安全性是構(gòu)建 Web 應(yīng)用程序時(shí)的另一個(gè)重要功能。它向網(wǎng)站用戶保證他們的數(shù)據(jù)是安全的。 CakePHP 提供了一些工具來保護(hù)您的應(yīng)用程序。

加密與解密

CakePHP中的安全庫(kù)提供了方法，通過這些方法我們可以對(duì)數(shù)據(jù)進(jìn)行加密和解密。以下是兩種方法，用途相同。

static Cake\Utility\Security::encrypt($text, $key, $hmacSalt = null)
static Cake\Utility\Security::decrypt($cipher, $key, $hmacSalt = null)

加密方法將以文本和密鑰作為參數(shù)對(duì)數(shù)據(jù)進(jìn)行加密，返回值將是經(jīng)過 HMAC 校驗(yàn)和的加密值。

要對(duì)數(shù)據(jù)進(jìn)行哈希處理，請(qǐng)使用 hash() 方法。以下是 hash() 方法的語(yǔ)法。

static Cake\Utility\Security::hash($string, $type = NULL, $salt = false)

CSRF

CSRF 代表跨站請(qǐng)求偽造。通過啟用 CSRF 組件，您可以免受攻擊。 CSRF 是 Web 應(yīng)用程序中常見的漏洞。

它允許攻擊者捕獲并重放之前的請(qǐng)求，有時(shí)還可以使用圖像標(biāo)簽或其他域上的資源提交數(shù)據(jù)請(qǐng)求。只需將 CsrfComponent 添加到組件數(shù)組中即可啟用 CSRF，如下所示 -

public function initialize(): void {
   parent::initialize();
   $this->loadComponent('Csrf');
}

CsrfComponent 與 FormHelper 無縫集成。每次使用 FormHelper 創(chuàng)建表單時(shí)，它都會(huì)插入一個(gè)包含 CSRF 令牌的隱藏字段。

雖然不建議這樣做，但您可能希望在某些請(qǐng)求上禁用 CsrfComponent。您可以在 beforeFilter() 方法期間使用控制器的事件調(diào)度程序來執(zhí)行此操作。

public function beforeFilter(Event $event) {
   $this->eventManager()->off($this->Csrf);
}

安全組件

安全組件為您的應(yīng)用程序應(yīng)用更嚴(yán)格的安全性。它提供了各種任務(wù)的方法，例如 -

• 限制您的應(yīng)用程序接受哪些 HTTP 方法 - 您應(yīng)該始終驗(yàn)證在執(zhí)行副作用之前使用的 HTTP 方法。您應(yīng)該檢查 HTTP 方法或使用 CakeNetworkRequest::allowMethod() 以確保使用正確的 HTTP 方法。

• 表單篡改保護(hù) - 默認(rèn)情況下，SecurityComponent 會(huì)阻止用戶以特定方式篡改表單。 SecurityComponent 將阻止以下事情 -

  • 無法將未知字段添加到表單中。

  • 無法從表單中刪除字段。

  • 隱藏輸入中的值無法修改。

• 要求使用 SSL - 需要 SSL 保護(hù)的所有操作

• 限制跨控制器通信 - 我們可以限制哪個(gè)控制器可以向該控制器發(fā)送請(qǐng)求。我們還可以限制哪些操作可以向該控制器的操作發(fā)送請(qǐng)求。

示例

在 config/routes.php 文件中進(jìn)行更改，如以下程序所示。

config/routes.php

<?php
use Cake\Http\Middleware\CsrfProtectionMiddleware;
use Cake\Routing\Route\DashedRoute;
use Cake\Routing\RouteBuilder;
$routes->setRouteClass(DashedRoute::class);
$routes->scope('/', function (RouteBuilder $builder) {
   $builder->registerMiddleware('csrf', new CsrfProtectionMiddleware([
      'httpOnly' => true,
   ]));
   $builder->applyMiddleware('csrf');
   //$builder->connect('/pages',
      ['controller'=>'Pages','action'=>'display', 'home']);
   $builder->connect('login',['controller'=>'Logins','action'=>'index']);
   $builder->fallbacks();
});

在 src/Controller/LoginsController.php 創(chuàng)建一個(gè) LoginsController.php 文件。 將以下代碼復(fù)制到控制器文件中。

src/Controller/LoginsController.php

<?php
   namespace App\Controller;
   use App\Controller\AppController;
   class LoginsController extends AppController {
      public function initialize() : void {
         parent::initialize();
         $this->loadComponent('Security');
      }
         public function index(){
      }
   }
?>

在 src/Template 處創(chuàng)建一個(gè)目錄 Logins 并在該目錄下創(chuàng)建一個(gè)名為 index.php 的 View 文件。將以下代碼復(fù)制到該文件中。

src/Template/Logins/index.php

<?php
   echo $this->Form->create(NULL,array('url'=>'/login'));
   echo $this->Form->control('username');
   echo $this->Form->control('password');
   echo $this->Form->button('Submit');
   echo $this->Form->end();
?>

通過訪問以下 URL 來執(zhí)行上述示例 - http://localhost/cakephp4/login

輸出

執(zhí)行后，您將收到以下輸出。

以上是CakePHP 安全性的詳細(xì)內(nèi)容。更多信息請(qǐng)關(guān)注PHP中文網(wǎng)其他相關(guān)文章！