0

Здравствуйте.

Проблема в следующем. Для авторизации используется стандартная модель User и форма входа LoginForm из basic. Один пользователь, пароль надёжный.

Есть специальный контроллер, от которого наследуются другие контроллеры для админки:

<?php

namespace app\components;

use Yii;
use yii\helpers\Url;
use yii\web\Controller;

/**
 * Общие настройки для контроллеров в админке. Простая реализация для одного пользователя.
 */
class AdminController extends Controller
{

    /**
     * Инициализация
     * @return void|\yii\web\Response
     */
    public function init()
    {
        /**
         * Если гость - выбрасываем на авторизацию
         */
        if (Yii::$app->user->isGuest) {
            return $this->redirect(Url::to(['/site/login']));
        };
        return parent::init();
    }
}

Соответственно, другие контроллеры расширяют AdminController. Если я правильно думаю, если пользователь не авторизован, то должно переадресовывать на страницу авторизации. Но момент. Автоматический сканер Acunetix (там есть бесплатный сканер) провёл сканирование сайта и как-то смог добавить записи на сайт. Он точно не смог авторизоваться - в логах есть попытки перебора, но удачных попыток точно нет.

Он делает запросы на контроллер в таком виде:

POST /zakaz/admin/service-pages/create HTTP/1.1
Pragma: no-cache
Cache-Control: no-cache
Referer: http://site.ru/zakaz/admin/service-pages/create
Content-Length: 754
Content-Type: application/x-www-form-urlencoded
Cookie: _csrf=ee37cd360845f80621744bb0d66dbc7a04216f7b49080cbad121366bd108c3e9a%3A2%3A%7Bi%3A0%3Bs%3A5%3A%22_csrf%22%3Bi%3A1%3Bs%3A32%3A%22rJXjLPDNob9MORGyaWQlcIKOhndjB6u-%22%3B%7D; PHPSESSID=a647d2b381203273ecbabad6377ab2a7
Host: site.ru
Connection: Keep-alive
Accept-Encoding: gzip,deflate
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.21 (KHTML, like Gecko) Chrome/41.0.2228.0 Safari/537.21
Accept: */*

ServicePages%5bdeadline%5d=20&ServicePages%5bfirst_alt_text%5d=Acunetix&ServicePages%5bfirst_content%5d=Acunetix&ServicePages%5bfirst_title%5d=Acunetix&ServicePages%5bh1_title%5d=Mr.&ServicePages%5bimage_path%5d=biznes-plan.jpg&ServicePages%5bmeta_description%5d=20&ServicePages%5bmeta_keywords%5d=20&ServicePages%5bog_description%5d=20&ServicePage

В контроллере service-pages - стандартный сгенерированный crud, только расширяет класс AdminController. Через браузер - работает, а вот этим сканером - нет. Пробовал заменить на beforeAction - всё равно. Господа, как решить эту проблему?

1 ответ 1

1

Для таких вещей следует использовать поведения. Этот код можно добавить в AdminController

public function behaviors()
{
    return [
        'access' => [
            'class' => \yii\filters\AccessControl::className(),
            'rules' => [
                [
                    'allow' => true,
                    'roles' => ['@'],
                ],
            ],
        ],
    ];
}

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.