 保护
限制跨控制器通信 - 我们可以限制哪些控制器可以向此控制器发送请求。我们还可以限制哪些操作可以向此控制器的操作发送请求。

示例

按照以下程序中所示更改config/routes.php文件。

config/routes.php

<?php
use Cake\Http\Middleware\CsrfProtectionMiddleware;
use Cake\Routing\Route\DashedRoute;
use Cake\Routing\RouteBuilder;
$routes->setRouteClass(DashedRoute::class);
$routes->scope('/', function (RouteBuilder $builder) {
   $builder->registerMiddleware('csrf', new CsrfProtectionMiddleware([
      'httpOnly' => true,
   ]));
   $builder->applyMiddleware('csrf');
   //$builder->connect('/pages',
      ['controller'=>'Pages','action'=>'display', 'home']);
   $builder->connect('login',['controller'=>'Logins','action'=>'index']);
   $builder->fallbacks();
});

在src/Controller/LoginsController.php处创建一个LoginsController.php文件。将以下代码复制到控制器文件中。

src/Controller/LoginsController.php

<?php
   namespace App\Controller;
   use App\Controller\AppController;
   class LoginsController extends AppController {
      public function initialize() : void {
         parent::initialize();
         $this->loadComponent('Security');
      }
         public function index(){
      }
   }
?>

在src/Template中创建一个目录Logins，并在该目录下创建一个名为 index.php 的View文件。将以下代码复制到该文件中。

src/Template/Logins/index.php

<?php
   echo $this->Form->create(NULL,array('url'=>'/login'));
   echo $this->Form->control('username');
   echo $this->Form->control('password');
   echo $this->Form->button('Submit');
   echo $this->Form->end();
?>

通过访问以下 URL 来执行上述示例：https://127.0.0.1/cakephp4/login

输出

执行后，您将收到以下输出。

打印页面