Sicherheit.

Learn DXPR BuilderReferenceHulp krijgen

Diese Seite listet auf, was DXPR Builder von allein schützt und worüber Sie entscheiden: wer bearbeiten darf, ob die Besucherausgabe durch Textformatfilter läuft und welche Dateien die Redaktion hochladen darf.

Builder-Ausgabe und Textformate

Der Builder speichert eine Seite als HTML im Feld und zeigt dieses HTML wie gespeichert. Textformatfilter laufen auf Builder-Feldern standardmäßig nicht. Personen mit Edit with DXPR Builder, die eine Seite bearbeiten dürfen, können ihr daher beliebiges HTML hinzufügen, einschließlich Skripten in einem HTML- Element. Gewähren Sie die Berechtigung nur vertrauenswürdigen Rollen; Drupal markiert sie als eingeschränkt auf der Berechtigungsseite.

Apply text format filters to frontend content, unter DXPR Studio > DXPR Builder > General Settings > Text Filters, wendet das Textformat des Feldes für Personen an, die nicht redaktionell arbeiten. Die Redaktion sieht weiter den rohen Inhalt. Ein restriktives Format kann auch Builder-Markup entfernen, also testen Sie Seiten mit eingeschalteter Option.

KI-Ausgaben haben einen eigenen Filter. Unter DXPR Studio > DXPR Builder > AI begrenzt AI Output Filtering erzeugte Inhalte auf die gelisteten Allowed domains.

Benutzerberechtigungen

DXPR Builder definiert drei Berechtigungen:

Berechtigung Bezeichnung Gewährt
edit with dxpr builder Edit with DXPR Builder Den Builder auf Inhalten nutzen, die bearbeitet werden dürfen; jedes solche Konto nutzt eine Lizenz
administer dxpr builder configuration Administer DXPR Builder configuration General Settings, KI-Einstellungen, User Licenses, Content items und Migrations
administer dxpr_builder_profile Administer dxpr builder profile User Profiles

Die Adminseiten Page Templates und User Templates brauchen die Core-Berechtigung Administer site configuration.

Der Editor braucht außerdem Update-Zugriff auf den Inhalt selbst, etwa Basic page: Edit any content. Jedes Speichern prüft ihn erneut auf dem Server.

AJAX-Routen und CSRF-Schutz

Diese Routen akzeptieren Anfragen nur mit CSRF-Token und nur von einem Konto mit Edit with DXPR Builder, das nicht vom Bearbeiten ausgeschlossen ist:

  • /dxpr_builder/ajax (Speichern, Vorlagen, Blöcke und Ansichten)
  • /dxpr_builder/ajax/ai/chat (KI-Textassistent)
  • /dxpr_builder/ajax/ai/image (KI-Bilderstellung)
  • /dxpr_builder/ajax/ai/image/edit (KI-Bildbearbeitung)
  • /dxpr_builder/ajax/file_upload (Dateiuploads)

/dxpr_builder/user-settings und /dxpr_builder/entity-link-suggestions brauchen ebenfalls ein Token und die Berechtigung. Der Editor holt frische Tokens von /dxpr_builder/csrf, das nur Konten antwortet, die bearbeiten dürfen. /dxpr_builder/media-library braucht View media. Keine manuelle Konfiguration nötig.

Benutzerprofile

Benutzerprofile formen den Editor für jede Rolle: welche Elements, Blocks, Views, Page templates, Global user templates und Icon sets die Redaktion sieht und welche Texteditor- Buttons sie erhalten. Ein Profil ist keine Sicherheitsgrenze. Die Speicherroute akzeptiert beliebiges HTML von Personen mit der Berechtigung, sodass das Verstecken des HTML-Elements eine entschlossene Person aus der Redaktion nicht stoppt. Mehr als ein Profil braucht die DXPR Enterprise-Stufe.

Dateiuploads

Die Uploadroute /dxpr_builder/ajax/file_upload:

  • Akzeptiert nur GIF-, JPEG-, PNG-, WebP-, AVIF- und SVG-Bilder sowie WebM-, Ogg-, MP4- und QuickTime-Videos, durch Drupals Dateiupload- Validierung.
  • Begrenzt die Dateigröße auf das Uploadlimit von PHP.
  • Speichert Dateien in dxpr_builder_images, dxpr_builder_videos oder dxpr_builder_files im Standard-Dateiverzeichnis, als permanente Dateien.

SVG-Dateien können Skripte enthalten, die laufen, wenn jemand die Datei direkt öffnet. Das ist ein weiterer Grund, die Bearbeitungsberechtigung vertrauenswürdigen Rollen vorzubehalten.

Auf einer Website, deren Standard-Dateisystem privat ist, werden Dateien in den privaten Ordnern dxpr_builder_images und dxpr_builder_videos jedem Besucher ausgeliefert, weil Builder-Seiten sie öffentlich zeigen. Laden Sie keine vertraulichen Dateien über den Builder hoch.

Wie geht es weiter?

Performance-Tuning für schnellere Seiten, um DXPR Builder weiter zu entdecken.