本文介绍在 moodle 插件开发中，如何通过标准 api 安全地限制 php 页面（如 clear.php）仅允许站点管理员访问，防止未授权用户（包括学生、访客等）直接通过 url 访问敏感操作。
本文介绍在 moodle 插件开发中，如何通过标准 api 安全地限制 php 页面（如 clear.php）仅允许站点管理员访问，防止未授权用户（包括学生、访客等）直接通过 url 访问敏感操作。
在 Moodle 插件开发中，为后台管理或数据清理类页面（例如用于清空测试表的 clear.php）添加权限控制是至关重要的安全实践。仅依赖前端链接隐藏或用户名判断（如检查是否为 guest）完全不可靠——攻击者可绕过界面，直接在地址栏输入 URL 触发危险操作。Moodle 提供了成熟、内置的权限验证机制，应始终优先使用。
✅ 正确做法：组合使用 require_login() 与 is_siteadmin()
在敏感页面（如 clear.php）顶部，必须且仅需两行核心代码：
<?php
require_once(__DIR__ . '/../../config.php');
require_login(); // 强制用户登录（拒绝未登录/访客访问）
if (!is_siteadmin()) {
throw new moodle_exception('nopermissions', '', '', get_string('siteadmin', 'role'));
}- require_login() 确保用户已通过身份认证（排除访客及未登录状态）；
- is_siteadmin() 是 Moodle 官方推荐的权威判断方式，它基于数据库中的 mdl_user.admin 字段和 mdl_role_assignments 关系，准确识别具有站点管理员角色（Site Administrator）的用户，而非简单比对用户名或角色名称——这能正确覆盖多管理员、自定义管理员角色等生产环境场景。
⚠️ 注意事项：
- 切勿使用 is_admin()：该函数已废弃（自 Moodle 3.0+），行为不可靠，可能返回错误结果；
- 不要自行查询数据库或检查 $USER->username：既不安全也不符合 Moodle 最佳实践，且无法处理代理管理员、能力继承等复杂权限模型；
- 务必调用 require_once('../../config.php')：确保 Moodle 核心环境加载，否则 require_login() 和 is_siteadmin() 将无法工作；
- 若需更细粒度控制（如仅允许某类管理员执行），应使用能力（Capability）系统，例如 require_capability('moodle/site:config', context_system::instance())，但针对“站点级敏感操作”，is_siteadmin() 是最直接、最安全的选择。
✅ 补充建议：增强操作安全性
对于执行数据库修改的操作（如清空表），还应额外考虑：
- 添加 CSRF 保护：使用 confirm_sesskey() 验证请求来源；
- 提供确认页面（而非直连执行），避免误点击；
- 记录审计日志：调用 add_to_log() 或使用 \log\manager::get_event() 记录管理员操作；
- 在 CLI 模式下也应兼容（如需定时任务调用），可补充 CLI_SCRIPT 判断。
遵循以上方案，即可确保 clear.php 等敏感页面真正实现“仅管理员可见可执行”，兼顾安全性、可维护性与 Moodle 平台规范。
