보안.

Learn DXPR BuilderManage the siteVoldoen aan compliance-eisen

이 페이지에서는 DXPR Builder가 자체적으로 보호하는 항목과 사용자가 결정하는 항목(편집 권한, 방문자 출력의 텍스트 형식 필터 통과 여부, 편집자가 업로드할 수 있는 파일)을 설명합니다.

빌더 출력과 텍스트 형식

빌더는 페이지를 필드의 HTML로 저장하고 저장된 그대로 표시합니다. 텍스트 형식 필터는 기본적으로 빌더 필드에 실행되지 않습니다. Edit with DXPR Builder 권한이 있고 페이지를 편집할 수 있는 사용자는 HTML 요소의 스크립트를 포함해 어떤 HTML도 추가할 수 있습니다. 신뢰할 수 있는 역할에만 권한을 주세요. Drupal은 권한 페이지에서 이 권한을 제한된 권한으로 표시합니다.

Apply text format filters to frontend content(은)는 DXPR Studio > DXPR Builder > General Settings > Text Filters에 있으며, 에디터가 아닌 사용자에게 필드의 텍스트 형식을 실행합니다. 에디터에게는 계속 원시 콘텐츠가 표시됩니다. 제한적인 형식은 빌더 마크업을 제거할 수도 있으므로 켠 상태에서 페이지를 테스트하세요.

AI 출력에는 별도의 필터가 있습니다. DXPR Studio > DXPR Builder > AI에서 AI Output Filtering(은)는 생성된 콘텐츠를 나열한 Allowed domains(으)로 제한합니다.

사용자 권한

DXPR Builder는 세 가지 권한을 정의합니다:

권한 레이블 부여 내용
edit with dxpr builder Edit with DXPR Builder 편집할 수 있는 콘텐츠에 빌더 사용. 해당 계정은 모두 라이선스를 사용합니다
administer dxpr builder configuration Administer DXPR Builder configuration General Settings, AI 설정, User Licenses, Content items, Migrations
administer dxpr_builder_profile Administer dxpr builder profile User Profiles

다음 관리 페이지에는 코어 권한이 필요합니다: Page Templates 및 User Templates. 필요한 권한은 Administer site configuration(이)입니다.

에디터에는 콘텐츠 자체에 대한 업데이트 접근(예: Basic page: Edit any content)도 필요합니다. 모든 저장 시 서버에서 다시 확인합니다.

AJAX 경로와 CSRF 보호

다음 경로는 CSRF 토큰이 있고 Edit with DXPR Builder 권한이 있으며 편집에서 제외되지 않은 계정의 요청만 받습니다:

  • /dxpr_builder/ajax(저장, 템플릿, 블록, 뷰)
  • /dxpr_builder/ajax/ai/chat(AI 텍스트 어시스턴트)
  • /dxpr_builder/ajax/ai/image(AI 이미지 생성)
  • /dxpr_builder/ajax/ai/image/edit(AI 이미지 편집)
  • /dxpr_builder/ajax/file_upload(파일 업로드)

/dxpr_builder/user-settings와 /dxpr_builder/entity-link-suggestions에도 토큰과 권한이 필요합니다. 에디터는 /dxpr_builder/csrf에서 새 토큰을 가져오며, 편집할 수 있는 계정에만 응답합니다. /dxpr_builder/media-library에는 View media 권한이 필요합니다. 직접 설정할 내용은 없습니다.

사용자 프로필

사용자 프로필은 역할별로 에디터 모습을 정합니다. 편집자에게 표시되는 Elements, Blocks, Views, Page templates, Global user templates, Icon sets와 텍스트 에디터 버튼이 해당됩니다. 프로필은 보안 경계가 아닙니다. 저장 경로는 권한이 있는 사용자의 모든 HTML을 받으므로, HTML 요소를 숨겨도 결심한 편집자를 막을 수 없습니다. 프로필을 두 개 이상 사용하려면 DXPR Enterprise 등급이 필요합니다.

파일 업로드

업로드 경로 /dxpr_builder/ajax/file_upload:

  • Drupal 파일 업로드 검증을 통해 GIF, JPEG, PNG, WebP, AVIF, SVG 이미지만, WebM, Ogg, MP4, QuickTime 동영상만 받습니다.
  • 파일 크기는 PHP 업로드 한도로 제한됩니다.
  • 기본 파일 디렉터리의 dxpr_builder_images, dxpr_builder_videos, dxpr_builder_files에 영구 파일로 저장합니다.

SVG 파일에는 파일을 직접 열 때 실행되는 스크립트가 들어 있을 수 있습니다. 편집 권한을 신뢰할 수 있는 역할에만 유지해야 하는 이유가 하나 더 있습니다.

기본 파일 시스템이 비공개인 사이트에서는 비공개 dxpr_builder_images 폴더와 dxpr_builder_videos 폴더의 파일이 모든 방문자에게 제공됩니다. 빌더 페이지에 공개적으로 표시되기 때문입니다. 빌더를 통해 기밀 파일을 업로드하지 마세요.

다음 단계

Performance tuning for faster pages 문서에서 DXPR Builder 탐색을 계속하세요.