Wäre das Anzeigen der PHP Exception Message ein Sicherheitsrisiko?

Question

Ich möchte eine benutzerdefinierte Nachricht für den Benutzer angezeigt werden, wenn ich einen Fehler in Laravel 5.1. Zum Beispiel in einem Controller könnte ich habe:

if(!has_access()){ 
    abort('401', 'please contact support to gain access to this item.'); 
} 

meine benutzerdefinierte Fehlerseite Dann würde ich den Fehler angezeigt werden mit:

$exception->getMessage(); 

Was aber, wenn es einen SQL-Fehler oder ein anderes Ereignis? Wäre das nicht auch die Exception Message, die ich unwissentlich auf meiner Fehlerseite ausgeben würde?

Die PHP docs for getMessage() gehen nicht ins Detail darüber.

Wie kann ich eine bestimmte Ausnahmebedingungsnachricht festlegen, ohne ein Sicherheitsrisiko einzugehen?

Answer 1

Was aber, wenn es einen SQL-Fehler oder ein anderes Ereignis gab? Wäre das nicht auch die Exception Message, die ich unwissentlich auf meiner Fehlerseite ausgeben würde?

Möglicherweise ja. PHP gibt keine Garantie dafür, dass der Inhalt von Ausnahmemeldungen für Benutzer "sicher" angezeigt wird, und es ist sehr wahrscheinlich, dass einige Klassen Ausnahmen auslösen, die vertrauliche Informationen in der Nachricht enthalten.

Wenn Sie Ausnahmen verwenden möchten, um Benutzern Fehler anzuzeigen, verwenden Sie eine spezielle Unterklasse von Exception für diese Ausnahmen, und drucken Sie die Nachricht nur, wenn die Ausnahme eine Instanz dieser Unterklasse war, beispielsweise .

class UserVisibleException extends Exception { 
    // You don't need any code in here, but you could add a custom constructor 
    // if you wanted to. 
} 

// Then, in your abort() function... 
throw new UserVisibleException($message); 

// Then, in your exception handler... 
if ($exc instanceof UserVisibleException) { 
    print $exc->getMessage(); 
} else { 
    print "An internal error occurred."; 
} 

Answer 2

Wenn Sie Ihre app.php Datei zugreifen:

'debug' => env('APP_DEBUG', false), 

In Ihrer Produktion env, setzen Sie diese auf false gesetzt. Dies würde sicherstellen, dass keine Debug-Fehler in der Produktionsumgebung angezeigt werden.

Sobald dies eingestellt ist, können Sie auf normale Ausnahmen über Ihren Controller reagieren. Alles andere, Laravel würde die Fehlerseite nicht anzeigen.