Drupal 核心- 中危 – 第三方库 - SA-CORE-2022-006
项目: drupal核心
masquerade实现用户切换
有时候正式站点上线了以后，想要切换一下指定用户，查看一下效果，如果创建一个测试帐号，录入测试数据，在正式站点也不方便。对于Drupal用户来说，此时有一个方便的模块可以帮您实现这样的功能，这就是masquerade模块，它允许具有权限的用户，直接切换到给定用户，以给定用户浏览相关功能。除了这个模块以外，Drupal8，9下面还有userswitch模块提供了同样的功能。我们这里介绍masquerade模块。
Masquerade英文释义：
[ˌmæskəˈreɪd]
n.伪装；化装舞会；假面舞会
v.冒充
Drupal常用模块
Drupal10 计划移除BackboneJS
Drupal核心使用的是JS框架默认是Jquery，曾经这个框架，方便了很多开发者，随着JS社区的演化，还有浏览器的不断升级，这个框架正在慢慢的退出历史舞台。
Drupal社区将会在Drupal10正式移除对jquery的依赖，而与之关联的，其它框架，也会被替换掉，这里就包含了BackboneJS。
目前Drupal核心多出用到backbonejs：
contextual links
ckeditor toolbar configuration
tour
toolbar
quickedit
论坛:
Drupal版本:
Drupal console昙花一现，Drush正当时
Drupal社区有专门针对Drupal网站的命令行工具，在Drupal4.x的时候，就已经出现了，这就是Drush，这个名字是Drupal + bash的缩写，就是Drupal世界的命令行工具，很多时候，它是Drupal开发者的瑞士军刀，好用，省时。
论坛:
Drupal10大瘦身
经过Drupal7，8，9,的发展，Drupal内核不断扩容；但是与此同时，给Drupal核心瘦身的呼声也越来越高。随着Drupal10发布的临近，多个Drupal核心模块，将会被移除Drupal内核，这里面包含，Forum，Quick Edit，Aggregator，RDF，Color，Tracker，备选的还有book，Statistics，Action，Telephone。
移除内核的标准，主要是考虑这个模块的使用率，低于5%的通常会被移除去，另外就是这个模块的关联性，如果这个模块只是解决特定的问题，对于特定站点有用，那么也是有移除的可能性。
论坛:
Drupal版本:
Drupal10计划在2022年8份发布
https://www.drupal.org/about/10
Drupal8到Drupal9的升级是比较平滑的，马上有一个新的大版本升级，这就是Drupal10的到来。Drupal官方计划2022年8月发布Drupal10，也有可能推迟到12月份。Drupal10是对Drupal9的一次精简，所有的升级、工具和以前都是一样的。
Drupal10都有哪些新的特性：
论坛:
Drupal版本:
Drupal 9,8,7, 搜索用solr的注意了，log4j超级安全漏洞来袭
网站的搜索使用了solr，里面使用了log4j，我们检查solr关于这个安全漏洞的处理办法：
1，一个是升级solr到8.11.1版本，但是这个版本还不可用，solr官方还没有提供下载。
2，第二个是在classpath，手动替换log4j版本到最新，这个可能比较麻烦。
3，第三是禁用log4j存在漏洞的对应功能，编辑solr.in.sh 文件，在里面添加参数：
SOLR_OPTS="$SOLR_OPTS -Dlog4j2.formatMsgNoLookups=true"
3种办法都是可行了，我们目前采用了第三种办法，这个文件位于：/etc/default目录下面，并重启了solr。
参考链接：
https://solr.apache.org/security.html#apache-solr-affected-by-apache-log4j-cve-2021-44228
页面
