Dieselsepp

Hi,

kurz und knappe Frage bezüglich des Einbindens eines Javascript.

Spricht was dagegen, einen globalen Javascript in der Navigation anstelle der head/body-Bereichs einer Webseite einzubinden.
Damit somit gewährleistet wird, dass keiner den Script VOR dem eigentlichen Loginvorgang mittels Quellcode einsehen kann.

Gruß
Sepp

Mister Ad

Dormilich

wenn der Browser das JavaScript benutzen (können) darf, kann ein User das immer einsehen. die einzigen Möglichkeiten die ich da sehen sind:
- erst nach dem Login laden (nur in den geschützten Seiten)
- dynamisches Nachladen nach dem Login (ist aber kein einfaches "include" mehr)

aber mal ehrlich, wieviele Leute werden sich ausgerechnet für dieses script interessieren? und wenn sie sich interessieren, dann melden sie sich an und schauen es sich dann an.

Dieselsepp

Genau so ist geplant. Das Menü (js.script inclusive) und Content werden erst geladen nachdem der Login erfolgreich war.

Danke für die schnelle Antwort

ps. dabei handelt es sich um einen Verwaltungsscript, der nur bestimmten Personen zugänglich sein wird, automatische Anmeldung somit ausgeschlossen.

Manko10

Und weshalb sollte niemand das Skript ohne Login aufrufen dürfen? Stehen da vertrauliche Sachen drinnen? Dann handelt es sich ohnehin schon um Error by Design. Wenn es einfach nur darum geht, dass niemand das Skript „klauen“ soll, dann kann ich nur sagen: spare dir den Aufwand.
Außerdem lässt sich das Skript ja auch immer noch direkt per Hand aufrufen, auch wenn es nicht in die Seite eingebunden wird. Der Server müsste also auch vor Auslieferung des Skriptes prüfen, ob der User eingeloggt ist.

__________________
Refining Linux Advent Calendar series “24 Outstanding ZSH Gems”

Dieselsepp

sensibel in dem Sinne nicht, aber Teile des Scripts prüft die Feldeingaben die mittels einer Klassenfunktion bestimmte Konfigurationsdateien neu erstellt oder updatet. Und deshalb nehm ich an, dass es vll. besser ist, diese Feldbeschreibungen/namen nicht gleich offensichtlich in die Index zu klatschen.

Hab für bessere Lösungen stets ein offenes Ohr, sollte das Fehlplanung sein

Dormilich

wie Manko10 bereits sagte, wenn Unbefugte an das Script herankommen können ist es ein Designfehler, ansonsten lohnt es den Aufwand nicht.

Manko10

Regel #1: sollten in JavaScript-Dateien Daten drinnen stehen, die niemand sehen sollte, handelt es sich um ein Fehlkonzept.
Regel #2: siehe Regel #1.

__________________
Refining Linux Advent Calendar series “24 Outstanding ZSH Gems”

nikosch

Regel #3: Packe nichts in externes Javascript, das interne Zustände voraussetzt.

__________________
--
One pixel is still too big. Please make it smaller. ASAP.

Initiative Mittelstand.
Die wichtigste Gestaltungsregel im Screendesign ist Pi mal Daumen des Arbeitgebers.
--

ChrisB

Zwischen den beiden - Position des JavaScripts im Quellcode, und eingeloggt-Zustand - besteht überhaupt kein Zusammenhang.

__________________
RGB is totally confusing - I mean, at least #C0FFEE should be brown, right?

nikosch

Naja, wenn das Script php-dynamisch geschrieben wird, schon. Aber wie bereits ausgesagt, das allein bietet keine Sicherheit.

__________________
--
One pixel is still too big. Please make it smaller. ASAP.

Initiative Mittelstand.
Die wichtigste Gestaltungsregel im Screendesign ist Pi mal Daumen des Arbeitgebers.
--