Обновлял сайт, казалось бы, стандартная задача, но с формой авторизации чуть не провалился. Сам апдейт прошёл нормально, версия не последняя, но поддержка ещё была. Как только проверил логин, заметил, что некоторые проверки не работают - CSRF-токены вроде обновляются, но в форму не вставляются нормально. В итоге зайти можно без них, что совсем плохо.

Погуглил, оказалось, в новой версии поменяли логику сессий, и старый способ генерации токенов конфликтует с защитой. Чтобы не рушить всё, вручную правил пару файлов, чтобы токен обновлялся и проверялся всегда. Ещё проконтролировал куки, добавил httponly и secure, их изначально не было, чтоб минимизировать риски.

На всё ушло несколько часов, а так могли получить уязвимость на входе. Такие мелочи обычно забывают при обновлении - думают, движок сменить и всё будет ок, а кастомы старые начинают глючить. Тут реально стоит самому глянуть в код, понять, где именно подводные камни с безопасностью, а не надеяться, что апдейт всё починит.

Кто ещё сталкивался с похожими проблемами при обновлении движков?