Seguridad: XSS, CSRF, uploads y validación

Todo esto viene activado por defecto en cualquier tabla, sin configuración extra.

$crud = new AppyCrud($connection, 'reportes', $config, 'es', [ 'csrf' => true, // default 'insertFields' => ['titulo', 'correo', 'notas', 'adjunto'], 'editFields' => ['titulo', 'correo', 'notas', 'adjunto'], 'uploadDir' => $uploadDir, ]); // 'correo' => ['inputType' => 'email', 'rules' => ['required', 'email']] // 'notas' => ['inputType' => 'richtext_advanced'] -- se sanitiza al guardar

¿Y con MariaDB/MySQL en producción, en vez del SQLite de esta demo?

Esta demo usa SQLite en un archivo temporal para no necesitar una base de datos real. En tu proyecto, con MariaDB o MySQL, solo cambia cómo abres la conexión — el resto del código (TableConfig, AppyCrud, handle()) es exactamente igual.

$pdo = new PDO(
    'mysql:host=localhost;port=3306;dbname=mi_bd;charset=utf8mb4',
    'usuario',
    'clave'
);
$connection = Connection::fromPdo($pdo);
// MariaDB usa el mismo driver PDO 'mysql' que MySQL — no hay driver 'mariadb' separado.
// Con Laravel: Connection::fromPdo(DB::connection()->getPdo());
// Con CodeIgniter 4: Connection::fromPdo(\Config\Database::connect()->getConnection());

Cosas para probar en este ejemplo

XSS en el editor: edita "Notas", pega <script>alert(1)</script> y guarda — al volver a abrirlo, el script ya no existe.
Subida de archivos: en "Adjunto", sube un archivo .php o .exe — se guarda con nombre aleatorio y extensión .bin, nunca ejecutable.
Validación real: intenta guardar con el campo "Correo" vacío o con un texto que no sea un email — el servidor lo rechaza aunque manipules el HTML del formulario.
CSRF: mira el código fuente del formulario (clic derecho → "Ver código fuente") — hay un campo oculto con un token distinto en cada carga de página.
Campos ocultos protegidos: "interno" no aparece en el formulario porque no está en insertFields/editFields — y aunque lo agregues a mano al POST desde las herramientas de desarrollador, el servidor lo descarta.

Listado de reportes

Titulo	Correo ↑	Notas (editor enriquecido)

Reporte de ejemplo 1	ana@ejemplo.com	Prueba a editar este campo y pegar <script>alert(1)</script> — al gu…
Reporte de ejemplo 2	beto@ejemplo.com	Prueba tambien subir un archivo .php como adjunto: se guarda como .bin.

Pagina 1 de 1

Por pagina:

AnteriorSiguiente