EC-CUBE / EC-CUBE/ec-cube

ZAPスキャン: CalendarController (mode=edit_inline) のスクリプト追加

Open
#6,675 0 comments 0 reactions 1 assignee Claimed by @zeniya0000 View on GitHub
Dominant language
PHP
Stars
788
Forks
719
Avg merge
3d 20h
Merged PRs (30d)
45

Description

## 概要

ZAPセキュリティスキャンにおいて、カレンダー設定画面(`/admin/setting/shop/calendar`)の `mode=edit_inline` をカバーするスクリプトが存在しません。

## 背景

PR #6619 のレビュー時に発見しました。管理画面で `mode` パラメータを使用するコントローラーを全件調査した結果、`CalendarController` のみスキャン対象外でした。

## 対象コントローラー

- `src/Eccube/Controller/Admin/Setting/Shop/CalendarController.php`
- ルート: `/admin/setting/shop/calendar` (GET, POST)
- `mode=edit_inline`: インライン編集モード(`handleRequest` をスキップし、個別の定休日データを更新)

## 必要な作業

1. `admin_shop_setting.zst` にカレンダー設定のリクエストを追加、または専用の `admin_calendar.zst` を新規作成
2. `mode=edit_inline` のPOSTリクエストを含むシーケンスを定義
3. 必要に応じて `.github/workflows/zaproxy.yml` のmatrixにターゲットを追加

## 参考

- 同じ `mode=edit_inline` を使用する `TaxRuleController` は `admin_tax.zst` でカバー済み

Contributor guide

Open the contributing guide

Assessment

This issue has not been assessed yet.

Get new issues in your inbox

A short digest of beginner-friendly GitHub issues.