¿CakePHP se ocupa automáticamente de las vulnerabilidades de asignación masiva al guardar datos modificados?

Question

Editar:

Después de recibir más información de DCoder, la frase que estaba buscando aquí es una "vulnerabilidad de asignación de masas". Es decir, aprovechar la conveniencia de los métodos que guardarían todos los campos válidos en la base de datos, independientemente de su presencia en el formulario inicial (haciéndolos vulnerables a los datos POST manipulados que contienen más campos [posiblemente más críticos] que los previstos))

Las dos respuestas comunes se denominan apropiadamente listas blancas y listas negras; incluir en la lista blanca campos destinados a la modificación o incluir en la lista negra campos que no deberían modificarse.

Mi pregunta sigue: ¿CakePHP automáticamente lista blanca solo aquellos campos en el formulario de envío, o es necesario para mí (y otros aficionados a la torta) tener cuidado de que somos whitelisting o blacklisting apropiadamente?

---

pregunta original:

la torta ofrece un montón de grandes maneras de generar formas y manejarlos casi automáticamente. Mientras pensaba en la seguridad, me pregunté si Cake sabía qué campos existían en un formulario enviado, o simplemente aceptará un campo válido. Tome el siguiente mensaje si no tengo sentido (y alguien puede editar mi pregunta para que esté mejor redactada si se le ocurre una forma mejor de expresarla):

Digamos que permito a mis usuarios editar su perfil. Creo un formulario que tiene campos para nombre de usuario, correo electrónico y contraseña, en la acción edit.

Un usuario inteligente quiere entrar y cambiar su campo de is_adminfalse a true, por lo que utilizar una aplicación como Firebug para enviar datos de envío personalizado a la acción edit, que incluye el campo is_admin conjunto de true.

La pregunta es, ¿se daría cuenta Cake por sí solo que is_admin no estaba en su forma original, o debo tener cuidado de especificar explícitamente los únicos campos que campos puede modificar una acción determinada? hay una manera mas facil?

¡Gracias!

James

Answer 1

Usted tiene que cargar el SecurityComponent en su controlador (s) y CakePHP evitará forma manipulación para usted, consulte http://book.cakephp.org/2.0/en/core-libraries/components/security-component.html#form-tampering-prevention

Answer 2

CakePHP tiene una función de validación disponible. El formulario genera automáticamente los campos y realiza la validación en función de los criterios de validación que ha mencionado en el modelo. Esta validación se llamará automáticamente antes del método Guardar.

Además, si desea agregar alguna validación personalizada, puede agregarla en el modelo.

Con su consulta específica puede eliminar el campo is_admin del formulario de edición para que no pueda ser editable por el usuario. Si desea agregar más seguridad y asegurarse de que el campo is_admin tenga un valor falso, puede editar su valor en el método de edición de los controladores.

En el método de edición, puede agregar el siguiente código antes de llamar a la acción Guardar.
$this->request->data['ModelName']['is_admin] = false;