SA-2008-071 - User Karma(用户Karma)-多个漏洞
- 编号:DRUPAL-SA-2008-071
- 项目:User Karma
- 版本:drupal5.x和 drupal6.x
- 日期:2008年11月26日
- 安全风险:中
- 攻击点:远程
- 漏洞:SQL注入,跨站点脚本RSS
在程序开发中,硬编码是常常被人提起的,对于那些检查你的代码的人,很容易就从中发现这样的问题,但是程序员还是喜欢硬编码.有时候不得不这样,有时候是为了偷懒.
Drupal网站的建设,并不等同于编程,当然有时候也需要写程序,特别是对于客户特殊的要求.为了实现某一个页面的特效,有时候需要使用硬编码.对于硬编码,我一般是赞成的,能用硬编码的地方,我一般都这样实现.
客户提出了这样的需求,那就是为每个产品节点创建一个论坛话题,对产品的评论,即显示在产品节点页面,也同时显示在论坛里面.
不止一个客户有这样的需求,这样的功能,可以增强网站的互动性.经过与客户仔细的分析,决定为每个产品节点创建一个论坛话题,同时将2者关联起来,另外就是关闭产品节点的评论功能,在产品节点页面,将论坛中的话题以列表的方式实现出来.
这个问题,我考虑了好几天了,对于这样的功能,只能使用模块来实现,同时需要借助于Views模块,当然,还需要修改页面模板.
我的设计方案如下,在节点插入后,实现一个函数,这个函数负责向论坛中插入一个对应的节点.修改页面模板,使用views将论坛节点下面的评论读取出来,另外就是在节点页面,显示一个评论表单,提交后,评论对应到论坛的帖子中.
CCK的字段,在节点模板中,是分开显示的.我创建好模板以后,功能完善以后,传到网上,给客户看.客户发现,匿名用户看不到图片,我检查后,确实如此,开发的时候,自己用的是最高的权限,没有注意到这一点.在客户的提醒下,我发现,所有由CCK创建的字段,匿名用户都无权查看,也就是看不到.
这个就是权限问题,以前在drupal5中,好像是没有这种限制的,看来6的权限管理进一步增强了.
解决办法很简单,导航到权限管理页面admin/user/permissions, 在content_permissions下面,有很多关于cck字段的编辑查看权限,比如” view field_author”,把这个权限授予匿名用户就可以了,其它的依次类推.
这本书是drupal界培训的先驱者Lullabot的杰作,也是O'Reilly出版社的第一本drupal书籍,使用drupal,即将在下月登场.drupal版本为6.
对于很多drupal新手来说,安装好了以后,看到了一个非常非常简陋的外观以后,一般会非常 泄气的,下一步怎么办呢?都说drupal强大,离我的目标可还是有10万八千里呢.这本书就是帮你缩短距离目标网站的距离的.这本书,主要讲的是,如何使用常用的第3方模块,搭建常用类型的网站,包括产品评论,事件管理,以及电子商务,所有的这些,大多数都仅仅需要一些配置就可以完成了,当然个别地方会有少量的代码.你也可以把它当成CCK和Views的教程,因为大部分章节,都在这些基础模块
这本书主要涉及的模块有
一个多月前,drupal文档小组宣布,开放drupal.org上的更多的文档页面的编辑权限,这样大家都可以贡献力量了。经过一个月的试验,drupal文档小组认定,这个试验是成功的,这一形式将被保存下来。在这一个月中,有更多的文档得到了修订,而且也新增了不少文档页面,当然,里面也存在一些混乱,但是与整体的繁荣相比,这个是非主流的。我们现在感到,开放编辑权限对于我们的文档很有帮助。我们最终决定,正式采用这种方式。
为了更好的完善文档页面,我们需要更多的眼睛,来监督它。任何人都可以浏览最近的编辑版本,并比较之间的异同,如果你发现里面存在不足的话,你就可以编辑它。对于文档小组成员,则拥有更高的一点权限,那就是可以进行“取消”操作。
今天网友hoecake说让我讲一点drupal7的东西,这个我没有用过,以前,今天装了看看.一句话,最大的改进是性能问题.当我浏览drupal7的页面,感觉比5流畅了很多.想写一篇文章,介绍一下,在google上搜了一下,找到一篇中文的好东东:
Drupal7-dev安装测试及对drupal未来发展的推测,这个是Feiiiiiii的网站,里面也有不少的好文章。
里面讲述了,很多我要讲的drupal特性,所以已有的安装,还有其它的我就不在这里重复了。
说一下drupal7的改进之处,对于开发者来说,