forms - 我可以在 Plone 4.3 中使用 plone.protect 3.0 吗？

Question

从版本 3 开始，plone.protect提供自动CSRF保护。

Plone 4.3 默认包含 plone.protect 2.0 .

我可以只升级到开始使用 Plone 4.3 中的这个功能吗？

Answer 1

我只有一点点经验，玩过 plone.protect 3.x 和 Plone 4.3.2，但没什么大不了的。

我还安装了很多插件，所以我不能说 Plone 本身或插件是否有问题。

这是我的笔记:

是的，您可以启用它，但您的安装将停止工作。所以...不，你不能:-)

首先，plone.protect.aut 3.0 默认处理每个 POST/GET 请求。例如 Session 处理是一个写入请求，因此无论在何处使用，您都必须手动修复它!

第二次在注解(IAnnotation)中写入数据，默认也是保护的，所以必须找到每个使用注解的地方(例如Portlets存储)并修复。

如果您的测试环境状况良好 :-) 您会得到它的工作，但开箱即用的 Plone 4.3 还没有准备好使用它。

结论:

主要问题是 GET 请求，最终导致数据库更改。我现在这是错误的，但 Plone 4.3 和/或主要是插件有这种行为。

您最终将通过白名单扩展 plone.protect.auto 功能。