Sicherheit.

Learn DXPR BuilderManage the siteVoldoen aan compliance-eisen

Diese Seite listet auf, was DXPR Builder von sich aus schützt und was Sie entscheiden: wer bearbeiten darf, ob die Besucherausgabe durch Textformat-Filter läuft und welche Dateien Bearbeitende hochladen dürfen.

Builder-Ausgabe und Textformate

Der Builder speichert eine Seite als HTML im Feld und zeigt dieses HTML wie gespeichert. Textformat-Filter laufen standardmäßig nicht auf Builder-Feldern. Wer Edit with DXPR Builder hat und eine Seite bearbeiten darf, kann daher beliebiges HTML hinzufügen, einschließlich Skripten in einem HTML-Element. Geben Sie die Berechtigung nur vertrauenswürdigen Rollen; Drupal markiert sie auf der Berechtigungsseite als eingeschränkt.

Apply text format filters to frontend content, unter DXPR Studio > DXPR Builder > General Settings > Text Filters, lässt das Textformat des Felds für alle ohne Bearbeitungszugang laufen. Bearbeitende sehen weiterhin den Rohinhalt. Ein restriktives Format kann auch Builder-Markup entfernen, testen Sie daher Seiten mit eingeschalteter Option.

KI-Ausgaben haben einen eigenen Filter. Unter DXPR Studio > DXPR Builder > AI begrenzt AI Output Filtering generierte Inhalte auf die aufgeführten Allowed domains.

Benutzerberechtigungen

DXPR Builder definiert drei Berechtigungen:

Berechtigung Bezeichnung Gewährt
edit with dxpr builder Edit with DXPR Builder Den Builder auf Inhalten nutzen, die die bearbeitende Person bearbeiten darf; jedes solche Konto nutzt eine Lizenz
administer dxpr builder configuration Administer DXPR Builder configuration General Settings, KI-Einstellungen, User Licenses, Content items und Migrations
administer dxpr_builder_profile Administer dxpr builder profile User Profiles

Die Admin-Seiten Page Templates und User Templates brauchen die Core-Berechtigung Administer site configuration.

Der Editor braucht außerdem Aktualisierungszugang auf den Inhalt selbst, etwa Basic page: Edit any content. Jeder Speichervorgang prüft ihn serverseitig erneut.

AJAX-Routen und CSRF-Schutz

Diese Routen nehmen Anfragen nur mit CSRF-Token an und nur von einem Konto, das Edit with DXPR Builder hat und nicht vom Bearbeiten ausgeschlossen ist:

  • /dxpr_builder/ajax (Speichern, Vorlagen, Blöcke und Ansichten)
  • /dxpr_builder/ajax/ai/chat (KI-Textassistent)
  • /dxpr_builder/ajax/ai/image (KI-Bilderzeugung)
  • /dxpr_builder/ajax/ai/image/edit (KI-Bildbearbeitung)
  • /dxpr_builder/ajax/file_upload (Datei-Uploads)

/dxpr_builder/user-settings und /dxpr_builder/entity-link-suggestions brauchen ebenfalls ein Token und die Berechtigung. Der Editor holt frische Token von /dxpr_builder/csrf, das nur Konten antwortet, die bearbeiten dürfen. /dxpr_builder/media-library braucht View media. Keine manuelle Konfiguration nötig.

Benutzerprofile

Benutzerprofile formen den Editor pro Rolle: welche Elements, Blocks, Views, Page templates, Global user templates und Icon sets Bearbeitende sehen und welche Texteditor-Schaltflächen sie erhalten. Ein Profil ist keine Sicherheitsgrenze. Die Speicherroute nimmt beliebiges HTML von Konten mit der Berechtigung an, daher hält das Verstecken des HTML-Elements entschlossene Bearbeitende nicht auf. Mehr als ein Profil braucht die Stufe DXPR Enterprise.

Datei-Uploads

Die Upload-Route /dxpr_builder/ajax/file_upload:

  • Nimmt nur GIF-, JPEG-, PNG-, WebP-, AVIF- und SVG-Bilder sowie WebM-, Ogg-, MP4- und QuickTime-Videos an, über Drupals Datei-Upload-Validierung.
  • Begrenzt die Dateigröße auf das PHP-Upload-Limit.
  • Speichert Dateien in dxpr_builder_images, dxpr_builder_videos oder dxpr_builder_files im Standard-Dateiverzeichnis, als permanente Dateien.

SVG-Dateien können Skripte enthalten, die laufen, wenn jemand die Datei direkt öffnet. Das ist ein weiterer Grund, die Bearbeitungsberechtigung vertrauenswürdigen Rollen vorzubehalten.

Auf einer Website, deren Standard-Dateisystem privat ist, werden Dateien in den privaten Ordnern dxpr_builder_images und dxpr_builder_videos an alle Besucher ausgeliefert, weil Builder-Seiten sie öffentlich zeigen. Laden Sie keine vertraulichen Dateien über den Builder hoch.

Wie geht es weiter?

Performance-Tuning für schnellere Seiten, um DXPR Builder weiter zu erkunden.