8

Estou desenvolvendo uma plataforma de blog em que os usuários enviam seu template e o Laravel usa esse template para construir o blog. O usuário/desenvolvedor só vai informar onde ficarão os valores, exemplo:

<h2>{{$blog->title}}</h2>

Posso permitir que um desenvolvedor/usuário faça um template usando as chaves ( {{ e }} ) do blade sem que isso afete a segurança?

1
  • 2
    Poder pode, só vai precisar limitar o que será usado. Como disse o @Neto, haverá esse risco se você permitir o uso das classes e propriedades do Laravel. Commented 11/11/2014 às 19:04

2 Respostas 2

13
{{var_dump(Config::get('database'))}}

E já era...

2
  • 5
    acho que com essa não precisa se dizer mais nada néh? Commented 11/11/2014 às 19:01
  • 2
    Essa foi a melhor resposta que eu vi nas últimas semanas! +1 Commented 11/11/2014 às 21:45
3

Além do risco já citado acima, existem outros inúmeros.

Quando você usa $this dentro de uma view blade, você tem acesso a instância de Illuminate\View\View.

Sem contrar outros métodos que ele poderia brincar a vontade com seu sistema.

Só para reforçar a resposta acima, veja outro "sacanagem" que poderia acontecer:

File::deleteDirectory('diretorio_importante_do_seu_sistema');

Poderia também alterar algum arquivo de configuração, como o mail.php e fazer uma arruaça no seu sistema:

 file_put_contents(app_path('config/mail.php'), var_export($configuracoes_malicosas, true));

Talvez a solução no seu caso seja fazer um pré-processamento de um possível template enviado por um usuário. Ou ainda, ter um bloqueio, para alguém analisar o conteúdo dessa view e, só então, publicar efetivamente.

Não sei se a ideia é essa, mas parece que você deseja fazer algo semelhante ao Wordpress.

O Laravel já tem um CMS, não sei se resolve, mas vou deixar o link para que você possa analisar e ver se atende a sua necessidade.

https://octobercms.com/

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .