David

Unterverzeichnisse kann man auch mit Filtern bedienen. Der / ist nicht unbedingt notwendig in der Filterliste. Ich sehe jedenfalls kein Problem mitOb man ggf. noch auf doppelte // prüfen muss, weiß ich jetzt aber auch nicht aus dem Stehgreif. Was unter anderem an folgendem liegen kann:
ich bevorzuge definitiv auch den Whiteliste-Ansatz. Man muss die Whitelist ja nicht zwangsläufig per Hand erstellen (und ich denke, das ist es, was ElronMCBong nicht an diesem Ansatz mag). Das kann man erledigen lassen, wenn sich der Daten/Dateibestand ändert. Oder während des deployments. Oder ... entdecke die Möglichkeiten.

Mister Ad

David

Wen und welches Problem meinst Du?

nikosch

Etwas komplizierter wirds wohl sein.
- Punkte im Scriptnamen sollten erlaubt sein (aber eben keine punkte in Folge, bzw. von // umschlossene)
- führendes / zeigt u.U. auf Server Root
...
Man sieht, mit Filtern muß man echt wissen, was man tut UND verzichtet auf folgende Vorteile
- unterschiedliche Subdirectories
- Ausschluß von existierenden Dateien (exakte Zuordnung)
- Aliasangaben, die auf dasselbe Script zeigen

__________________
--
One pixel is still too big. Please make it smaller. ASAP.

Initiative Mittelstand.
Die wichtigste Gestaltungsregel im Screendesign ist Pi mal Daumen des Arbeitgebers.
--

Flor1an

Kommt drauf an was man möchte. Will man nach dem MVC Pattern eine Controller Datei einbinden geht man davon aus dass diese alle in einem Ordner liegen. Dann kann man auf Unterordner verzichten. (Mal abgesehen davon dass man vielleicht eigene Module erstellen möchte die dann ihre eigenen Controller haben aber das ist ein anderes Thema, das steht dem jetzigen nicht im Wege.) Genauso braucht man in diesem Fall keine Punkte.

Anhand einer Whiteliste arbeite ich ungerne. Es ist doch deutlich einfacher sich eine Möglichkeit zu suchen die es erlaubt dynamisch die PHP Dateien einzubinden.

David

Warum zwangsläufig? Ich kann gut auf Punkte verzichten.
Deshalb wird ja auch ein Pfad vorangestellt, zum Beispiel per dirname(__FILE__)Geht meiner Meinung nach einfach durch Zulassen des Slashes. Nehme ich solange an, bis mir jemand ein Gegenbeispiel unter den gegebenen Bedingungen zeigt.
Das ist richtig. Mit der Beschränkung kann ich allerdings leben. Es gibt zugängliche Dateien und unzugängliche, nach aller Möglichkeit sollten die in getrennten Verzeichniszweigen aufgehoben werden.
Das ist auch richtig. Aber auch damit könnte ich im Zweifel leben. Meine Verben (REST) sind so eindeutig, dass dafür kein Alias benötigt wird

Aber alles berechtigte Einwände. Ich glaube zwar, man kann sie umschiffen. Aber zu welchem Preis? Mindestens ewige Wachsamkeit. Und dafür ist mir der "Gewinn" bei einem Filter zu gering.
Du bekommst Deine Whitelist sozusagen kostenlos dazu, wenn Du eine Sitemap erstellen lässt oder einen Mechanismus zum Prüfen der Konsistenz der Site einbaust (schon beim Entwickeln sinnvoll, im Zweifel stellt Dir die IDE das zur Verfügung).

ElronMCBong

Man man man ich hab hier ja richtig was ins Rollen gebracht^^
jetzt weiß ich auch woher die Leute ihre ganzen BeitragsZahlen her haben

Mal im Ernst, ich hatte damals rumgespielt und ausprobiert und war mir verdammt sicher das ich sowas
überhaupt gar nicht verwenden lässt. Ich bin mir auch verdammt Sicher das auf dem Damaligen Webserver sowas gar nicht möglich war und er mir gleich mit Schutzverletzung irgendwas entgegen kam - wenn ihr versteht was ich meine.


Mir ist das ehrlich gesagt absolut neu aber gut zu wissen das es geht ^^
Erstmal die Sicherheitslücke ausmerzen.
Ach und zum Array's anlegen, ich werd`s dann so machen das ich alle Files in einem Ordner liegen habe er die Dateien einliesst und automatisch die Array's anlegt. Anderes, also manuelles anlegen der Array's wäre mir zu zeitraubend.

Gut Nächtle

Flor1an

Das mit dem Array anlegen durch auslesen des Ordners ist ne gute Idee. Vielleicht solltest du das Array allerdings cachen, ich weiß nicht wie aufwendig es ist jedes mal einen Ordner einzulesen.

Und sowas mit ../../xxx ist durchaus möglich. Mag sein dass bei deinem Webhoster PHP nicht die Rechte hatte auf das Filesystem über deinem Ordner zuzugreifen, aber das muss nicht immer so sein!

ElronMCBong

das was ich meinte war mehr so gemeint:

Ordner/Ordner2/../

das würde ja bedeuten das ich in einen Ordner gehe und wieder zurück und genau das war nicht möglich sondern nur eine Ebene zurück oder in einen Unterordner...

David

Dann wird dort open_basedir gesetzt gewesen sein. Ansonsten spricht nichts gegen Ordner/Ordner2/../Ordner3/../../../Ordern99/quark.png