Padronanza dei percorsi relativi e assoluti nei progetti annidati.

Come si impedisce che gli include PHP in directory annidate utilizzino improvvisamente percorsi errati?

Bootstrap deriva PROJECT_ROOT da un file di codice versionato e definisce da esso i percorsi di configurazione, template e dati. Ogni accesso verifica la posizione prevista, l'esistenza e il tipo; i nomi di file forniti liberamente vengono esclusi o risolti utilizzando una chiave fissa.

Caso d'uso: "Dipendenza dal punto di ingresso"

Uno script di importazione può trovare templates/mail.php solo se viene avviato dalla directory principale del progetto. Bootstrap definisce la directory principale dalla propria posizione, l'importazione utilizza lo stesso percorso assoluto di destinazione e i test lo avviano deliberatamente da tre directory di lavoro.

Obiettivo normalizzato

1. Cattura tutti i punti di ingresso e le costruzioni dei percorsi e rendi visibili le dipendenze dalla directory di lavoro.

2. Projektstamm zentral aus __DIR__ ableiten und interne Ziele mit systemgeeigneten Trennern daraus bilden.

3. Verifica l'esistenza, il tipo e l'appartenenza alla directory radice ed esegui test da più directory di lavoro e con chiavi dannose.

Dipendenza dal punto di ingresso

• Dipendenza dal punto di ingresso Un percorso relativo funziona da index. php ma fallisce in una sottodirectory o in un'attività CLI pianificata.

• Suddivisione della directory – Nicht geprüfte Segmente mit ../ oder symbolische Links verlassen den vorgesehenen Datenstamm.

• Assunzione del sistema operativo I separatori concatenati manualmente e la capitalizzazione si comportano in modo diverso tra gli ambienti di sviluppo e di produzione.

Origine del progetto stabile

• Nessun input libero I valori delle richieste non costituiscono mai parti di directory o file; la selezione consentita utilizza chiavi fisse e destinazioni note.

Nessun input libero

Quali domande sorgono ora?

Una domanda di approfondimento pertinente con relativa risposta Protezione del caricamento dei file in base a tipo, dimensione e posizione"Quali controlli devono avere esito positivo prima che un caricamento PHP venga salvato in modo permanente? "

Un secondo link per "Gestire i percorsi PHP nei progetti" porta a: Esecuzione di migrazioni di server con una checklist riproducibileQuesto post rimane incentrato sulla domanda: "Quale checklist garantisce che una migrazione del server sia riproducibile e reversibile? "

Se si desidera mettere in pratica "Gestire i percorsi PHP nei progetti", è possibile fare riferimento a: Sistemi web robusti Questo si concentra su "Confini di codice, percorso e dipendenza" e "Origine stabile del progetto".

Conclusione: Padronanza dei percorsi PHP nei progetti

I percorsi assoluti sono affidabili quando la loro origine fa parte del codice e non dell'ambiente di runtime. Il root checking e la selezione chiusa forniscono ulteriore sicurezza per i progetti annidati.

Fonti e ulteriori informazioni

Le seguenti fonti documentano le linee guida tecniche e metodologiche utilizzate per "Padronanza dei percorsi PHP nei progetti".

• Sicurezza del filesystem – Manuale PHPLa documentazione ufficiale di PHP descrive i permessi dei file, la proprietà, l'accesso al server web e i rischi dei nomi di file dinamici.

• Schema composer. json – ComposerLa documentazione ufficiale di Composer definisce i metadati del pacchetto, i requisiti di versione, l'autoloading e i campi di configurazione.

• json_decode – Manuale PHPIl manuale PHP documenta i tipi di ritorno, gli errori, i limiti di profondità e JSON_THROW_ON_ERROR per l'elaborazione controllata di JSON.