Trang này là hồ sơ tự kiểm tra của nhà phát triểnĐây không phải là chứng nhận hay kiểm toán của tổ chức bên thứ ba. Chúng tôi cũng công bố cả những gì được kiểm tra, vì vậy bạn có thể dùng thông tin này làm căn cứ khi cân nhắc triển khai.
Trong v1.10.0, không còn vấn đề chưa được sửa nào có mức độ nghiêm trọng “Cao” hoặc “Trung bình” (ngày kiểm tra: 2026-10-16 đến 2026-10-17).
Đợt kiểm tra đầu tiên được thực hiện trên phiên bản công bố trước đó là v1.9.0, đồng thời các vấn đề phát hiện cũng đã được sửa.
| Kiểm tra | Công cụ (phiên bản) | Phát hiện (Cao / Trung bình / Thấp) | Xử lý |
|---|---|---|---|
| Thư viện phụ thuộc | GitHub Advisory Database, FriendsOfPHP security-advisories (dữ liệu tính đến 2026-10-16; 89 gói) | 1 / 0 / 0 | Lỗ hổng đã biết của CakePHP 5.3.6. Đã sửa trong v1.10.0 bằng cách cập nhật lên CakePHP 5.3.7. Các thư viện dùng cho phát triển không được đưa vào tệp phân phối |
| Phân tích tĩnh / rà soát mã | Psalm 5.26.1 (phân tích taint), PHPStan 2.1.17 (cấp 5), Semgrep 1.181.0, rà soát mã thủ công (tải lên, quyền, xác thực, XSS, cập nhật, trình cài đặt, hạn chế IP) | 1 / 7 / 12 | Tất cả đã được sửa trong v1.10.0. Ngoài ra, đã sửa 5 trong số 6 mục mức “Thông tin” |
| Lọt thông tin bí mật | gitleaks 8.24.2 | 0 / 0 / 0 | 2 phát hiện đều là cảnh báo nhầm (chuỗi mẫu trong thư viện bên ngoài, v.v.) |
| Xác nhận bản sửa | Kiểm tra hoạt động trên môi trường thử nghiệm (PHP 8.3, MariaDB 10.11, Apache 2.4, Chromium) | — | Với từng phát hiện, đã xác nhận vấn đề trước khi sửa không còn tái hiện |
| Quét động | Nuclei v3.11.1 (mẫu v10.5.0), thực hiện khi chưa đăng nhập và với tư cách quản trị viên, thành viên | 0 / 0 / 0 | Không có vấn đề |
| Kiểm tra quyền | PHPUnit 12.5 (256 bài kiểm thử tự động. Xác nhận rằng với tư cách quản trị viên, thành viên, khách và người chưa đăng nhập, không thể truy cập dữ liệu của dự án mình không tham gia hay màn hình quản trị, kể cả khi sửa ID trong URL) | 0 / 0 / 1 | Đã sửa trong v1.10.0 vấn đề (Thấp) khi người chưa đăng nhập mở một số màn hình quản trị thì có thể biết được màn hình đó tồn tại |
| Kiểm tra theo cấu hình máy chủ | Thủ công (Apache 2.4, Nginx 1.24 với 2 cách bố trí thư mục công khai; 28 URL như tệp cấu hình, nhật ký, tệp đã lưu) | — | Apache: không có vấn đề với thiết lập mặc định. Nginx: không có vấn đề nếu thêm thiết lập khuyến nghị (nếu không thêm, các tệp không công khai sẽ bị nhìn thấy, vì vậy hãy xem thiết lập khuyến nghị) |
| Danh sách kiểm tra | OWASP ASVS 5.0 cấp 1 (70 mục) | Đáp ứng 50 trên 56 mục áp dụng | 14 mục không áp dụng (tính năng không sử dụng, v.v.). 6 mục chưa đáp ứng (điều kiện mật khẩu, v.v.) được xử lý bằng biện pháp khác |