Mantis安全性研究-問題隔離v1

1、 Mantis安全性研究問題報(bào)告員訪問隔離文檔作者：張恒斌創(chuàng)建日期：2022-01-23更新日期：2022-01-23文檔編碼：當(dāng)前版本：審批簽字：項(xiàng)目經(jīng)理項(xiàng)目經(jīng)理文檔控制變更記錄日期作者版本變更參考2010-9-13張恒斌原始文檔審核姓名職位分發(fā)拷貝編號(hào)姓名位置/崗位備注：出于文檔管理的目的，如果您收到了本文檔的電子版本，請(qǐng)打印出來并在封面的相應(yīng)位置寫上您的名字。出于文檔管理的目的，如果您收到了本文檔的紙介質(zhì)版本，請(qǐng)?jiān)诜饷鎸懮夏拿?。目錄Mantis安全性研究i文檔控制ii概述1目的1前期準(zhǔn)備1安全性測(cè)試1未決與已結(jié)問題4未決問題4已結(jié)問題4概述目的通過該文檔將使閱讀者了解關(guān)于該客戶化功能

2、的實(shí)現(xiàn)過程及相關(guān)引用情況前期準(zhǔn)備1. 用戶創(chuàng)建以下兩個(gè)用戶(user1/user2)2. 項(xiàng)目本次在測(cè)試環(huán)境中創(chuàng)建了兩個(gè)項(xiàng)目(A項(xiàng)目/B項(xiàng)目)根據(jù)以上設(shè)置，張三可以看到AB兩個(gè)項(xiàng)目，李四只可看到B項(xiàng)目安全性測(cè)試Mantis本身已經(jīng)具備了對(duì)于項(xiàng)目的訪問控制，公開與私有兩個(gè)屬性再加上可以為指定用戶分配指定項(xiàng)目，通過交叉也就基本上可以實(shí)現(xiàn)了對(duì)于項(xiàng)目的訪問控制本次研究的主要是基本相同項(xiàng)目的多個(gè)用戶間的數(shù)據(jù)隔離,經(jīng)過測(cè)試可以發(fā)現(xiàn)當(dāng)用戶在提交問題時(shí)，如果查看權(quán)限一項(xiàng)選擇了私有，即可實(shí)現(xiàn)此在未分配指派前問題僅有自己可以看到，相同等級(jí)的其他員工是無法看到的如果進(jìn)行推廣使用，那么就需要強(qiáng)制用戶在進(jìn)行問題提交時(shí)，

3、強(qiáng)制選擇為私有即可解決訪問隔離的需求修改mantis主目錄下的(row:484 / 485) ，修改如下：<label><input <?php echo helper_get_tab_index() ?> type="radio" name="view_state" disabled="disabled" value="<?php echo VS_PUBLIC ?>" <?php check_checked( $f_view_state, VS_PUBLIC ) ?

4、> /> <?php echo lang_get( 'public' ) ?></label><label><input <?php echo helper_get_tab_index() ?> type="radio" checked="CHECKED" name="view_state" value="<?php echo VS_PRIVATE ?>" <?php check_checked( $f_view_state, VS_PRIVATE ) ?> /> <?php echo lang_get( 'private' ) ?></label>1.程序?qū)崿F(xiàn)效果改完程序后，無需重啟，即可看到效果：本次修改的比較簡(jiǎn)單，將所有提交問題的貼子都將強(qiáng)制為只能使用私有，2.測(cè)試對(duì)比User1用戶問題清單：User2用戶的問題清單：通過對(duì)界面上此項(xiàng)的限制，可以借助系統(tǒng)的標(biāo)準(zhǔn)功能來完成提交問題的數(shù)據(jù)隔離，同時(shí)對(duì)程序的修改也是最小需要說明一點(diǎn)的就是程序改后，對(duì)所有用戶起作用，并沒有做區(qū)分，即使管理員提交問題也同樣會(huì)是私有的，不過考