ob娱乐下载Symfony 1.2.8 -回滚我们的安全补丁

从1.2.7恢复安全补丁

Fabien恢复了不可见的表单字段的修复变更集19819．下面是commit注释的推理:

这些更改是为了堵塞symfony管理生成器中的安全漏洞(更多信息请参阅[symfony blog](http://wwwob娱乐下载.symfony-project.org/blog/2009/04/27/symfony-1-2-6-security-fix))。但是很多人抱怨，因为它弊大于利。该修复禁用了自定义部分的可能性。此外，如果你不使用“echo $form”结构，如果你忘记在模板中显示一些非必需的字段，在正常的表单中也会存在这个问题。在与核心团队成员讨论之后，似乎没有办法为开发人员“修复”这个问题。我们认为我们能够提供一些东西，但现实是我们不能。有问题吗?我们认为这不是一个大问题，因为在这种情况下，可以被利用的情况非常罕见，甚至不存在，就像你是脆弱的一样，这也意味着你的数据库数据将以某种方式被破坏(阅读下一节了解更多信息)。事实上，所有的框架都是脆弱的，都有同样的问题。我们已经为表单框架提供了比其他框架更高级的安全特性，但不能再进一步了。 Security is also a developer matter, and too much magic is sometimes a bad thing. Here is the exact circumstances under which you might be vulnerable: A field is vulnerable only if you forget to display its widget in the template and only if it has a non-required validator. Then, an attacker could potentially inject a valid value for this field, and it will be saved with the rest of the object. But two things greatly mitigate the issue: first, if you forget to display a field, each time you save the form, its value will be lost. So, most of the time, you will be aware of the problem because the data in the database will be corrupted. Second, the attacker need to know the exact field name, which is not easy as no information is contained in the HTML.

我很抱歉这造成的任何不便，但我们认为恢复一些错误的解决方案是正确的，即使(或特别是)当它是一个安全修复。

1.2.8中还有什么

我们将Doctrine升级到1.0.10并修复了一些问题。我们也做了一些努力来确保PHP 5.3的兼容性，并改进了一些PHPdoc，这些主要是来自1 day1ticket．除此之外，很多小问题都得到了解决，所以我强烈建议查看更新日志．

如何安装

的引用，以升级现有项目1.2.8 subversion标签或者执行PEAR upgrade命令:

升级symfony/symfoob娱乐下载ny-1.2.8

如果您使用来自我们的SVN存储库的1.2分支，只需运行svn更新命令升级项目。

最后但并非最不重要的是，不要忘记通过运行教条来清空缓存:

$ PHP ob娱乐下载symfony doctrine:build-model $ PHP symfony doctrine:build-forms $ PHP symfony doctrine:build-filters $ PHP symfony cache:clear

或者在使用propel时:

$ PHP ob娱乐下载symfony驱动:build-model $ PHP symfony驱动:build-forms $ PHP symfony驱动:build-filters $ PHP symfony缓存:clear