ADMIN_DIR のチェック強化

[nanasess]

• ADMIN_DIR 以外から LC_Page_Admin 配下へリクエストされた場合は拒否する
• E2Eテストは別途作成します

[nobuhiko]

プラグインが影響でないですかね？

[nanasess]

@nobuhiko うーん、そもそも ADMIN_DIR 以外からリクエストを受信している場合は、認証をスルーしている可能性が高いので危険な状態な可能性があると思うんですが、いかがでしょう？

もしくは、以下のような感じの方が安全ですかね

         if (stripos($_SERVER['REQUEST_URI'], rtrim(ROOT_URLPATH.ADMIN_DIR, '/')) === false) {
             // ADMIN_DIR 以外からのリクエストは認証を要求する
             SC_Utils_Ex::sfIsSuccess(new SC_Session_Ex());
         }

[nobuhiko]

@nanasess LC_Page_Admin 配下は常に認証を求められてるもんだと思ってましたが、本家はしてないのか・・ ADMIN_DIR に関わらず認証はしたほうがいいんじゃないかと思ったり。

[nanasess]

@nobuhiko ADMIN_DIR/require_base.php で認証かけているので、通常はすべて認証かかってるんです。
過去に LC_Page_Admin を継承せずに管理画面のページを作成して、認証をスルーしてしまう事故が発生していたのでこうなってるんですが😥

[nobuhiko]

@nobuhiko うーん、そもそも ADMIN_DIR 以外からリクエストを受信している場合は、認証をスルーしている可能性が高いので危険な状態な可能性があると思うんですが、いかがでしょう？

もしくは、以下のような感じの方が安全ですかね

         if (stripos($_SERVER['REQUEST_URI'], rtrim(ROOT_URLPATH.ADMIN_DIR, '/')) === false) {
             // ADMIN_DIR 以外からのリクエストは認証を要求する
             SC_Utils_Ex::sfIsSuccess(new SC_Session_Ex());
         }

こっちのほうがいいかなーと思います

[nanasess]

@nobuhiko ありがとうございます。修正しました

[nobuhiko]

@nanasess ありがとうございます！

[okazy]

Windowsのテストは他のプルリクで対応済みのため取り込みます。
対応ありがとうございました。