0

Здравствуйте.

Проблема в следующем. Для авторизации используется стандартная модель User и форма входа LoginForm из basic. Один пользователь, пароль надёжный.

Есть специальный контроллер, от которого наследуются другие контроллеры для админки:

<?php

namespace app\components;

use Yii;
use yii\helpers\Url;
use yii\web\Controller;

/**
 * Общие настройки для контроллеров в админке. Простая реализация для одного пользователя.
 */
class AdminController extends Controller
{

    /**
     * Инициализация
     * @return void|\yii\web\Response
     */
    public function init()
    {
        /**
         * Если гость - выбрасываем на авторизацию
         */
        if (Yii::$app->user->isGuest) {
            return $this->redirect(Url::to(['/site/login']));
        };
        return parent::init();
    }
}

Соответственно, другие контроллеры расширяют AdminController. Если я правильно думаю, если пользователь не авторизован, то должно переадресовывать на страницу авторизации. Но момент. Автоматический сканер Acunetix (там есть бесплатный сканер) провёл сканирование сайта и как-то смог добавить записи на сайт. Он точно не смог авторизоваться - в логах есть попытки перебора, но удачных попыток точно нет.

Он делает запросы на контроллер в таком виде:

POST /zakaz/admin/service-pages/create HTTP/1.1
Pragma: no-cache
Cache-Control: no-cache
Referer: http://site.ru/zakaz/admin/service-pages/create
Content-Length: 754
Content-Type: application/x-www-form-urlencoded
Cookie: _csrf=ee37cd360845f80621744bb0d66dbc7a04216f7b49080cbad121366bd108c3e9a%3A2%3A%7Bi%3A0%3Bs%3A5%3A%22_csrf%22%3Bi%3A1%3Bs%3A32%3A%22rJXjLPDNob9MORGyaWQlcIKOhndjB6u-%22%3B%7D; PHPSESSID=a647d2b381203273ecbabad6377ab2a7
Host: site.ru
Connection: Keep-alive
Accept-Encoding: gzip,deflate
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.21 (KHTML, like Gecko) Chrome/41.0.2228.0 Safari/537.21
Accept: */*

ServicePages%5bdeadline%5d=20&ServicePages%5bfirst_alt_text%5d=Acunetix&ServicePages%5bfirst_content%5d=Acunetix&ServicePages%5bfirst_title%5d=Acunetix&ServicePages%5bh1_title%5d=Mr.&ServicePages%5bimage_path%5d=biznes-plan.jpg&ServicePages%5bmeta_description%5d=20&ServicePages%5bmeta_keywords%5d=20&ServicePages%5bog_description%5d=20&ServicePage

В контроллере service-pages - стандартный сгенерированный crud, только расширяет класс AdminController. Через браузер - работает, а вот этим сканером - нет. Пробовал заменить на beforeAction - всё равно. Господа, как решить эту проблему?

1 ответ 1

1

Для таких вещей следует использовать поведения. Этот код можно добавить в AdminController

public function behaviors()
{
    return [
        'access' => [
            'class' => \yii\filters\AccessControl::className(),
            'rules' => [
                [
                    'allow' => true,
                    'roles' => ['@'],
                ],
            ],
        ],
    ];
}

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.