如何配置编辑受限的媒体维基

信息安全 应用安全 Web应用程序 php
2021-09-07 11:34:05

我计划使用 mediawiki 建立一个公共 wiki,但我之前从未将 mediawiki 用于公共站点,而且我没有使用它的经验,即使作为用户也是如此。

我计划创建一个非常受限制的 wiki 设置,仅限注册用户创建和编辑帐户,但内容向公众开放。所以我打算做以下事情:

  • 添加一个 UserLoadFromSession 挂钩以允许在用户已经通过身份验证时自动登录到 wiki(wiki 将成为现有站点的一部分,该站点已经包含用户数据库和登录表单。我想禁用所有与用户管理相关的功能媒体维基)
  • 通过添加一个 SpecialPage_initList 钩子来删除几个特殊页面(我是否需要做其他事情来防止访问相关功能,例如用户列表?)
  • 禁用各种文件上传或外部内容($wgEnableUploads=false、$wgAllowCopyUploads=false、$wgAllowExternalImages=false、$wgAllowImageTag=false、$wgRawHtml=false 等)
  • 隐藏所有私人用户信息,如 IP 地址、监视列表等,但用户名除外。($wgPageShowWatchingUsers=false, $wgShowIPinHeader=false,$wgAllowPageInfo=false, $wgRCShowWatchingUsers=false, $wgAllowUserCssPrefs=false)
  • 禁用所有涉及发送电子邮件的功能 ($wgEnableEmail=false, $wgEnableUserEmail=false, $wgEmailAuthentication=false)
  • 禁用所有不必要的功能,如 api、feed、ajax、建议等($wgEnableAPI=false、$wgEnableWriteAPI=false、$wgDisableAnonTalk=true、$wgFeed=false、$wgUseAjax=false、$wgUseTrackbacks=false 等)

我的问题是:我是否遗漏了什么,我还需要做些什么来保护 wiki 吗?

谢谢

1个回答

很抱歉让你失望了,MediaWiki 的一些安全页面上充斥着警告

MediaWiki 并非旨在成为 CMS,或保护敏感数据。相反,它被设计为尽可能开放。因此它本身并不支持对私人内容的全功能、密封保护。但随着MediaWiki 在企业内部网中的大量使用以及许多类似 CMS 的功能正在出现,对更严格的安全性的需求正在出现。

为了帮助安全扩展的作者,我们正在维护这个在该领域发现的安全漏洞列表,以便他们可以针对每个漏洞测试他们的扩展。有几个扩展声称可以对 Category:Page 特定用户权限扩展中的页面提供选择性读/写访问权限,目前这些扩展中的大多数确实存在一些列出的缺陷。”

我不知道这是否会影响您的行为,但我记得在锁定我的内部媒体维基时看到了各种警告。