Movable Type Free版 セキュリティー対策 Ubuntu 24.04

1. ドメインによるアクセス制限を追加。

MT free版は、cgi-bin のフォルダーが1つで、
user、 ad みたいに別れていない。なんとも臭い!!

なので、.htaccess を使っての Domain制限自体ができん!!
仕方がないので、MT の管理者 script を修正して、Domain 制限を今回、Google Ai に聞きながら、組み込んでみた。

1) mt.cgi の修正。
mt.cgi を下記の様に修正します。 #!/usr/bin/perl -w use strict; use lib $ENV{MT_HOME} ? "$ENV{MT_HOME}/lib" : 'lib'; use lib 'extlib'; # 1. 起動しようとしているアプリの型（クラス名） my $app_class = 'MT::App::CMS'; if ($app_class eq 'MT::App::CMS') { my $remote_host = $ENV{REMOTE_HOST} || ''; # 💡【修正】MTのシステムを起動せず、直接 mt-config.cgi から設定値を読み出す my $allowed = ''; if (open my $fh, '<', 'mt-config.cgi') { while (my $line = <$fh>) { # 行頭のスペースを無視し、AllowedAdminDomain から始まる行を探す if ($line =~ /^\s*AllowedAdminDomain\s+(.+)$/i) { $allowed = $1; $allowed =~ s/\s+$//; # 末尾の余分な改行やスペースを削除 last; } } close $fh; } # 安全装置 if (!$allowed) { print "Status: 500 Internal Server Error\r\n"; print "Content-Type: text/html; charset=utf-8\r\n\r\n"; print "<h1>500 Internal Server Error</h1><p>セキュリティ設定(AllowedAdminDomain)がmt-config.cgiに見つからないか、ファイルが読めません。</p>"; exit; } # 判定：許可ドメインで終わっていない場合は403遮断 if (!$remote_host || $remote_host !~ /\Q$allowed\E$/i) { print "Status: 403 Forbidden\r\n"; print "Content-Type: text/html; charset=utf-8\r\n\r\n"; print "<h1>403 Forbidden</h1><p>管理者ページへのアクセスは許可されていません。</p>"; exit; } } #use MT::Bootstrap App => 'MT::App::CMS'; require MT::Bootstrap; MT::Bootstrap->import( App => $app_class );

2. mt-config.cgi の最後に、下記コードを追加して、
許可 domainn を登録します。
AllowedAdminDomain .your-domain
注1) 先頭に、. を付けて!!
注2) 本機能を有効にするには、お使いのサーバーが、 DNS 逆引きを有効にしていて、
環境変数 $ENV{REMOTE_HOST}
に、接続 client の情報を設定しておいてくれる必要があります。
注2) ファイルを修正するときは、必ず、オリジナルファイルを、別名で、バックアップしておいてください!!
もし、うまく行かないときは、バックアップから元に戻せば、回復します。

以上ぞね!!

3. あと、 Free 版の基本として、
ブログ記事に対する、第三者の書き込みの許可を、決してしないこと。
第三者が出来ることは、検索機能 だけにする事。
そうすれば、 Movable Type は、ブログ記事は、全て html ファイル吐き出しだから、一応案全!!
検索キーワードへの、 SQL Injection は、ローカル環境で、確認して、一応大丈夫みたい。

ただし、どうしても心配な方は、Google Ai に聞いて、組み込んでみてください。
多分、
extlib/Data/ObjectDriver/SQL.pm
sub add_where {
に、 SQL Injection 対策コードの組み込み方法を教えて?
とか聞けば、教えてもらえると思う!!

おんちゃんは、公開版には、念のため入れているけど!!

そうすると、 -- が検索出来ない不具合は、ある。
ただし、オリジナル版で、 -- を検索コードにしていすると、
ヒットするページ自体に、 -- が無いページが出てくる。
なにか、内部で、起こっているかも知れない。
やはり、検索機能にも、SQL Injection 対策の組み込みは、必要かも?

4. 序に、blog の Top の、index.html の下部に、ページめくり のリンクを付けた。
google ai に聞いたら、プラグインの PageBute.pl が、あるそうだが、
これは、使いものにならん。
おんちゃんの好みとしては、 top の /blog/index.html は、1つだけにして、
2ページ目からは、mt_search.cgi に表示させる。
仕方がないので、googel ai に、MT の plugin の作り方を、教えてもらって、自分で、作ることにした。

手順1. 今回の、Pulgin の、 pl ファイルを下記に作ります。
plugins/SearchPager/SearchPager.pl
package MT::Plugin::SearchPager; use strict; use vars qw( $MYNAME $VERSION ); $MYNAME = 'SearchPager'; $VERSION = '1.0'; use base qw( MT::Plugin ); my $plugin = __PACKAGE__->new({ id => $MYNAME, key => $MYNAME, name => $MYNAME, version => $VERSION, description => 'トップページに全件検索CGIへのページめくりリンクを吐き出すプラグイン', # 💡【ここがMT4の正しい登録方法！】 # registry の中に、追加したいタグの種類と関数名を定義します。 registry => { tags => { function => { 'SearchPagerLinks' => \&_hdlr_search_pager_links, }, }, }, }); MT->add_plugin($plugin); # リンクを自動計算して出力する実処理 sub _hdlr_search_pager_links { my ($ctx, $args) = @_; my $blog = $ctx->stash('blog') or return ''; my $blog_id = $blog->id; # 💡1ページあたりの表示件数（デフォルトは20件） my $limit = $args->{limit} || $blog->entries_on_index || 20; # 💡ブログ内の全記事数を取得する（MT4の標準機能） my $total_entries = MT->model('entry')->count({ blog_id => $blog_id, status => 2 }); # 2=公開記事 return '' if $total_entries <= $limit; my $html = '<div class="content-nav">'; # 1ページ目（自分自身）はただの数字 $html .= '<strong>1</strong> '; # 2ページ目以降の数をループで計算してリンクを作る my $page = 2; my $offs=0; my $search_s =""; for (my $offset = $limit; $offset < $total_entries; $offset += $limit) { $offs= $limit * ($page-1); $search_s = "/cgi-bin/mt/mt-search.cgi?search=%25&IncludeBlogs=1&limit=".$limit."&offset=".$offs; $html .= qq|<a href="$search_s">$page</a> |; $page++; } # 「次 ＞」のリンク（常に2ページ目のoffsetを指定） $offs= $limit * 1; $search_s = "/cgi-bin/mt/mt-search.cgi?search=%25&IncludeBlogs=1&limit=".$limit."&offset=".$offs; $html .= qq|<a href="$search_s" rel="next">次 ></a>|; $html .= '</div>'; return $html; } 1;

手順2. index.html のテンプレートに、今回の Plugin の使用を、記述します。
下記は、抜粋です。
.... <div id="alpha"> <div id="alpha-inner"> <mt:Entries> <mt:Ignore><!-- Use the Entry Summary module for each entry published on this page --></mt:Ignore> <$mt:Include module="ブログ記事の概要"$> </mt:Entries> <!-- 💡これだけで、記事数に応じて自動計算されたCGIリンクがパッと出ます！ --> <!-- おすすめの書き方（MT4標準スタイル） --> <$MTSearchPagerLinks$> ...

この後、サイトを再構築すれば、
/blog/index.html
の下部に、ページめくりのリンクが出ると思う。

注) 2 ページ目からは、 mt_search.cgi で、 "%" で、ページめくりをしているので、
上部に、"「%」と一致するもの" の表示がなされます。
これが、目障りなら、
テンプレート、検索結果 から、該当部分を、コメントにしとうせ!!
<mt:IfStraightSearch> <!-- 「<$mt:SearchString$>」と一致するもの --> <!-- test by nishi 2026.11.1 --> <!-- 💡もし検索キーワードが「%」だったら、何も表示しない（偽装する） --> <MTIf tag="MTSearchString" like="%"> <!-- ここは空欄（トップページの記事一覧っぽく見せる） --> <MTElse> <!-- 普通のキーワードの時は、今まで通り検索結果のタイトルを出す --> <h2>「<$MTSearchString$>」の検索結果</h2> </MTIf> </mt:IfStraightSearch>

以上!!