מקום טוב להתחיל בו הוא הורדה של הגרסה העדכנית של דרופל בעברית.
להורדת דרופל בעבריתלשפות וגרסאות אחרות, Drupal.org
יש לנו באתר מדריכים שונים, הכוללים מדריך להתקנת דרופל על המחשב המקומי או על שרת אירוח באינטרנט, כמו גם מדריכים לעיצוב ופיתוח.
בעזרת המדריכים השונים באתר ובעזרת קבוצות הדיון שלנו, אפשר למצוא את כל המידע הנחוץ להקמה והתאמה אישית של אתרי דרופל. כדאי לבדוק גם את ערוצי התמיכה הנוספים שלנו
יפה מאוד, אמיר. אתה יכול
יפה מאוד, אמיר.
אתה יכול להרחיב קצת לגבי מה שעשית שם?
ענת כהנא
http://www.ihelp.org.il
חשבתי שזה ברור אבל את צודקת - צריך להסביר
להלן פיסת קוד לדוגמא - שימוש בערכים לתוכן עצמו:
<div class="content"
<?php print 'style="' .
'padding-top:' . $node->field_bg_padding_top[0]['value'] . 'px; ' .
'padding-right:' . $node->field_bg_padding_side[0]['value'] . 'px; ' .
'font-weight:' . $node->field_font_bold[0]['value'] .
'"'; ?> >
<?php print $content ?>
</div>
אמיר
דרופה ישראל - מערכות ניהול תוכן ורישות חברתי
אתה מציג את הערך של השדה,
אתה מציג את הערך של השדה, כמות שהוא, ולא את ה 'view' שלו. זה מסוכן, ועלול לחשוף את אתרך להתקפות מהתקפות שונות.
ככלל, אין להציג תוכן לא מסונן למשתמש.
תודה יובל, אני לא רוצה להשתמש
תודה יובל, אני לא רוצה להשתמש ב-view כי זה לא הערך הגולמי של המשתנה אלא התצוגה במלואה.
יש גם גרסת "safe" של הערך בתוך המערך. האם היא מונעת את מה שאתה מתאר?
דרופה ישראל - מערכות ניהול תוכן ורישות חברתי
תחשוב על זה כך: האם אתה מציג
תחשוב על זה כך: האם אתה מציג למשתמש מחרוזות שעברו סניטציה, או לא. אסור להציג מחרוזות שהגיעו מהמשתמש ולא עברו סנטיציה (check_plain). כשמנסים לבדוק פגיעות של אתר, זו אחת הדרכים שמתחילים לעבוד בה: זורקים מחרוזות רנדומליות על האתר, ומנסים לראות אם מקבלים אותן או חלק מהן בחזרה. ברגע שזיהו מחרוזת כזו, אפשר להתחיל לתכנן את ההתקפה.
חשבתי על זה כמו שאמרת.
ועכשיו, כדי שנלמד ממוחה האבטחה... מה אתה מציע לעשות? האם להשתמש ב-safe כמו שכתבתי? האם להעביר כל משתנה בפונקציה check_plain?
הכה את המומחה!
איי... כואב.
דרופה ישראל - מערכות ניהול תוכן ורישות חברתי
check_plain לא יכול להזיק,
check_plain לא יכול להזיק, אבל 'view' עושה בדיוק מה שאתה צריך. למה לא להשתמש בו?
לא ניתן להשתמש ב-view כי הוא
לא ניתן להשתמש ב-view כי הוא נותן את התצוגה הספציפית שאני לא משתמש בה אלא רק בערך שהוזן!
תנקס
דרופה ישראל - מערכות ניהול תוכן ורישות חברתי
האם הקוד הבא בטוח כמו לבדוק
האם הקוד הבא בטוח כמו לבדוק check_plain?
'padding-top:' . $node->field_bg_padding_top[0]['safe'] . 'px; ' .הערך safe מביא את אותו הערך כמו value - האומנם הוא בטוח?
דרופה ישראל - מערכות ניהול תוכן ורישות חברתי
עונה לעצמי ומתריע על בעיה
הקוד עם safe אכן נחשב בטוח על פי מה שקראתי בהלפ של contemplate.
ולמה אני חוזר לדיון הזה חודש וחצי אחרי?
כי מצאתי באג - Single checkbox always returns empty in ['safe'] mode
דרופה ישראל - מערכות ניהול תוכן ורישות חברתי
האם הקוד הבא כן נחשב בטוח?
האם הקוד הבא כן נחשב בטוח? אני שואל כי כאן value הוא מתוך המערך ולא ערך שהכניס משתמש בעצמו.
<?phpprint $node->content['fivestar_widget']['#value'];
?>
דרופה ישראל - מערכות ניהול תוכן ורישות חברתי