Wielu użytkowników autorami strony

aeroflash
(@aeroflash)

11 years, 10 months temu

Przykladowo jest taka strona jak tu:
strona www
gdzie kazdy moze sie zarejestrowac i dodac wpis do strony.

Czy jesli ktos bedzie chcial napisac jakis skrypt w php czy inny i poprzez wklejanie takiego skryptu do formularza w panelu administracyjnym gdzie dodaje sie wpisy bedzie np. probowal wyciagnac dane z bazy czy probowal zrobic cos innego na szkode strony to czy takie dzialanie mu sie uda?

W taki sposob buduje sie dodatkowe strony w WP, dodaje wpisy, ale czy dajac wszystkim uzytkownikom internetu dostep do takiego edytora nie bedzie wlasie takich przypadkow jak podalem wyzej, ze ktos bedzie mial prosty sposob na wstawienie kodu skryptu, ktory wykona pewnie dzialania, ktore bym nie chcial aby byly wykonywane na stronie?

Chodzi mi glownie o to, ze ktos moze wstawic kod SQL, ktory usunie wpisy, albo wyciagnie dane uzytkownkow z tabel. Skrypt php, ktory np. usunie pliki na serwerze inne rozne destrukcyjne przyklady.

Jak to wiec jest? Czy moze tylko administrator strony ma pelne prawa na wykonywanie takich rzeczy, a zwykli uzytkownicy moga jedynie dodac tyle na ile pozwala edytor WysWig?

Viewing 6 replies - 1 through 6 (of 6 total)

Moderator amistad18
(@amistad18)

11 years, 10 months temu

SQL injection przez textarea w edytorze wpisów? Powodzenia 😉

Pod względem bezpieczeństwa WordPressa nie masz się co martwić, dopóki sam nie dasz komuś możliwości grzebania Ci w plikach czy bazie – tak przez WordPressa nikomu się to nie uda. Oczywiście poza edytorem kodu, ale go też można wyłączyć, lub też nikomu innemu nie dawać uprawnień administratora.

Thread Starter aeroflash
(@aeroflash)

11 years, 10 months temu

Tzn. chodzi mi o to, ze jak ktos sie loguje do panelu ma mozliwosc napisania nowego wpisu, a wtedy ma 2 rodzaje edytorow Multimedialny i HTML, poprzez edytor HTML mozna wstawiac znaczniki HTML, ale czy kod php, SQL przez taki edytor juz nie zadziala? Kod dodawany przez administratora na mojej stronie dziala.

Napisales oczywiscie poza edytorem kodu, ale go tez mozna wylaczyc tzn. masz na mysli ten edytor HTML obok multimedialnego, ktory mozna wylaczyc?
Gdzie jest taka opcja?

Zastanawiam sie wlasnie nad zrobieniem takiej strony aby to sami uzytkownicy, ktorzy zechca cos napisac i dodac na strone (oczywiscie teksy bede moderowal ja aby ne bylo tak, ze ktos bedzie wrzucal smieci) tylko zastanawiam sie czy wlasnie pozwolenie kazdemu na rejestrowanie sie i dodawanie swoich wpisow nie bedzie blednym rozwiazaniem.

Moderator amistad18
(@amistad18)

11 years, 10 months temu

Nie, kod php i sql nie zadziała – chyba że sam dasz użytkownikom taką możliwość.

Mam na myśli edytor przy wtyczkach i szablonach.

Thread Starter aeroflash
(@aeroflash)

11 years, 10 months temu

a to teraz rozumiem dzieki za pomoc, ale mam jeszcze jedno pytanie czy to co oferuje w standardowej wersji WP wystarczy na komfortowe i bezpieczne uzywanie edytora WP czy bedzie potrzebna mi jakas wtyczka dajaca/odbierajaca pewne prawa uzytkownikom?

Moderator amistad18
(@amistad18)

11 years, 10 months temu

Edytor każdy ma taki sam (chyba że pokombinujesz i to zmienisz), a usprawnienia ograniczają się do tego czy ktoś może opublikować nowy wpis, czy jedynie zapisać go jako szkic, i ktoś wyżej musi go zatwierdzić – opublikować. Do tego też dochodzą uprawnienia do podglądu/edycji wpisów innych użytkowników.

Sam nie korzystam z żadnych bajerów do edytora, wizualny całkiem ładnie sobie radzi, a jak coś trzeba poprawić do odpalam edytor html. Jedyne co to stosuję shortcody które sobie sam piszę, ale to z wygody … są też wtyczki które dodają różne opcje do edytora, najbardziej popularna to chyba http://wordpress.org/extend/plugins/tinymce-advanced/

Bezpieczne to będzie, a czy komfortowe – rzecz gustu.

Thread Starter aeroflash
(@aeroflash)

11 years, 10 months temu

aha dzieki, duzo mi pomogles 😉

Viewing 6 replies - 1 through 6 (of 6 total)

Temat ‘Wielu użytkowników autorami strony’ jest zamknięty na nowe odpowiedzi.

Wyświetlenia