- CPalius için ölçüm var. 100 bin kullanıcı, 20 bin konu, 200 bin mesaj ve 100 bin rezervasyonlu bir veritabanında tek istek süreleri
cp:perf:probeile ölçüldü. Eşzamanlı yük testi (k6/ab) yapılmadı. - Rakipler için ölçüm yok. Rakip sistemleri kurup aynı veriyle çalıştırmadık. Bu belgedeki rakip bilgileri kaynak kodun okunmasına dayanır, hız iddiası taşımaz. "Var / yok" kaynakta gördüğümüzü söyler; bir özelliğin eklentiyle sonradan eklenebilmesi ayrıca mümkündür.
- Sulu: iskeletin
vendorklasörü yok. Çekirdek kodu değil, yalnızcasecurity.yamlve paket listesi incelendi; Sulu hücreleri bu yüzden "kısmi" işaretlidir. - MODX ve ProcessWire: güvenlik kodunun yalnızca ilgili bölümleri (parola hash'i, erişim politikaları, oturum, CSRF, giriş kısıtlama, dosya doğrulama) okundu; tüm kod taranmadı.
- Doğrulama düzeyi: Drupal ve TYPO3 güvenlik hücrelerinin çoğu (RequestSanitizer, CSRF belirteci, RequestToken, CSP, MFA, dosya adı doğrulama, hash fabrikası) kaynakta okundu. Performans tablosundaki rakip hücreleri ve MODX, ProcessWire, Sulu'nun bazı hücreleri genel bilgiye dayanır, kaynakta tek tek doğrulanmadı; yayımlamadan önce kontrol edin.
- Bu bir güvenlik denetimi değildir; açık aranmadı, mekanizmalar karşılaştırıldı.
Performans mekanizmaları
| Özellik | CPalius 2.2.68 | Drupal 11 | TYPO3 14 | MODX 3 | ProcessWire | Sulu |
|---|---|---|---|---|---|---|
| Misafir sayfasını web sunucusunun dosya olarak sunması (PHP'siz) | Var (Apache, gzip kopya dahil) | Dahili sayfa önbelleği PHP'den geçer | Sayfa önbelleği PHP'den geçer | Eleman önbelleği | Eklenti (ProCache) | HTTP önbelleği (FOSHttpCache/Varnish) |
| Etiketle geçersiz kılma | Var (itme tabanlı dizin, ~3 ms/sayfa) | Var (sunumda sağlama toplamı) | Var | Sınırlı | Sınırlı | Var |
| Eskiyi sun, arkada yenile | Var | Yok (tek istek bekler) | Yok | Yok | Yok | Proxy'ye bağlı |
| Önbelleğe girmeyen parçalar için render önbelleği / BigPipe | Yok | Var | Kısmi | Eleman önbelleği | Modül önbelleği | Yok |
| Sayfa başına maliyet ölçümü yönetim panelinde | Var | Eklenti (Web Profiler/Devel) | Admin paneli aracı var | Yok | Debug modu | Profiler |
| Sorgu sayısı korkuluğu (N+1) | Var (geliştirme modunda) | Yok | Yok | Yok | Yok | Yok |
| Sunucu duruş denetimi (OPcache, MySQL tampon, sıkıştırma) | Var (cp:doctor) | Durum raporu (kısmi) | Ortam sayfası (kısmi) | Yok | Yok | Yok |
Güvenlik mekanizmaları
| Özellik | CPalius 2.2.68 | Drupal 11 | TYPO3 14 | MODX 3 | ProcessWire | Sulu |
|---|---|---|---|---|---|---|
| CSRF belirteci | Var (oturuma bağlı) | Var (oturum tohumu + değere bağlı) | Var (kapsamlı, süreli, imzalı JWT) | Var | Var (tek kullanımlık seçeneği) | Symfony |
| Hassas işlem için kimlik yeniden doğrulama | Var (yeni) | Yok | MFA zorunluluğu var, işlem başı yok | Yok | Yok | Yok |
| Anahtar döndürme | Var (yeni) | hash_salt döndürme yok | Şifreleme anahtarı değişince geçersiz | Yok | Yok | Yok |
| Parola hash'i ve yeniden hash | bcrypt maliyet 13, girişte yenilenir | PhpassHashedPassword/PHP | Argon2id/bcrypt/PBKDF2 fabrikası | PHP native, PBKDF2 | bcrypt | Symfony auto |
| İki aşamalı doğrulama | TOTP, e-posta kodu, kurtarma kodu | Eklenti | TOTP, kurtarma kodu | Eklenti | Eklenti | scheb 2FA |
| Giriş kısıtlama | Var (IP+hesap, captcha, yasaklama) | Flood servisi | Kilitleme | Sınırlı | SessionLoginThrottle | Symfony limiter |
| CSP | Var (nonce, rapor alıcı, öneri aracı) | Çekirdekte yok | Var (kapsamlı, öneri üretir) | Yok | Yok | Yok |
| Dosya yükleme: gerçek MIME, çift uzantı, yürütme engeli | Var; SVG yüklenemez | Tehlikeli uzantı regex'i | Dosya adı denylist + SVG temizleyici | Kara liste | Kara liste + dosya doğrulayıcı modüller | Medya paketi |
| SVG'ye izin (temizleyiciyle) | Yok (bilerek yasak) | Yok | Var | Yok | Yok | Yok |
Girdi şekli temizliği (# anahtarları, dış destination) | Gereksiz (Symfony 400 döner, yönlendirmeler süzülür) | Var (RequestSanitizer) | Var | Desenler | Sanitizer | Symfony |
| İzin ince ayarı | Rol + kullanıcı bazlı geçersiz kılma, sahiplik | Rol + "restrict access" işareti | İzin kümeleri | Bağlam/kaynak grubu/politika (çok ince) | Rol/izin | Webspace/koleksiyon matrisi |
| Kısıtlı yetki işareti | Var (yeni) | Var | Yok | Yok | Yok | Yok |
| Eklenti güvenlik duyuruları | Var (yeni, imzalı dizin) | Var (update modülü) | Var (resmi duyurular) | Yok | Yok | Composer audit |
| Trusted host | Var (AACP ayarı) | Zorunlu | Var | Yok | httpHosts | Symfony |
| WAF ve IP yasaklama | Var | Eklenti | Eklenti | Yok | Yok | Yok |
| Güvenlik duruş denetimi | Var (SecurityAuditor, cp:doctor) | Durum raporu | Ortam/Install aracı | Yok | Yok | Yok |
Bu tablodan ne çıkıyor?
- CPalius'un öne çıktığı yerler: sunucu tarafında dosya olarak sunulan misafir önbelleği, eskiyi-sun modeli, hassas işlemler için kimlik yeniden doğrulama, anahtar döndürme, yerleşik WAF ve duruş denetimleri, N+1 korkuluğu.
- CPalius'un geride kaldığı yerler: render önbelleği / BigPipe benzeri parçalı önbellek (Drupal), çok ince ACL (MODX bağlam/kaynak grubu, Sulu webspace matrisi), SVG'nin güvenli kabulü (TYPO3), tam metin arama dizini (şu an
LIKE+ önbellek + hız sınırı), eşzamanlı yük testleri. - Rakiplerden bilerek almadıklarımız: SVG'yi temizleyerek kabul etmek (şimdilik yasak, daha güvenli),
RequestSanitizer(Symfony zaten 400 dönüyor), FULLTEXT dizini (MariaDB uyumu için ngram'a bağlı kalmak istemedik).
Sıradaki işler
- Arama için taşınabilir tam metin dizini (MySQL ve MariaDB'de çalışan).
- Üye sayfalarında parça önbelleği (kullanıcıya özel içerikte eskime riski ölçülerek).
- Gerçek sunucuda üretim ayarlarıyla k6/ab yük testi.
- Nesne düzeyinde yetki (başkasının kaydına erişim) ve SSRF uç noktalarının tek tek incelenmesi.
Yorumlar (0)
Henüz yorum yok. İlk yorumu sen yaz.
Yorum yaz
Yorumunuz yayınlanmadan önce incelenecektir.