Mostrare il messaggio di eccezione PHP potrebbe essere un rischio per la sicurezza?

Question

Desidero impostare un messaggio personalizzato da visualizzare all'utente quando lancio un errore in Laravel 5.1. Per esempio, in un controller potrei avere:

if(!has_access()){ 
    abort('401', 'please contact support to gain access to this item.'); 
} 

Poi la mia pagina di errore personalizzata avrei visualizzare l'errore con:

$exception->getMessage(); 

Tuttavia, quello che se ci fosse un errore di SQL o un altro evento? Non avrebbe impostato anche il messaggio di eccezione che avrei inconsapevolmente trasmesso sulla mia pagina di errore?

Il PHP docs for getMessage() non entrare in molti dettagli su questo.

Come è possibile impostare un messaggio di eccezione specifico senza introdurre rischi per la sicurezza?

Answer 1

Tuttavia, cosa succede se si è verificato un errore SQL o un altro evento? Non avrebbe impostato anche il messaggio di eccezione che avrei inconsapevolmente trasmesso sulla mia pagina di errore?

Potenzialmente, sì. PHP non garantisce che il contenuto dei messaggi di eccezione sia "sicuro" da mostrare agli utenti, ed è abbastanza probabile che alcune classi generino eccezioni che includono informazioni sensibili nel messaggio.

Se si desidera utilizzare eccezioni per visualizzare gli errori per gli utenti, utilizzare una sottoclasse specifica di Exception per tali eccezioni e stampare il messaggio solo se l'eccezione era un'istanza di tale sottoclasse, ad es.

class UserVisibleException extends Exception { 
    // You don't need any code in here, but you could add a custom constructor 
    // if you wanted to. 
} 

// Then, in your abort() function... 
throw new UserVisibleException($message); 

// Then, in your exception handler... 
if ($exc instanceof UserVisibleException) { 
    print $exc->getMessage(); 
} else { 
    print "An internal error occurred."; 
} 

Answer 2

Se si accede app.php del file:

'debug' => env('APP_DEBUG', false), 

Nella tua env di produzione, impostare questo su false. Ciò assicurerebbe che nessun errore di debug verrebbe visualizzato nell'ambiente di produzione.

Una volta impostato, è possibile rispondere alle normali eccezioni tramite il controller. Qualsiasi altra cosa, laravel non mostrerebbe la pagina di errore.