Как настроить безопасный импорт тикетов в WordPress

Диагностика проблемы: почему импорт тикетов может быть небезопасен

При импорте тикетов в WordPress через CSV или API часто возникают риски безопасности и корректности данных. Без проверки данных можно получить SQL-инъекции, XSS-уязвимости, или просто сломать структуру тикет-системы. Кроме того, неправильная обработка импорта может привести к дублированию тикетов или нарушению связей с пользователями.

Подготовка к безопасному импорту: что нужно учесть

Перед запуском импорта необходимо:

• Проверить источник данных и убедиться в его доверенности.
• Использовать функции валидации и санитации WordPress.
• Обеспечить проверку прав пользователя, который запускает импорт.
• Работать с транзакциями для предотвращения частичного импорта.
• Логировать процесс импорта для последующего анализа.

Пошаговое решение: безопасный импорт тикетов с проверкой данных

1. Создаем функцию для валидации и санитации входящих данных

function sanitize_ticket_data(array $data) {
    return [
        'title' => sanitize_text_field($data['title'] ?? ''),
        'content' => wp_kses_post($data['content'] ?? ''),
        'status' => sanitize_text_field($data['status'] ?? 'open'),
        'user_id' => absint($data['user_id'] ?? 0),
        'priority' => sanitize_text_field($data['priority'] ?? 'normal'),
    ];
}

2. Проверяем права пользователя перед импортом

if (!current_user_can('manage_options')) {
    wp_die('У вас нет прав для запуска импорта.');
}

3. Импортируем тикеты с использованием транзакции и подготовки данных

global $wpdb;
$wpdb->query('START TRANSACTION');
$errors = [];
foreach ($tickets as $ticket_raw) {
    $ticket = sanitize_ticket_data($ticket_raw);
    if (empty($ticket['title']) || empty($ticket['content'])) {
        $errors[] = 'Пропущен обязательный заголовок или описание';
        continue;
    }
    $inserted = $wpdb->insert(
        $wpdb->prefix . 'tickets',
        [
            'title' => $ticket['title'],
            'content' => $ticket['content'],
            'status' => $ticket['status'],
            'user_id' => $ticket['user_id'],
            'priority' => $ticket['priority'],
            'created_at' => current_time('mysql'),
        ],
        ['%s','%s','%s','%d','%s','%s']
    );
    if (!$inserted) {
        $errors[] = 'Ошибка вставки тикета "' . esc_html($ticket['title']) . '"';
    }
}
if (empty($errors)) {
    $wpdb->query('COMMIT');
} else {
    $wpdb->query('ROLLBACK');
    error_log('Ошибки импорта тикетов: ' . implode('; ', $errors));
}

Проверка результата после внедрения

Для проверки успешности импорта:

• Проверьте таблицу базы данных вручную через phpMyAdmin или аналог, чтобы убедиться в наличии новых тикетов.
• Выведите количество импортированных тикетов на экран или в лог.
• Проверьте логи ошибок сервера или WordPress для отсутствия записей об ошибках импорта.
• Убедитесь, что права доступа к импортированным тикетам корректны и не нарушают безопасность.

Частые ошибки и как их исправить

• Ошибка: Пропущены обязательные поля при импорте.
  Решение: Добавьте валидацию и пропускайте неполные записи.
• Ошибка: Пользователь без прав запускает импорт.
  Решение: Используйте current_user_can() для проверки прав.
• Ошибка: Данные не санитизируются, возникает XSS.
  Решение: Используйте sanitize_text_field() и wp_kses_post() для очистки.
• Ошибка: Частичный импорт при ошибке в середине.
  Решение: Используйте транзакции MySQL (START TRANSACTION, COMMIT, ROLLBACK).
• Ошибка: Дублирование тикетов.
  Решение: Добавьте проверку на уникальность по заголовку или другим критериям перед вставкой.

Практические советы по безопасности и производительности

• Ограничьте размер импортируемого файла и количество записей за один вызов, чтобы избежать таймаутов.
• Разбейте импорт на батчи, используя AJAX или WP-Cron для автоматизации.
• Логируйте не только ошибки, но и успешные операции с временными метками для аудита.
• Регулярно обновляйте права доступа к таблицам и API, чтобы избежать несанкционированного импорта.
• Используйте nonce и проверку реферера при импорте через формы админки для защиты от CSRF-атак.

Таблица сравнения вариантов импорта тикетов