CPalius 2.2.4 – 2.2.24: kurulum, güvenlik, güncelleme ve ziyaretçi istatistikleri

Son blog yazımızda 2.2.3'ü konuşmuştuk: import gerçekten işe yaramaya başlamış, forum biraz nefes almıştı. O günden bugüne 21 sürüm çıktı — çoğu aynı hafta sonu içinde. Aradaki hiçbirini blogda anlatmadık, o yüzden bu yazı biraz uzun: kurulumdan güvenlik denetimine, güncelleme sisteminin baştan sona sağlamlaştırılmasına kadar ne oldu, tek tek.

Kurulum ve görünüm: 2.2.4, 2.2.5, 2.2.6

2.2.4 ile CPalius'a düzgün bir zip kurulumu geldi: veritabanı bilgilerini ve ilk admin hesabını soruyor, e-postasını doğrulanmış işaretliyor, tek bir blog yazısı ve tek bir forum mesajıyla açılıyor. Roadmap, showcase gibi opsiyonel modüller varsayılan kapalı kalıyor. Aynı sürümde AACP → Görünüm altına logo, favicon, paylaşım görseli, tema renkleri, navbar yüksekliği gibi ayarlar geldi; mail/DNS araçları sayfası da baştan tasarlandı (arama, öne çıkan araçlar, artık göstergeli bir spam skoru ekranı).

Ama 2.2.4'ün sunucuda derlediği CSS, Tailwind derlemesi başarısız olduğunda çalışan stil dosyasını siliyordu — her sayfa 500 dönüyordu. 2.2.5 bunu acil olarak düzeltti: derlenmiş CSS artık paketin içinde geliyor, güncelleyici onu yerine koyup öyle derliyor.

2.2.6'da ise bir güncelleme, operatörün kapattığı modülleri sessizce geri açıyordu — güncelleme dosyaları paketten geldiği için modül listesi de paketinkiyle eziliyordu. Artık güncelleme sadece kodu güncelliyor, modül aç/kapa listesine dokunmuyor.

Güncelleme sistemiyle bir haftalık boğuşma: 2.2.7, 2.2.9, 2.2.11 – 2.2.19

Bu kısmı saklamıyoruz, çünkü öğretici: bir "eski konteyner" hatası art arda dokuz sürüm boyunca farklı kılıklarda geri geldi, her seferinde gerçek ama komşu bir sorunu düzelttik, asıl kök nedene en son ulaştık.

• 2.2.7: Bir SQL migration ayrıştırıcısı bazı gerçek komutları "yorum satırı" sanıp sessizce atlıyordu (Whitepaper modülünün tablosu hiç oluşmamıştı) — düzeltildi, etkilenen kurulumlar kendi kendine onarıldı. Aynı sürümde varlık derlemesinin güncel olmayan bir konteynerden çalışması, bir modülün hatasının tüm siteyi düşürebilmesi ve forum ana sayfasındaki bir çökme giderildi.
• 2.2.9: "Güncelle" tek tıkmış gibi görünüp aslında iki tıklama istiyordu. Artık ilk istek otomatik olarak ikinciyi de tetikliyor.
• 2.2.11: Bir modülün dosyalarını deaktive etmeden elle silmek başka sayfaları çökertebiliyordu. Aynı sürümde Forum'un Importer modülüne gizli bir bağımlılığı ve yedi ayrı yerin aynı tabloyu bağımsız sorgulayıp sorgu bütçesini zorlaması giderildi.
• 2.2.12, 2.2.13, 2.2.14: Aynı çökmenin farklı tetikleyicileri — konteyner temizleme/yeniden derleme güvencesi önce tek tek çağrı noktalarına eklendi, sonunda sekiz noktanın hepsinin geçtiği tek ortak metoda taşındı.
• 2.2.15, 2.2.16: Asıl kök neden: bir güncelleme, veritabanı migration'ları çalışmadan önce konteyneri temizliyordu, bazı Symfony olayları da istek ortasında zorla bir temizliği tetikleyebiliyordu. Sıralama düzeltildi, zorlama yolu tamamen kaldırıldı.
• 2.2.17: Fonksiyonel değişiklik yok — sadece bu açıklamayı test etmek için bir sürüm numarası atlatıldı. Test geçti.
• 2.2.18: Aynı hata sınıfı, AACP'nin modül silme ekranında bir kez daha çıktı — düzeltildi.
• 2.2.19: Yoğun bir sayfa bazen "sorgu bütçesi aşıldı" diye loglanıyordu, birkaç ayrı okuma tek bir paylaşımlı önbelleğe indirildi.

Uzun oldu ama sonuç net: güncelleme mekanizması artık gerçekten güvenilir.

Güvenlik denetimi: 2.2.10

Kod tabanının uçtan uca bir güvenlik denetimini yaptık ve altı gerçek sorun bulduk — hiçbiri istismar edilmiş değildi, hepsi bu sürümde kapatıldı: Redis şifresinin düz metin saklanabilmesi, paylaşımlı Redis'te oturum anahtarı çakışması, giriş ekranının şifre kontrolünden önce hesap durumunu ifşa etmesi, AI çevirisinin saklı XSS'e açık olması, forum moderatör ekranından biyografiye temizlenmemiş içerik yazılabilmesi ve DNS araçlarındaki SSRF korumasının DNS-rebinding ile atlatılabilmesi. Hepsi elle işlem gerektirmeden kapatıldı.

Security Center ve Ziyaretçi İstatistikleri: 2.2.20 – 2.2.24

• 2.2.20: Güvenlik olayları ve sayfa görüntülemeleri artık aynı tabloyu paylaşmıyor. Forumdaki okunmamış/taslak/konularım şeridi tahtanın altına taşındı.
• 2.2.21: Security Center artık canlı tehdit akışını, saldırı vektörlerini ve en çok tekrar eden IP'leri gösteriyor. Sayfa görüntüleme sayımı opsiyonel VisitorStats moduluna taşındı.
• 2.2.22: Security Center'daki tehditler/bulgular tek karta, iki sekmeye indirildi; VisitorStats tablosu günlük/aylık çubuk grafiklere dönüştü.
• 2.2.23: Kayıt e-posta doğrulaması ile giriş doğrulaması ayrıştırıldı (biri diğerini kilitlemesin diye), boş biyografiyle admin kaydı çökmesi ve forumda sessiz kalan bir 403 hatası düzeltildi.
• 2.2.24: VisitorStats'ın grafikleri yenilendi — günlük görünüm artık toplam ziyaret ve tekil ziyaretçiyi birlikte gösteren yumuşak bir çizgi/alan grafiği, aylık görünüm sütun grafiği.

Peki şimdi?

2.2.24, bugün itibarıyla en güncel stabil sürüm. Şema değişikliği yok, elle yapılacak bir şey yok — AACP'den "Güncelle"ye basmanız yeterli. Sorularınız ve geri bildirimleriniz için forumdayız.