Sicurezza.
Questa pagina elenca cosa DXPR Builder protegge da solo e cosa decidi tu: chi può modificare, se l’output per i visitatori passa dai filtri del formato di testo e quali file gli editor possono caricare.
Output del builder e formati di testo
Il builder salva una pagina come HTML nel campo e mostra quell’HTML così com’è. I filtri del formato di testo non girano sui campi del builder per impostazione predefinita. Un utente che ha Edit with DXPR Builder e può modificare una pagina può quindi aggiungervi qualsiasi HTML, inclusi script in un elemento HTML. Assegna il permesso solo a ruoli fidati; Drupal lo marca come ristretto nella pagina dei permessi.
Apply text format filters to frontend content, in DXPR Studio > DXPR Builder > General Settings > Text Filters, applica il formato di testo del campo agli utenti che non sono editor. Gli editor continuano a vedere il contenuto grezzo. Un formato restrittivo può anche rimuovere il markup del builder, quindi testa le pagine con esso attivo.
L’output AI ha il suo filtro. In DXPR Studio > DXPR Builder > AI, AI Output Filtering limita i contenuti generati agli Allowed domains che elenchi.
Permessi utente
DXPR Builder definisce tre permessi:
| Permesso | Etichetta | Consente |
|---|---|---|
edit with dxpr builder |
Edit with DXPR Builder | Usa il builder sui contenuti che l’utente può modificare; ogni account del genere usa una licenza |
administer dxpr builder configuration |
Administer DXPR Builder configuration | General Settings, AI settings, User Licenses, Content items e Migrations |
administer dxpr_builder_profile |
Administer dxpr builder profile | User Profiles |
Le pagine admin Page Templates e User Templates richiedono il permesso core Administer site configuration.
L’editor ha bisogno anche di accesso in modifica al contenuto stesso, come Basic page: Edit any content. Ogni salvataggio lo riverifica sul server.
Route AJAX e protezione CSRF
Queste route accettano richieste solo con un token CSRF e solo da un account che ha Edit with DXPR Builder e non è escluso dalla modifica:
/dxpr_builder/ajax(salvataggio, modelli, blocchi e viste)/dxpr_builder/ajax/ai/chat(assistente testuale AI)/dxpr_builder/ajax/ai/image(generazione di immagini AI)/dxpr_builder/ajax/ai/image/edit(modifica di immagini AI)/dxpr_builder/ajax/file_upload(caricamenti di file)
/dxpr_builder/user-settings e
/dxpr_builder/entity-link-suggestions richiedono anch’essi un token e
il permesso. L’editor recupera token freschi da
/dxpr_builder/csrf, che risponde solo agli account che possono modificare.
/dxpr_builder/media-library richiede View media. Non serve
alcuna configurazione manuale.
Profili utente
I profili utente modellano l’editor per ogni ruolo: quali Elements, Blocks, Views, Page templates, Global user templates e Icon sets vedono gli editor, e quali pulsanti dell’editor di testo ricevono. Un profilo non è un confine di sicurezza. La route di salvataggio accetta qualsiasi HTML da un utente con il permesso, quindi nascondere l’elemento HTML non ferma un editor determinato. Più di un profilo richiede il piano DXPR Enterprise.
Caricamenti di file
La route di caricamento /dxpr_builder/ajax/file_upload:
- Accetta solo immagini GIF, JPEG, PNG, WebP, AVIF e SVG, e video WebM, Ogg, MP4 e QuickTime, tramite la validazione di caricamento file di Drupal.
- Limita la dimensione dei file al limite di caricamento di PHP.
- Memorizza i file in
dxpr_builder_images,dxpr_builder_videosodxpr_builder_filesnella directory dei file predefinita, come file permanenti.
I file SVG possono contenere script che girano quando qualcuno apre il file direttamente. È un motivo in più per riservare il permesso di modifica a ruoli fidati.
Su un sito il cui file system predefinito è privato, i file nelle
cartelle private dxpr_builder_images e dxpr_builder_videos sono
serviti a ogni visitatore, perché le pagine del builder li mostrano pubblicamente.
Non caricare file riservati tramite il builder.
Prossimi passi
Ottimizzazione delle performance per pagine più veloci e continua a esplorare DXPR Builder.