a-blog cms PHP API Reference

LicenseResponseValidator

in package

• Application

アクティベーションサーバーからのライセンス応答 JSON を検証する。

Table of Contents

Constants

ALLOWED_EDITIONS  = ['standard', 'professional', 'enterprise']

ALLOWED_PAYMENTS  = ['active', 'unpaid', '']

DOMAIN_PATTERN  = '/\A[A-Za-z0-9._\-:]{1,255}\z/'

domain は LICENSE_DOMAIN として「登録済みライセンスドメイン（親）」に使われ、実アクセス host が そのサブドメインでよい設計（ablogcms/php/main.php:1321 の substr によるサフィックス一致判定、 ablogcms/php/Services/Blog/Helper.php の strpos 判定）のため、要求時に送った DOMAIN との完全一致は 強制しない。ここでは PHP ソース注入に使われる文字（引用符・バックスラッシュ等）を 除いた文字種のみ検証する。

EDITION_PATTERN  = '/\A[a-z0-9_-]{1,32}\z/'

edition の文字種検証。ホワイトリスト判定の前段として、危険な文字列でないことだけを確認する。

MAX_BLOG_LIMIT  = 2147483647

UNLIMITED_NUMBER_OF_USERS（Application::__construct で定義される定数）と同じ意味の値だが、 このクラスをグローバル定数から独立させるためにここで複製している。

PLAN_PATTERN  = '/\A[^<>"\'\\\\{}\x00\r\n]{1,255}\z/u'

plan には分岐条件として消費されている値の集合が存在しない（class docblock 参照）ため、 人間可読なプラン名（日本語・空白・ピリオド等）を広く許可しつつ、PHP ソース注入および %{SUBSCRIPTION_PLAN} 経由の HTML 注入に使われる文字だけを除外する。 ACMS/function.php の setGlobalVars() は %{...} 変数を json_decode('"' . $val . '"') に通して バックスラッシュエスケープを展開してから str_replace で生置換するため、バックスラッシュは 特に必須で除外する。

Methods

validate()  : array{domain: string, hash: string, blogLimit: int, expire: string, plan: string, payment: string, edition: string, optionSubdomain: int|null, optionPlusdomain: int}

toNonNegativeInt()  : int|null

旧実装は引用符なしの数値連結だったため、サーバーが数値文字列（例: "10"）を返しても 正しい PHP として動作していた。int 型のみを要求すると、これまで動いていた応答形式を 拒否してしまう可能性があるため、数値文字列も受理して int にキャストする。 licenseHasUnlimitedUsers()（ACMS/function.php）が LICENSE_BLOG_LIMIT を strict 比較するため、 型を int に統一することは必須。

validateBlogLimit()  : int

validateDomain()  : string

validateEdition()  : string

validateExpire()  : string

validateHash()  : string

validateOption()  : array{subdomain: int|null, plusdomain: int}

validatePayment()  : string

validatePlan()  : string