magento - 管理数据的 RSS 安全性

Question

Magento 有一个内置的前端 rss feed，用于通过/rss/sales/orders 处理客户订单，该提要通过页面身份验证被阻止，这似乎容易受到暴力攻击？

此外，如果我要使用相同的功能通过前端访问来获取其他系统数据(客户列表等)

对此输出进行前端单点登录访问是一个好的做法吗？

Answer 1

我建议可能阻止对 RSS 的访问。最近，它在众多 Magento 商店中受到了严重攻击。

它对暴力攻击是开放的，并且已知会失败并允许访问。

location ~* /rss/order/new {
return 403;
}
location ~* /rss/catalog/notifystock {
return 403;
}
location ~* /rss/catalog/review {
return 403;
}

.htaccess

RewriteCond %{REQUEST_URI} ^.*/RSS/CATALOG [OR,NC] 
RewriteCond %{REQUEST_URI} ^.*/RSS/ORDER [NC] 
RewriteRule ^(.*)$ http://%{HTTP_HOST}/ [R=302,L]

感谢一位同事挑选此内容。