Плагин [WindowsForum] Session Validator for Cloudflare 1.0.1

Session Validator для Cloudflare
Защитите свой форум XenForo с помощью интеллектуальной проверки сеансов

Обзор
Session Validator для Cloudflare — это легковесное дополнение XenForo 2.2+, которое проверяет сеансы пользователей и добавляет заголовки проверки для использования с правилами брандмауэра веб-приложений (WAF) Cloudflare. Это позволяет вам создавать сложные правила безопасности, различающие аутентифицированных участников форума, гостей и ботов.

Основные характеристики
Автоматическая проверка сеанса — проверяет сеансы XenForo на ранних этапах цикла запроса, до обработки любого контента
Заголовки безопасности — добавляет пользовательские заголовки HTTP, которые Cloudflare может читать для идентификации проверенных пользователей
Гибкая конфигурация — контролирует, какая информация раскрывается через заголовки с подробными параметрами вывода
Легкая производительность — минимальное воздействие с эффективными запросами к базе данных и дополнительным кэшированием
Конфиденциальность — подробный вывод можно отключить, чтобы ограничить раскрытую информацию
Защита от ботов — легко создавайте правила WAF для блокировки вредоносных ботов, разрешая при этом легитимным пользователям

Как это работает
Надстройка проверяет сеансы XenForo, проверяя:
Файлы cookie сеанса (xf_session, xf_user, xf_csrf)
Активность сеанса в базе данных
Статус аутентификации пользователя

На основе результатов проверки он устанавливает заголовки HTTP, которые Cloudflare может использовать в правилах WAF:

XF-Verified-User: true
XF-Verified-Session: true
XF-Session-Validated: 1735695120

Нажмите, чтобы раскрыть...

Примеры использования
Блокировка агрессивных ботов — создание правил, которые оспаривают или блокируют запросы без действительных сеансов
Защита от DDoS — более агрессивное ограничение скорости неаутентифицированных пользователей
Предотвращение копирования контента — требование действительных сеансов для доступа к определенному контенту
Расширенные правила безопасности — создание сложных правил WAF на основе статуса аутентификации пользователя
Области только для участников — принудительное использование аутентификации на границе с помощью Cloudflare

Пример правила Cloudflare WAF
Блокировка запросов к вложениям без действительного сеанса

(http.request.uri.path contains "/attachments/" and not http.request.headers["xf-verified-user"][0] eq "true")<br>Action: Block

Нажмите, чтобы раскрыть...

Параметры конфигурации
Включить/Отключить — включить/выключить проверку сеанса
Окно активности — установить, как долго пользователи считаются активными (по умолчанию: 24 часа)
Подробный вывод — включить дополнительные заголовки с данными пользователя (ID, имя пользователя, статус персонала)

Технические сведения
Интеграция через прослушиватели событий XenForo (app_setup, app_admin_setup, app_api_setup)
Проверка по таблице xf_session_activity
Поддерживает как обычные, так и административные сеансы
Совместимость со встроенными системами кэширования XenForo
Чистое удаление без изменений базы данных

Требования
XenForo 2.2.0 или выше
PHP 7.2 или выше
Учетная запись Cloudflare (Free, Pro, Business или Enterprise)
Базовые знания правил Cloudflare WAF

Установка
Загрузить и извлечь дополнение
Загрузить в src/addons/WindowsForum/SessionValidator/
Установка через Admin CP → Дополнения
Настройка параметров в Admin CP → Параметры → Проверка сеанса
Создание правил Cloudflare WAF с использованием предоставленных заголовков

Поддержка
Это дополнение предоставляется по лицензии MIT. Поддержка сообщества доступна в этой теме.

Журнал изменений
Версия 1.0.0 (текущая)
Первоначальный выпуск
Основная функциональность проверки сеанса
Настраиваемый подробный вывод
Полная документация включена