CakePHP：セキュリティテスト

Question

誰でも私のサイトが安全であることを保証するために使用できるプロセスを提案しますか？セキュリティホール、許可されていない権限、XSSなどが心配です。

Answer 1

セキュリティは決して終わりのない戦いであるため、これはロードされた質問です。幸運なことに、Cakeは、規約に従い、フレームワークのメソッドを使うことに固執すれば、あなたのアプリケーションの保護を非常に簡単にします。また、あなたのアプリの性質を知らないので、特定するのは難しいので、重要な順番ではなくデフォルトのタスクのいくつかについて説明します。

まず、SecurityComponentを有効にします。デフォルトでは、CSRFに対してあなたを保護し、改ざんを行います。また、HTTPメソッドやSSLの要求など、サイトを保護するために使用できるメソッドも用意されています。

次に、コードを監査し、データベース呼び出しに組み込みのfind()メソッドを使用していることを確認してください。 CakeはSQLインジェクションを防ぐために入力をエスケープします。手動クエリがある場合は、SQLインジェクションに対してそれらを保護することを確認してください。

最後に、あなたの認証のためのテストを書く。これにより、ユーザーは許可されているアプリケーションの領域にしかアクセスできないという自信を持たせることができ、GETパラメータで簡単にアクセスできる安全であると思われるアプリ領域を把握することができます。