WP-UserOnline

Přehled změn

4.0.0

• OPRAVENO: Zaznamenaná adresa mohla být URL relativní k protokolu, což je v podstatě absolutní adresa maskovaná jako relativní. https://example.com//evil.com/ byla analyzována s hostitelem tohoto webu, prošla kontrolou hostitele a byla uložena jako //evil.com/ a z funkce esc_url() vyšla beze změny — veřejný záznam tak obsahoval odkaz na cizí web. Úvodní lomítka se nyní srážejí na jedno, a to jak v odeslané URL, tak v REQUEST_URI
• OPRAVENO: Seznam nezveřejňoval polohu návštěvníka, který se nacházel v administračním rozhraní, ale zveřejňoval jeho odkazující stránku z téže větve, aniž by se na ni vůbec podíval. Každý, kdo klikl na odkaz ve front-endu z administrátorské obrazovky, tak zveřejnil celou administrátorskou URL — obrazovku, ID příspěvku a _wpnonce — anonymním čtenářům, protože navigace ze stejného původu přenáší podle zásad WordPressu pro referrer celou URL. Odkazující adresa je nyní testována samostatně a oba testy porovnávají s vlastní administrátorskou cestou webu namísto doslovného řetězce wp-admin, který se nikdy neshodoval na webu, který ji přesunul
• OPRAVENO: Jedna adresa mohla zaplnit tabulku a trvale nadhodnocovat počet „nejvíce uživatelů online v historii“ – údaj, který se nikde neresetuje – tím, že při každém požadavku měnila svůj user agent, čímž obcházela deduplikaci a zanechávala jeden řádek za sekundu, který zůstal zachován po celou dobu timeoutu. Nyní se uchovává maximálně dvacet řádků na jednu adresu; wp_useronline_max_per_address zvyšuje tento limit, zatímco hodnota nula jej ruší
• OPRAVENO: Obnovovací koncový bod provádí ověření pomocí souboru cookie, takže při odeslání formuláře z jiné stránky došlo k jeho spuštění pod účtem přihlášeného uživatele a jeho záznam byl nahrazen stránkou a názvem podle volby útočníka, které byly zveřejněny pod jménem tohoto uživatele. Přihlášený uživatel nyní potřebuje jednorázový kód (nonce); odhlášený uživatel jej stále nepotřebuje, protože anonymní jednorázový kód je sdílen všemi anonymními návštěvníky a nic nedokazuje.
• NOVINKA: Příkaz WP-CLI wp useronline — list a count. Příkaz pouze čte, nikdy nezapisuje.
• NOVINKA: REST API useronline/v1 pro načítání počtů a pro kontrolu aktivity návštěvníků. Akce admin-ajax.php wp_useronline zůstává beze změny a je i nadále podporována.
• NOVINKA: Blok Uživatelé online v části „Widgety“ v editoru, který zobrazuje stejný seznam jako [page_useronline]. Krátký kód zůstává beze změny a je i nadále podporován; tento blok je doplňkem k němu, volá stejný kód a při vykreslení nezaznamenává žádné uživatele.
• AKTUÁLNÍ ZPRÁVA: Vyžaduje WordPress 6.8 a PHP 8.2, místo dosavadních verzí 6.0 a 7.4.
• AKTUÁLNÍ ZPRÁVA: Všechny filtry spouštěné tímto pluginem jsou přejmenovány a původní názvy jsou odstraněny, a to bez přechodných řešení pro zastaralé funkce: useronline_bots, useronline_buckets, useronline_custom_template, useronline_page, useronline_display_user a useronline_trust_proxy se všechny mění na wp_useronline_*. Tím se ruší slib uvedený v seznamu změn verze 3.0.0, že filtry zůstanou beze změny, a proto je tato verze označena jako 4.0.0 namísto 3.0.1.
• AKTUÁLNÍ ZPRÁVA: USERONLINE_TRUST_PROXY se nyní nazývá WP_USERONLINE_TRUST_PROXY. Web, který stále používá starý název, přestane bez varování důvěřovat svému proxy serveru a začne u každého návštěvníka zaznamenávat jeho adresu. Viz často kladené otázky.
• AKTUÁLNÍ ZPRÁVA: Plugin má jednu obrazovku, která se nachází na adrese admin.php?page=wp-useronline v hlavní nabídce WP-UserOnline, a obsahuje tři záložky: Users Online, Settings a Templates. Dříve se přehled nacházel v části Dashboard a nastavení v části Settings.
• AKTUÁLNÍ ZPRÁVA: Každá záložka nyní vyžaduje manage_options. Seznam online uživatelů dříve vyžadoval pouze list_users. Nový filtr wp_useronline_capability tuto funkci obnovuje, a to výhradně pro tuto záložku.
• AKTUÁLNÍ ZPRÁVA: Řádky s možnostmi byly přejmenovány. useronline se mění na wp_useronline_options a useronline_most se mění na wp_useronline_most, který se již automaticky nenačítá. Vaše nastavení se automaticky přenesou při prvním načtení po aktualizaci.
• AKTUÁLNÍ ZPRÁVA: Společný řádek s volbami stats_display bez předpony již není načítán. Integrace WP-Stats je nyní nastavením tohoto pluginu samotného a WP-Stats žádá každý plugin o jeho sekci prostřednictvím filtru wp_stats_sections, místo aby četl možnosti jiných pluginů. Aktualizujte všech sedm pluginů podporujících WP-Stats najednou; viz Oznámení o aktualizaci.
• AKTUÁLNÍ ZPRÁVA: Všechny třídy byly přejmenovány na WP_UserOnline_*. Třídy UserOnline, UserOnline_Template, UserOnline_Options a ostatní již pod těmito názvy neexistují.
• AKTUÁLNÍ ZPRÁVA: Skript pro aktualizaci se nachází na adrese js/wp-useronline.js namísto useronline.js, jeho lokalizovaný objekt je wpUserOnlineL10n namísto useronlineL10n, a akce admin-ajax, kterou odesílá, je wp_useronline namísto useronline.
• NOVINKA: Značky aktualizace se nacházejí ve vlastním řádku parametrů wp_useronline_version, který obsahuje přesně plugin a db, a jsou zapsány najednou v rámci jedné aktualizace na konci procesu aktualizace.
• NOVINKA: Integrace WP-Stats se nastavuje přímo v nastavení tohoto pluginu, na záložce „Nastavení“ v části „WP-Stats“, nikoli pomocí zaškrtávacího políčka přidaného na stránku nastavení WP-Stats.
• NOVINKA: wp_useronline_capability filtruje oprávnění požadované každou záložkou, přičemž kontext udává, která z nich o něj žádá. Samotná stránka je zaregistrována pod oprávněním „report“ a každá záložka kontroluje své vlastní oprávnění, takže rozšíření seznamu nemůže předat formulář nastavení.
• NOVINKA: Šablony se nyní nacházejí na samostatné záložce „Šablony“ a nikoli pod nastavením. Obě záložky ukládají jedno nastavení do jednoho řádku možností a sanitizér sloučí údaje zadané na záložce s těmi, které jsou uloženy, takže uložení na jedné záložce nemůže vymazat údaje na druhé.
• NOVINKA: Funkce „Obnovit výchozí nastavení“ je nyní plnohodnotný skript zařazený do fronty, js/wp-useronline-admin.js, a nikoli kód vložený přímo do stránky.
• NOVINKA: JavaScript je testován pomocí nástrojů vitest a jsdom a sada testů pro PHP běží jak v síti, tak i na jednotlivém webu.
• ZMĚNA: WP_UserOnline_Install je vlastníkem tabulky, migrace i značek, takže instalace a odinstalace jsou umístěny vedle sebe a ani jedna z nich se nemůže posunout.
• OPRAVENO: Značky aktualizace již nejsou uloženy v poli nastavení. Byly uloženy pod vyhrazeným klíčem versions, který formulář nastavení nikdy neodesílal, takže při každém uložení bylo nutné je ručně zachránit z uložené hodnoty — což je příčinou chyby ve verzi 3.0.0, kdy nebylo možné značku vůbec uložit po načtení obrazovky nastavení. Nyní mají vlastní řádek a nástroj pro čištění nastavení se jimi nezabývá.
• OPRAVENO: Obrazovka nastavení již nevytváří inline atribut style ani inline blok <script>.
• OPRAVENO: Zaškrtávací políčko WP-Stats odesílá explicitní hodnotu „vypnuto“. Nezaškrtnuté políčko neodesílá vůbec nic a sanitizér zachovává vše, co nebylo odesláno pomocí klávesy Tab, takže bez této opravy by se sekce mohla zapnout a už nikdy vypnout.
• OPRAVENO: Periodická aktualizace již nevnořuje kontejner useronline-details do sebe sama. Podrobná zpráva je vrácena jako celkový kontejner a aktualizace zapsala tuto odpověď do kontejneru, ve kterém se již nacházela – takže stránka ponechaná otevřená získávala při každém vypršení časového limitu další kopii stejného ID prvku, přičemž se pokaždé posunula o úroveň hlouběji. Nedošlo k žádné chybě a čísla se nadále aktualizovala, ale značka byla neplatná a jakýkoli CSS kód šablony nebo JavaScript vázaný na #useronline-details odkazoval po první aktualizaci na jiný prvek. Aktualizace nyní tento kontejner nahrazuje, místo aby jej vyplňovala.
• POZNÁMKA: Šablonové tagy, zkrácený kód [page_useronline] a identifikátory prvků useronline-count, useronline-browsing-site, useronline-browsing-page a useronline-details zůstávají beze změny. Všechno ostatní, co bylo veřejně přístupné, bylo přesunuto; viz Oznámení o aktualizaci.
• POZNÁMKA: Popisky „on“, „url“ a „referral“ v podrobném seznamu nyní obsahují kontext pro překladatele, protože k překladu nestačí jedno slovo vytržené z kontextu. Tyto tři msgidy se změnily, takže stávající překlady těchto výrazů se do doby, než budou znovu přeloženy, zobrazují v angličtině.