drupal-security-patterns

Drupal Security Patterns 是 gkastanis/drupal-workflow 下的一个技能，面向 Drupal 10/11 开发，汇总安全编码模式与审查要点。资料以代码示例和检查清单形式给出，可用于代码安全审查、实现安全功能或排查访问问题。\n\n主要能力：\n1. SQL 注入防护：对比字符串拼接查询（不安全）、参数化查询（推荐）与 Entity API 的 entityQuery（最佳，含 accessCheck）。\n2. XSS 防护：说明 Twig 默认自动转义；原始输出使用 Html::escape；按允许标签过滤使用 Xss::filter 与 Xss::filterAdmin。\n3. 访问控制：路由 requirements 中使用 _permission、_entity_access；自定义 AccessInterface 检查器返回 AccessResult 并缓存权限；强调一条路由可叠加多个 __access 检查，需全部通过（AND 逻辑），排查 403 时要逐一追踪各检查器服务，不能只看 _permission。\n4. CSRF 防护：表单 API 自动处理令牌；自定义 AJAX 端点用 CsrfTokenGenerator 生成与校验令牌，失败抛出 AccessDeniedHttpException。\n5. 文件上传校验：file_validate_extensions、file_validate_size、file_validate_name_length 示例。\n6. 安全检查清单：关键项（防注入、XSS、路由与实体访问控制、Form API 输入校验、无硬编码凭据、CSRF）与重要项（依赖注入避免静态调用、上传校验、配置可导出、无弃用代码、WCAG 2.1 AA）以及架构警示信号。\n\n使用方式：资料未提供安装命令或具体调用步骤，暂未提供。\n\n适用场景：Drupal 模块开发与代码评审、安全加固、路由访问问题排查。\n\n限制：示例针对 Drupal 10/11；具体安装与集成方式暂未提供。