zblog
当前位置:首页 > zblog > 正文内容

zblog

zblogphp1.5.2开发者迁移指南

4年前 (2018-04-26) 热度:2153 ℃

自此版本开始,加强安全相关功能。

登录相关

此版本不再使用 password Cookie,用户密码不再直接暴露。增加token Cookie,并且强制置于 httpOnly 模式。因此:

1. 不再允许前端设置Cookie登录,也不再允许在前端读取密码相关。

2. 前端模板注销链接需要更新。

使用setcookie做模拟登录的开发者,请使用 SetLoginCookie($user, $cookieTime) 函数,传入需要登录的用户。如应用需要兼容旧版本,可使用function_exists做判断。

CSRF相关

本版本对所有会造成副作用的链接,包括注销、发表文章等通过cmd.php处理的链接。因此,如果您的应用有跳转到这些链接,或提交数据,请同时提交一个 token 参数。另外,您的应用如果有副作用,也务必需要加入CSRF Token。

可参考:https://github.com/zblogcn/zblogphp/commit/e84c581bb0d6f4fd9026d7fc319d4a80eeaab2eb

通过GET方法提交,如果您的目标地址是cmd.php,那么您可以使用以下函数:

<?php echo BuildSafeCmdURL('act=TagPst'); ?>

如果不是,那么您也可以直接

<?php echo BuildSafeURL('main.php'); ?>

通过POST方法提交,您可以在form表单内加入

echo '<input type="hidden" name="csrfToken" value="' . $zbp->GetCSRFToken() . '">';

如果需要兼容旧版Z-BlogPHP,可以使用

<?php if (function_exists('CheckIsRefererValid')) {echo '<input type="hidden" name="csrfToken" value="' . $zbp->GetCSRFToken() . '">';}?>

如果您想在您的应用内集成CSRF Token检测(这将在未来成为上架应用中心的必需要求),以及在增强安全模式下进行来源检测,您可以直接使用以下函数

CheckIsRefererValid();

如果需要兼容旧版Z-BlogPHP,可以使用

if (function_exists('CheckIsRefererValid')) CheckIsRefererValid();

参考:https://github.com/zblogcn/zblogphp/commit/acd2d343f857192403c82d4cfd76806eef2dd660

当然,如果您对报错有更多的要求,$zbp→VerifyCSRFToken() 也许更符合您的心意。

分享给朋友:

相关文章

zblogphp文章页面编辑页开始接口说明

zblogphp文章页面编辑页开始接口说明

接口名称:Filter_Plugin_Edit_Begin接口描述:文章编辑页加载前处理内容。应用场景:可直接跳转到其他页面,处理自身业务流程。调用方法:Add_Filter_Plugin('...

zblogphg提示“Call to undefined function mysql_connect()”

zblogphg提示“Call to undefined function mysql_connect()”

今天给某个站搬家,原站环境是php5.6,这次配的环境是7.1。然后搬家后,提示然后,惯例,先查看数据库账户密码是否正确。经测试,信息无误。然后呢。。发现配置文件好像挺复杂。这个站是从zblogphp...

zblogphp邮箱营销实用工具

zblogphp邮箱营销实用工具

    邮件营销(Email Marketing)是在用户事先许可的前提下,通过电子邮件的方式向目标用户传递有价值信息的一种网络营销手段。Email营销有三个基...

zblogphp文章页面编辑页结束接口说明

zblogphp文章页面编辑页结束接口说明

接口名称:Filter_Plugin_Edit_End接口描述:文章编辑页加载前处理内容。应用场景:可直接跳转到其他页面,处理自身业务流程。调用方法:Add_Filter_Plugin('Fi...

zblogphp文章页面编辑1号输出接口说明

zblogphp文章页面编辑1号输出接口说明

接口名称:Filter_Plugin_Edit_Response接口描述:文章编辑页面1号输出接口,具体位置位于标签设置下方,摘要设置上方。应用场景:可在文章(页面)编辑页增加自定义参数,如自定义表单...

zblogphp文章页面编辑3号输出接口说明

zblogphp文章页面编辑3号输出接口说明

接口名称:Filter_Plugin_Edit_Response3接口描述:文章编辑页面3号输出接口,具体位置位于右侧底部。应用场景:可在文章(页面)编辑页增加自定义参数,如自定义表单字段等。调用方法...