Seguridad.
Esta página enumera lo que DXPR Builder protege por su cuenta y lo que decides tú: quién puede editar, si la salida para visitas pasa por filtros de formato de texto y qué archivos pueden subir las personas que editan.
Salida del constructor y formatos de texto
El constructor guarda una página como HTML en el campo y muestra ese HTML tal como se guardó. Los filtros de formato de texto no actúan en campos del constructor por defecto. Una persona usuaria con Edit with DXPR Builder que puede editar una página puede por tanto añadirle cualquier HTML, incluidos scripts en un elemento HTML. Concede el permiso solo a roles de confianza; Drupal lo marca como restringido en la página de permisos.
Apply text format filters to frontend content, en DXPR Studio > DXPR Builder > General Settings > Text Filters, ejecuta el formato de texto del campo para personas que no son editoras. Quienes editan siguen viendo el contenido crudo. Un formato restrictivo también puede quitar marcado del constructor, así que prueba las páginas con él activado.
La salida de IA tiene su propio filtro. En DXPR Studio > DXPR Builder > AI, AI Output Filtering limita el contenido generado a los Allowed domains que enumeres.
Permisos de usuario
DXPR Builder define tres permisos:
| Permiso | Etiqueta | Otorga |
|---|---|---|
edit with dxpr builder |
Edit with DXPR Builder | Usar el constructor en contenido que la persona puede editar; cada una de esas cuentas usa una licencia |
administer dxpr builder configuration |
Administer DXPR Builder configuration | General Settings, ajustes de IA, User Licenses, Content items y Migrations |
administer dxpr_builder_profile |
Administer dxpr builder profile | User Profiles |
Las páginas de administración Page Templates y User Templates necesitan el permiso del núcleo Administer site configuration.
El editor también necesita acceso de actualización al propio contenido, como Basic page: Edit any content. Cada guardado lo comprueba de nuevo en el servidor.
Rutas AJAX y protección CSRF
Estas rutas solo aceptan peticiones con token CSRF y solo de una cuenta con Edit with DXPR Builder no excluida de la edición:
/dxpr_builder/ajax(guardado, plantillas, bloques y vistas)/dxpr_builder/ajax/ai/chat(asistente de texto de IA)/dxpr_builder/ajax/ai/image(generación de imágenes con IA)/dxpr_builder/ajax/ai/image/edit(edición de imágenes con IA)/dxpr_builder/ajax/file_upload(subida de archivos)
/dxpr_builder/user-settings y
/dxpr_builder/entity-link-suggestions también exigen token y
el permiso. El editor obtiene tokens frescos de
/dxpr_builder/csrf, que solo responde a cuentas que pueden editar.
/dxpr_builder/media-library necesita View media. No hace falta
ninguna configuración manual.
Perfiles de usuario
Los perfiles de usuario dan forma al editor para cada rol: qué Elements, Blocks, Views, Page templates, Global user templates e Icon sets ven las personas que editan, y qué botones del editor de texto reciben. Un perfil no es una frontera de seguridad. La ruta de guardado acepta cualquier HTML de una persona con el permiso, así que ocultar el elemento HTML no detiene a quien edita con decisión. Más de un perfil necesita el nivel DXPR Enterprise.
Subida de archivos
La ruta de subida /dxpr_builder/ajax/file_upload:
- Solo acepta imágenes GIF, JPEG, PNG, WebP, AVIF y SVG, y vídeos WebM, Ogg, MP4 y QuickTime, mediante la validación de subida de archivos de Drupal.
- Limita el tamaño de archivo al límite de subida de PHP.
- Guarda archivos en
dxpr_builder_images,dxpr_builder_videosodxpr_builder_filesen el directorio de archivos predeterminado, como archivos permanentes.
Los archivos SVG pueden contener scripts que se ejecutan cuando alguien abre el archivo directamente. Esa es una razón más para reservar el permiso de edición a roles de confianza.
En un sitio cuyo sistema de archivos predeterminado es privado, los archivos en las
carpetas privadas dxpr_builder_images y dxpr_builder_videos se sirven
a cada visita, porque las páginas del constructor los muestran en público.
No subas archivos confidenciales con el constructor.
¿Qué sigue?
Ajuste de rendimiento para páginas más rápidas para seguir explorando DXPR Builder.