Всем привет! Разрабатываю админ-панель для своего сайта. Из нее можно будет сделать почти все: изменять рейтинги пользователей, изменять балансы, удалять пользователей, сменять им группу, удалять записи и т.д.
Соответственно, если кто-то как-нибудь сможет попасть в админку, то сайту хана считай.
Дабы этого не случилось, стараюсь по максимуму обезопасить ее, но мне кажется, что паранойя уже давно со мной.
Из планов:
1. На каждый админ-метод(удаление пользователей, смена группы, баланса и т.д.) делать проверку: запрос к бд -> а админ ли этот юзер. Да, абсолютно на каждый админ-метод
2. Логгирую все и вся (ну как логирую, все действия записываются в бд, и выводятся из админ-панели (а-ля "Админ №1 сменил группу у пользователя №2 на модератор")).
3. В планах сделать к каждому изменению ввод пароля (хД, это уже реально паранойя)
Плохо ли это? И имеет ли вообще смысл?
Как обычно "хакают" сайты? Если хакают исходных код, то смысла от всего этого ноль. Если как-то подменяют сессию или еще чего, то мне кажется по паранойить стоит немного
Narts дорогой пользователь, настоятельно рекомендуем еще раз обратить самое пристальное внимание на п. 3.1 регламента работы сервиса (и, в особенности, на его последний абзац).
В противном случае, ваши вопросы будут удаляться по причине тег-спама, а систематические нарушения приведут к блокировке учетной записи.
Ограничьте доступ по IP. Для доступа поднимите ВПН и работайте с админкой через него. Проверка прав на каждом запросе — это ок. Это и не в админ-панели нужно делать. Логи писать полезно, но какой от них смысл, если кто-то взломает? Настройте бекапы и сохраняйте их на удалённый сервак. При запуске админки отправляйте уведомления. Подключите двухфакторную аутентификацию.
Средний
