Bảo mật trong EC-CUBE

EC-CUBE xây dựng trên nền tảng Symfony – một framework PHP mạnh mẽ có tích hợp sẵn nhiều cơ chế bảo mật. Tuy nhiên, việc tùy biến hay phát triển plugin có thể vô tình làm phát sinh lỗ hổng nếu không cẩn thận.

Trong bài học này, bạn sẽ tìm hiểu cách viết code an toàn, nhận diện và ngăn chặn các lỗi bảo mật phổ biến trong EC-CUBE.

Bảo mật trong EC-CUBE

1. Cơ chế bảo mật mặc định trong Symfony & EC-CUBE

• Symfony có sẵn các lớp bảo vệ như: csrf_token, twig autoescape, Doctrine parameter binding.
• EC-CUBE tích hợp và áp dụng các cơ chế này cho cả frontend và admin, đặc biệt trong xử lý form, entity và template.

2. Chống CSRF (Cross-Site Request Forgery)

• Symfony dùng token ẩn để kiểm tra tính hợp lệ của form gửi lên.
• Mỗi form đều cần có:

  $builder->add('_token', CsrfType::class, [
      'mapped' => false,
      'csrf_token_id' => 'custom_form',
  ]);
  

• Trong template, form_rest(form) hoặc form_row(form._token) sẽ tự động render hidden input chứa token

3. Tránh XSS (Cross-Site Scripting) với Twig

• Twig autoescape mặc định mọi biến:

  {{ product.name }}  => được escape => an toàn
  

• Đừng dùng |raw trừ khi bạn chắc chắn dữ liệu an toàn.
• Khi cần hiển thị HTML, hãy dùng filter whitelist (e.g. striptags, nl2br, hoặc tạo custom sanitizer).

4. Chống SQL Injection với Doctrine

• Doctrine sử dụng prepared statements, giúp ngăn chặn chèn mã SQL độc hại.
• Không nên viết query thủ công như:

  // KHÔNG AN TOÀN:
  $conn->query("SELECT * FROM product WHERE name = '$input'");
  

• Thay vào đó, dùng query builder:

  $qb = $em->createQueryBuilder();
  $qb->select('p')
     ->from(Product::class, 'p')
     ->where('p.name = :name')
     ->setParameter('name', $input);
  

5. Kiểm tra bảo mật với công cụ

• Dùng OWASP ZAP để quét website EC-CUBE phát hiện lỗi bảo mật phổ biến.
• Kiểm tra file robots.txt, headers HTTP, cấu hình server (SSL, CORS…).
• Đảm bảo không để lộ thông tin nhạy cảm như debug bar, phpinfo(), cấu trúc URL plugin.

Kết luận

Bảo mật không phải là một chức năng – mà là một quá trình liên tục. Dù EC-CUBE có tích hợp nhiều tính năng bảo mật, nhưng chính code bạn viết ra quyết định mức độ an toàn cuối cùng của hệ thống.

Hiểu và áp dụng đúng các kỹ thuật bảo vệ sẽ giúp bạn tránh được những lỗi nghiêm trọng có thể làm lộ dữ liệu hoặc phá hoại website.