--- url: 'https://dxpr.com/zh-hans/hc/documentation/learn-dxpr-builder/advanced/security' title: '安全 | DXPR' author: name: Jurriaan url: 'https://dxpr.com/users/jurriaan' date: '2026-10-24T00:44:16+00:00' updated: '2026-10-24T09:09:48+00:00' copyright: 'Copyright DXPR. All rights reserved.' type: article summary: |- 本页列出了 DXPR Builder 自行保护的内容，以及由您决定的内容：谁可以编辑、访客输出是否经过文本格式过滤器、编辑人员可以上传哪些文件。 构建器输出与文本格式 构建器将页面以 HTML 保存在字段中，并按原样显示该 HTML。默认情况下，文本格式过滤器不在构建器字段上运行。因此，拥有 Edit with DXPR Builder 权限并可编辑页面的人可以在其中添加任意 HTML，包括 HTML 元素中的脚本。请只将该权限授予可信角色；Drupal 在权限页面上将其标记为受限权限。 Apply text format filters to frontend content（DXPR Studio > DXPR Builder > General Settings > Text Filters 下）为非编辑人员运行字段的文本格式。编辑人员仍看到原始内容。严格的格式也可能剥离构建器标记，因此请在开启状态下测试页面。 tags: - 'Voldoen aan compliance-eisen' image: 'https://dxpr.com/themes/custom/dxpr_com/images/dxpr-share-card.jpg' published: true og: site_name: DXPR updated_time: '2026-10-24T09:09:48+0000' 'image:alt': 'DXPR, powered by Drupal: AI-powered Drupal for marketers.' schema: '@context': 'https://schema.org' '@graph': - mainEntity: { } - '@type': TechArticle headline: 安全 description: |- 本页列出了 DXPR Builder 自行保护的内容，以及由您决定的内容：谁可以编辑、访客输出是否经过文本格式过滤器、编辑人员可以上传哪些文件。 构建器输出与文本格式 构建器将页面以 HTML 保存在字段中，并按原样显示该 HTML。默认情况下，文本格式过滤器不在构建器字段上运行。因此，拥有 Edit with DXPR Builder 权限并可编辑页面的人可以在其中添加任意 HTML，包括 HTML 元素中的脚本。请只将该权限授予可信角色；Drupal 在权限页面上将其标记为受限权限。 Apply text format filters to frontend content（DXPR Studio > DXPR Builder > General Settings > Text Filters 下）为非编辑人员运行字段的文本格式。编辑人员仍看到原始内容。严格的格式也可能剥离构建器标记，因此请在开启状态下测试页面。 image: '@type': ImageObject url: 'https://dxpr.com/themes/custom/dxpr_com/images/dxpr-share-card.jpg' width: '1200' height: '630' datePublished: '2026-10-24T00:44:16+0000' dateModified: '2026-10-24T09:09:48+0000' author: '@type': Organization '@id': 'https://dxpr.com/#organization' name: DXPR url: 'https://dxpr.com/' logo: '@type': ImageObject url: 'https://dxpr.com/themes/custom/dxpr_com/dxpr-logo-dark.svg' width: '1348' height: '501' publisher: '@type': Organization '@id': 'https://dxpr.com/#organization' name: DXPR url: 'https://dxpr.com/' logo: '@type': ImageObject url: 'https://dxpr.com/themes/custom/dxpr_com/dxpr-logo-dark.svg' width: '1348' height: '501' mainEntityOfPage: 'https://dxpr.com/zh-hans/hc/documentation/learn-dxpr-builder/advanced/security' articleSection: 'Voldoen aan compliance-eisen' - '@type': WebPage '@id': 'https://dxpr.com/zh-hans/hc/documentation/learn-dxpr-builder/advanced/security' description: |- 本页列出了 DXPR Builder 自行保护的内容，以及由您决定的内容：谁可以编辑、访客输出是否经过文本格式过滤器、编辑人员可以上传哪些文件。 构建器输出与文本格式 构建器将页面以 HTML 保存在字段中，并按原样显示该 HTML。默认情况下，文本格式过滤器不在构建器字段上运行。因此，拥有 Edit with DXPR Builder 权限并可编辑页面的人可以在其中添加任意 HTML，包括 HTML 元素中的脚本。请只将该权限授予可信角色；Drupal 在权限页面上将其标记为受限权限。 Apply text format filters to frontend content（DXPR Studio > DXPR Builder > General Settings > Text Filters 下）为非编辑人员运行字段的文本格式。编辑人员仍看到原始内容。严格的格式也可能剥离构建器标记，因此请在开启状态下测试页面。 breadcrumb: '@type': BreadcrumbList itemListElement: - '@type': ListItem position: 1 name: 首页 item: 'https://dxpr.com/zh-hans' publisher: '@type': Organization '@id': 'https://dxpr.com/#organization' name: DXPR inLanguage: zh-hans --- [Help Center](/zh-hans/node/75)/[Documentation](/zh-hans/hc/documentation) /[Learn DXPR Builder](/hc/documentation/learn-dxpr-builder) /[Manage the site](/hc/documentation/learn-dxpr-builder/manage) /[Voldoen aan compliance-eisen](/hc/documentation/learn-dxpr-builder/manage/compliance) # 安全. Learn DXPR BuilderManage the siteVoldoen aan compliance-eisen ## In this guide Related guides - [性能](/zh-hans/hc/documentation/learn-dxpr-builder/advanced/performance) 本页列出了 DXPR Builder 自行保护的内容，以及由您决定的内容：谁可以编辑、访客输出是否经过文本格式过滤器、编辑人员可以上传哪些文件。 ## 构建器输出与文本格式 构建器将页面以 HTML 保存在字段中，并按原样显示该 HTML。默认情况下，文本格式过滤器不在构建器字段上运行。因此，拥有 **Edit with DXPR Builder** 权限并可编辑页面的人可以在其中添加任意 HTML，包括 HTML 元素中的脚本。请只将该权限授予可信角色；Drupal 在权限页面上将其标记为受限权限。 **Apply text format filters to frontend content**（**DXPR Studio** > **DXPR Builder** > **General Settings** > **Text Filters** 下）为非编辑人员运行字段的文本格式。编辑人员仍看到原始内容。严格的格式也可能剥离构建器标记，因此请在开启状态下测试页面。 AI 输出有自己的过滤器。在 **DXPR Studio** > **DXPR Builder** > **AI** 下，**AI Output Filtering** 将生成内容的域名限制在您列出的 **Allowed domains** 内。 ## 用户权限 DXPR Builder 定义了三个权限： | 权限 | 标签 | 授予 | |---|---|---| | `edit with dxpr builder` | **Edit with DXPR Builder** | 在用户可编辑的内容上使用构建器；每个此类账户占用一个许可证 | | `administer dxpr builder configuration` | **Administer DXPR Builder configuration** | **General Settings**、AI 设置、**User Licenses**、**Content items** 和 **Migrations** | | `administer dxpr_builder_profile` | **Administer dxpr builder profile** | **User Profiles** | 该 **Page Templates** 和 **User Templates** 管理页面需要核心权限 **Administer site configuration**。 编辑器还需要对内容本身的更新权限，例如 **Basic page: Edit any content**。每次保存都会在服务器上重新检查。 ## AJAX 路由与 CSRF 保护 以下路由只接受带 CSRF 令牌的请求，且仅限拥有 **Edit with DXPR Builder** 权限、未被排除编辑的账户： - `/dxpr_builder/ajax`（保存、模板、区块和视图） - `/dxpr_builder/ajax/ai/chat`（AI 文本助手） - `/dxpr_builder/ajax/ai/image`（AI 图像生成） - `/dxpr_builder/ajax/ai/image/edit`（AI 图像编辑） - `/dxpr_builder/ajax/file_upload`（文件上传） `/dxpr_builder/user-settings` 和 `/dxpr_builder/entity-link-suggestions` 同样需要令牌和权限。编辑器从 `/dxpr_builder/csrf` 获取新令牌，该地址只响应可编辑的账户。`/dxpr_builder/media-library` 需要 **View media**。无需手动配置。 ## 用户档案 用户档案为每个角色塑造编辑器：编辑人员看到哪些 **Elements**、**Blocks**、**Views**、**Page templates**、**Global user templates** 和 **Icon sets**，以及获得哪些文本编辑器按钮。档案不是安全边界。保存路由接受有权限用户的任意 HTML，因此隐藏 HTML 元素拦不住决心钻空子的编辑人员。多个档案需要 DXPR Enterprise 套餐。 ## 文件上传 上传路由 `/dxpr_builder/ajax/file_upload`： - 只接受 GIF、JPEG、PNG、WebP、AVIF 和 SVG 图片，以及 WebM、Ogg、MP4 和 QuickTime 视频，经过 Drupal 文件上传验证。 - 文件大小限于 PHP 的上传上限。 - 将文件作为永久文件存放在默认文件目录的 `dxpr_builder_images`、`dxpr_builder_videos` 或 `dxpr_builder_files` 中。 SVG 文件可能包含脚本，在直接打开文件时运行。这也是将编辑权限保留给可信角色的又一个原因。 在默认文件系统为私有的网站上，私有 `dxpr_builder_images` 和 `dxpr_builder_videos` 文件夹中的文件仍会提供给每位访客，因为构建器页面公开显示它们。请勿通过构建器上传机密文件。 ## 接下来做什么？ [让页面更快的性能调优](/zh-hans/hc/documentation/learn-dxpr-builder/advanced/performance)，继续探索 DXPR Builder。