Drupal中$ update_access_free = true的安全風險

Question

如果我將Drupal中的$update_access_free = TRUE留在生產環境中，會帶來什麼樣的潛在安全風險？在這種情況下，everyone can run update.php。假設沒有更新可用，攻擊者可以做什麼？

Answer 1

如果保持啓用狀態，攻擊者可以運行舊的更新，這種情況在一個好的情況下只會讓您的網站性能下降，但在最壞的情況下可能會導致數據丟失或數據損壞。

Answer 2

我甚至不允許訪問，因爲它是不必要的。

有人可以使用系統資源不斷訪問和運行此頁面。

Answer 3

如果您正在尋找的是一種輕鬆更新您的網站的方法，您應該使用Drush命令添加一個cron作業以在夜間更新網站。現在，開發人員不時發佈模塊修復或升級，這可能會扼殺您網站上的某些內容。希望在Drupal 7中可以使用站點界面完成更新，我相信可能有某種控制檯模塊可以讓多個站點更新。