Czy wyświetlanie komunikatu wyjątku PHP stanowiłoby zagrożenie dla bezpieczeństwa?

Question

Chcę ustawić niestandardową wiadomość, która będzie wyświetlana użytkownikowi, gdy zgłoszę błąd w Laravel 5.1. Na przykład, w kontrolerze może mam:

if(!has_access()){ 
    abort('401', 'please contact support to gain access to this item.'); 
} 

Wtedy moja spersonalizowana strona błędu Chciałbym wyświetlić błąd z:

$exception->getMessage(); 

Jednak co zrobić, jeśli wystąpił błąd SQL lub innego zdarzenia? Czy nie ustawiłoby to również komunikatu wyjątku, którego nieświadomie wysyłałem na mojej stronie błędu?

The PHP docs for getMessage() nie wchodzić w szczegóły na ten temat.

Jak ustawić konkretny komunikat wyjątku bez ryzyka bezpieczeństwa?

Answer 1

Co jednak, jeśli wystąpił błąd SQL lub inne zdarzenie? Czy nie ustawiłoby to również komunikatu wyjątku, którego nieświadomie wysyłałem na mojej stronie błędu?

Potencjalnie tak. PHP nie gwarantuje, że zawartość wiadomości wyjątków będzie "bezpieczna" do wyświetlania użytkownikom, i jest całkiem prawdopodobne, że niektóre klasy będą zgłaszać wyjątki zawierające poufne informacje w wiadomości.

Jeśli chcesz używać wyjątków do wyświetlania błędów użytkownikom, użyj określonej podklasy Exception dla tych wyjątków i wydrukuj komunikat tylko wtedy, gdy wyjątek był instancją tej podklasy, np. , np.

class UserVisibleException extends Exception { 
    // You don't need any code in here, but you could add a custom constructor 
    // if you wanted to. 
} 

// Then, in your abort() function... 
throw new UserVisibleException($message); 

// Then, in your exception handler... 
if ($exc instanceof UserVisibleException) { 
    print $exc->getMessage(); 
} else { 
    print "An internal error occurred."; 
} 

Answer 2

Jeśli dostęp do pliku app.php:

'debug' => env('APP_DEBUG', false), 

W swojej ENV produkcyjnej, ustawiony na false. Zapewni to, że w środowisku produkcyjnym nie będą wyświetlane żadne błędy debugowania.

Po ustawieniu można reagować na normalne wyjątki za pośrednictwem kontrolera. Cokolwiek innego, laravel nie wyświetli strony błędu.