使用 Zend Framework 安全地运行 Cron 作业

Question

我看过很多关于 cron 和 ZF 的帖子，但大多数解决方案都让工作可以由公众触发运行。

如果你想设置一个只能由 cron 运行的操作怎么办？不是由某个匿名用户也不是由必须登录的人？

我使用的解决方案涉及将一个文件放在我的 Web 根目录之外，让它引导足够的 ZF 来使用我需要的内容（例如，我不需要视图），然后从 cron 中点击该文件。 我的问题是，这是执行此操作的“最佳实践”方式吗？如果您需要使代码可以通过网络访问，但仍然需要防止随机用户找到并运行它，该怎么办？

为了说明，以下是我正在为从 php 运行的 cron 作业所做的（有效的）命令行，在同一台服务器上，如下所示：

* 10 * * * php /Apps/ZF/cronjobs/crontest.php

Webroot is: /Apps/ZF/someproject/

crontest.php:

<?php
ini_set('include_path', ini_get('include_path') . ':/Apps/ZF/someproject/library');

define('APPLICATION_PATH','/Apps/ZF/someproject/application');
define('APPLICATION_ENVIRONMENT','test');

//Include the loader (for loading ZF resources)
require_once 'Zend/Loader.php';

//Include the model (to access the Sites model in this case)
require_once(APPLICATION_PATH . '/models/Planets.php');

Zend_Loader::registerAutoload();

$configuration = new Zend_Config_Ini(
    APPLICATION_PATH . '/config/config.ini',
    APPLICATION_ENVIRONMENT
);

// DB adapter
$dbAdapter = Zend_Db::factory($configuration->database);

// DB table setup
Zend_Db_Table_Abstract::setDefaultAdapter($dbAdapter);

// Whatever code we want to run... 
$test = new Model_Planets();

$test->fetchEntries();

Zend_Debug::dump($test);
?>

所以，正如我所说，这有效，所以我不需要找人给我写一个解决方案......只是好奇如何“更好”地做到这一点。另外，如果我需要通过网络访问它，但仍然希望它只能由 cron 运行，该怎么办？让它更灵活怎么样（因为我在这里硬编码了一些我怀疑可以变得更加动态的路径）？

我假设我可以列出允许的服务器，然后使用 $_SERVER['REMOTE_ADDR'] 进行测试？

大家觉得怎么样？建议？我独自工作，所以我没有同事可以在这方面寻求帮助……在某种程度上，我的同事也是如此。

Answer 1

一种方法是设置环境变量。

所以在你的 crontab

SCRIPT_RUN_ENV=cron
* * * * * foo.php // Whatever your line is

然后，在应用程序中，只需检查：

if (get_env('SCRIPT_RUN_ENV') != 'cron') {
    echo "Program cannot be run manually\n";
    exit(1);
}

现在，任何人都可以将其环境变量设置为该值并成功运行 cron，但它应该停止琐碎的运行（或意外）...

但还要注意，任何人可以在服务器上编辑环境变量的人已经可以执行它，因此没有真正的方法可以从这个角度保护它（至少没有自动化的方法）...还值得注意的是，您无法通过 HTTP 注入环境变量。

Answer 2

好吧，当 PHPSAPI 通过 cron 和 Web 服务器运行时，其值应该有所不同。

Answer 3

确保 php cron 作业安全的最佳方法是将 php 文件放在 non-public_html 文件夹中。

例如：

您的页面位于 /home/myuser/public_html/test.php

将其移动到 /home/myuser/test.php

并放入 cron 作业：

php -q /home/myuser/test.php

现在，没有用户可以从浏览器进入您的页面，只有 cron 作业可以使用它。

Answer 4

不是由某些匿名用户或必须登录的人执行的吗？

使用 x.509 客户端证书。