Güvenlik Pratikleri

// $arg, "SOURCE/key" ya da "SOURCE/key/subkey" olur; kaynaklar: GET/ POST/ REQUEST/ FILES/ SERVER/
// $mod filtre tipidir; $special bazı tiplerin izinli karakter kümesine karakter ekler.
public static function init($arg = NULL, $mod = false, $special = false);

// Tek bir kaynağa ham erişim. İç içe anahtarlar eğik çizgiyle. Olmayan anahtar => false.
public static function GET($arg = '');
public static function POST($arg = '');
public static function REQUEST($arg = '');
public static function SERVER($arg = '');

// İzinli etiket sıyırma; "hclear" tipinin kullandığı ve doğrudan da çağrılabilen metot.
public static function html_clear($arg = NULL, $allow = '');

// coremio/helpers/admin.php - oturumdaki operatör yetkiyi taşıyorsa true.
public static function isPrivilege($privileges): bool;

// coremio/api/Auth/Scope.php - kimlik bilgisinin izinleri, rotanın gereksinimine karşı.
public function __construct(array $granted);
public function allows(string $required): bool;

// coremio/api/Resources/Client/_ClientResource.php - isteğin adına hareket ettiği müşteri.
protected function owner(): int;
protected function assertOwned(mixed $row, string $message = 'Resource not found.'): array;

// coremio/classes/Validation.php
public static function get_csrf_token($form_index = '', $input = true);
public static function verify_csrf_token($incoming_data = '', $form_index = '', $nonAjax = false);
public static function spam_guard(string $subject = '', string $message = '', string $email = '',
                                  string $phone = '', string $ip = '', string $domain = ''): string;
public static function password_chars_error($password = ''): string;

// coremio/helpers/processrestriction.php - null ip "çağıranınki" demek, proxy'yi bilir.
public static function blocked(string $action, ?string $ip = NULL): bool;
public static function hit(string $action, ?string $ip = NULL): bool;
public static function clear(string $action, ?string $ip = NULL): void;

// coremio/helpers/botshield.php - uyarlanabilir captcha, adres başına sayılır.
public static function active(string $action): bool;
public static function triggered(string $action, ?string $ip = NULL): bool;
public static function record(string $action, ?string $ip = NULL): void;
public static function clear(string $action, ?string $ip = NULL): void;

// coremio/helpers/captcha.php - sabit ayar ve cevap kontrolü.
public static function enabled(string $area = ''): bool;
public function check(): bool;

// coremio/classes/FraudModule.php - yalnız sipariş anında. Boş dize temiz demektir.
public static function run_checks(array $params = []): string;

// coremio/classes/Utility.php - her yanıtın içinden geçtiği JSON kodlayıcı.
public static function jencode($string = '', $flags = 0): string|false;
public static function jdecode($string = '', $mode = false);

// coremio/classes/Utility.php - saklı bir dosyayı tarayıcıya vermenin desteklenen tek yolu.
public static function stream_uploaded_file(string $diskPath, string $fileName, array $opt = []): void;

<form action="https://dev.wisecp.com/tr/acme-request" method="post" data-results="#acme-out">
    <input type="text"  name="company">
    <input type="email" name="email">
    <input type="password" name="panel_password">
    <textarea name="note"></textarea>

        
    
</form>

public function submit(\Operation $operation): bool
{
    // Sarmalayıcı her operation'a bir Operation nesnesi verir. Tanıtım kapısıyla açın:
    // bir tanıtım sisteminde herhangi bir yazma gerçekleşmeden önce fırlatır.
    $operation->demo();

    // 1. Jeton, diğer her kapıdan önce. AJAX olmayan gönderimde üçüncü argüman true.
    if (!\Validation::verify_csrf_token((string) Filter::init('POST/token', 'hclear'), 'acme-request'))
        return $operation->output(['status' => 'error', 'message' => Language::g('needs/csrf-failed')]);

    // 2. Bu adres için sert engel penceresi.
    if (\ProcessRestriction::blocked('acme-request'))
        return $operation->output(['status' => 'error', 'message' => Language::gc('acme/too-many')]);

    // 3. Captcha: operatörün sabit ayarı YA DA uyarlanabilir kalkanın devreye girmesi.
    $needCaptcha = \Captcha::enabled('acme-request') || \BotShield::triggered('acme-request');

    if ($needCaptcha && !(new \Captcha())->check()) {
        \BotShield::record('acme-request');
        return $operation->output(['status' => 'captcha_required']);
    }

    // Alan başına bir çağrı ve tip, alanın NE OLDUĞUNA göre seçilir.
    // Sır, geçirgen filtreyi kullanır: herhangi bir metin filtresi, tam da parolayı
    // güçlü kılan noktalama işaretlerini sessizce silerdi.
    $company  = Filter::init('POST/company', 'hclear');
    $email    = Filter::init('POST/email', 'email');
    $note     = Filter::init('POST/note', 'dtext');
    $password = Filter::init('POST/panel_password', 'password');

    // Filtreleme oraya ait olamayacakları çıkardı; kalanın kullanılabilir olup olmadığına doğrulama karar verir.
    if (!filter_var($email, FILTER_VALIDATE_EMAIL))
        throw new Exception(Language::gc('acme/email-invalid'));

    if ($e = \Validation::password_chars_error($password)) throw new Exception($e);

    // 4. İçerik ve gönderen kuralları; alanlar okunduktan sonra, asıl işten önce.
    if (\Validation::spam_guard('', $note, $email, '', UserManager::GetIP()) !== '')
        throw new Exception(Language::g('needs/spam-blocked'));

    // ... asıl iş

    // 5. Bu isteği sayın ve kalkan penceresini sonuçlandırın.
    \ProcessRestriction::hit('acme-request');
    if ($needCaptcha) \BotShield::clear('acme-request');
    else              \BotShield::record('acme-request');

    return $operation->output(['status' => 'successful']);
}

public function GetNote(array $body = []): array
{
    $id = (int) ($body['id'] ?? 0);

    // Sahip, kimlik bilgisinden gelir. Gövdedeki bir hesap kimliği çağıranın ÖNERİSİDİR
    // ve hesabı seçmek için asla kullanılmaz.
    $row = WDB::select('*')->from('acme_notes')
              ->where('id', '=', $id)
              ->where('owner_id', '=', $this->owner())
              ->build('assoc');

    // Olmayan da yabancı da 404 döner: hangi kimliklerin var olduğu başlı başına bilgidir.
    return ['data' => $this->assertOwned($row)];
}

public function stream_note_file(int $id): void
{
    $row = $this->model->note($id);
    if ((int) ($row['owner_id'] ?? 0) !== $this->owner()) { http_response_code(404); exit; }

    // Bu başlıkları asla tespit edilen tipten elle kurmayın: satır içinde sunulan,
    // yüklenmiş bir sayfa bu köken üzerinde, onu açan sonraki operatöre karşı çalışır.
    \Utility::stream_uploaded_file(ROOT_DIR . $row['path'], $row['name']);
}

# Yukarıdaki sahiplik kontrolü PHP'de yaşar; web sunucusunun ondan haberi yoktur ve
# aynı baytları doğrudan yoldan sunar. Dosyayı diskten okumak bir dosya sistemi
# işlemidir ve etkilenmez, yalnız doğrudan HTTP yolu kapanır.
# Her iki söz dizimi de yazılır; ağaçtaki her özel yükleme dizini zaten böyle yazılmıştır:
# 2.4 yönergesi tek başına, mod_authz_core olmayan bir sunucuda hata verir.
<IfModule mod_authz_core.c>
    Require all denied
</IfModule>
<IfModule !mod_authz_core.c>
    Order allow,deny
    Deny from all
</IfModule>