bitrix-security

用途

本技能用于在 Bitrix 框架开发中识别和防范常见安全漏洞，提供一套可遵循的安全规则与不变量。基线为 main 23.0+，已验证 main 26.800.0。通用默认项（不使用超全局变量、保留默认预过滤器、输出转义）位于 bitrix-framework 中。

主要能力

技能按主题组织规则文档：

• CSRF、转义、HTML 净化、链接与重定向目标、原始 HTML 输出点：见 rules/csrf-xss.md。
• SQL 注入（原始查询、ORM、ExpressionField）、SSRF、本地文件、上传、存储设置：见 rules/sql-ssrf.md。
• 权限校验、#[ActionAccess]、REST 作用域、JWT/JWK、加密、2FA：见 rules/jwt-crypto-access.md。

核心不变量

• 不可信来源包括：请求数据，以及数据库存储的设置、导入数据、REST 载荷。实体的类型与归属来自其数据库记录，绝不来自请求。
• 凡会成为 SQL 结构的内容（字段名、运算符、函数、排序键），无论来源如何，一律白名单校验。
• 按输出上下文转义：HTML 使用 htmlspecialcharsbx()，JS 使用 Json::encode()，URL 通过协议白名单处理。
• 用户输入不得未经检查进入 CFile::MakeFileArray()、file_get_contents()、unserialize()、重定向目标。
• 认证/CSRF 过滤器不构成授权：每个操作都需对对象进行权限校验。

使用方式

按任务类型查阅对应规则文档：处理 CSRF、转义、HTML 净化、链接与重定向时读 rules/csrf-xss.md；处理 SQL 注入、SSRF、本地文件、上传、存储设置时读 rules/sql-ssrf.md；处理权限校验、#[ActionAccess]、REST 作用域、JWT/JWK、加密、2FA 时读 rules/jwt-crypto-access.md。

适用场景

适用于 Bitrix 框架下的后端开发与安全审查，尤其是涉及用户输入处理、数据库查询构造、文件操作、重定向、权限控制、REST 接口与认证加密的场景。

限制

资料未提供具体安装命令、依赖项、收费信息或平台支持范围，暂未提供。