Clemensius Webplugin

[Kurtiii]

---

Hallo liebe PHP.de Community!

Wir möchten euch heute unser neustes Projekt vorstellen:
das Clemensius Webplugin (CWP).

Worum geht es?
CWP kann blitzschnell auf jedem beliebigen Webspace installiert werden.
Nach der Installation kann der Webseitenbesitzer auf das Adminpanel von CWP
zugreifen und damit sog. Addons installieren. Und hier ist der Punkt: wir suchen interessierte
PHP-Tüftler die gerne ein kleines Addon entwickeln wollen.

Was ist ein Addon genau?
Ein Addon soll die Webseite des Benutzer verbessern.
Beispiele dafür sind z.B. das Icon-Bibliotheken (wie MDI oder FontAwesome) mit einem klick installiert und
eingebunden werden können. Das war jedoch nur ein Beispiel. Eurer Kreativität wollen wir keine Grenzen setzen.
Wie wäre es z.B. mit einem Minispiel oder einem Uhr-Widget?

Wie erstelle ich ein Addon?
Auch dies ist denkbar simple.
Wir wollen es euch, als Entwickler, nicht unnötig schwer machen und gleichzeitig dem Benutzer höhsten Komfort geben.
Auf unserer Webseite (https://clemensius-webplugin.de) könnt ihr euch einfach ein Entwicklerkonto erstellen.


Nachdem ihr euch ein Entwicklerkonto erstellt habt (Kostenlos und in einer Minute fertig), könnt ihr direkt loslegen. Ihr könnt eure Addons online entwickeln oder auf eurem lokalem Server und danach hochladen (Menu -> Meine Addons -> Addon erstellen) .


Nachdem ihr euer Addon hochgeladen habt, erscheint es in eurer Addonübersicht (Menu -> Meine Addons) und kann jetzt von allen Benutzern heruntergeladen werden die die AddonID besitzen.
Wenn ihr euer Addon veröffentlichen wollt, klickt auf den Punkt "Veröffentlichen" in der Addonübersicht. Danach wird euer Addon geprüft und in eine öffentliche Liste eingetragen. Wenn dies abgeschlossen ist (max. 2 Werktage), können alle CWP-Benutzer dein Addon über ihr Adminpanel installieren.

Anmerkung 2020-04-29 200443.png

Was bekommt man als Entwickler?
Wir möchten uns für jedes veröffentlichte Addon herzlichst bedanken.
Jeder der mindestens ein Addon veröffentlicht hat, bekommt einen
Lizenzschlüssel mit dem er sein CWP-Adminpanel personalisieren kann.
Es sind nur kosmetische Features damit CWP weiterhin für alle gleich bleibt.
Anmerkung 2020-04-29 200952.png
Schlusssatz:
Wir hoffen wir konnten euch ein bisschen für unser Projekt begeistern und wünschen uns, dass es ein gutes Communityprojekt wird.
Dieses Projekt hat sehr viel Arbeit und Zeit gefressen. Trotzdem bleibt das Clemensius Webplugin kostenlos.

Gerne freuen wir uns über eure Meinung. Bitte bleibt dabei Konstruktiv und Objektiv.


Wichtige Links:

• Offizielle Webseite (von CWP): https://clemensius-webplugin.de
• Offizielle Dokumentation: https://wiki.clemensius.de

Gibt es noch Fragen?

Gerne beantworten wir alle eure Fragen. So könnt ihr uns kontaktieren:

• Per PN auf php.de
• Indem du auf diesen Forenpost antwortest
• WhatsApp: 034466-249787
• E-Mail: kontakt@clemensius.de

Habt einen schönen Tag und liebe Grüße aus dem wunderschönen Naumburg (Saale),

euer Clemensius Team.

[Kurtiii]

Wenn jemand Hilfe braucht kann er sich gerne bei uns melden!

[tk1234]

Wenn jemand Hilfe braucht kann er sich gerne bei uns melden!

Mir ist nicht so ganz klar wofür das ganze eigentlich gut sein soll und was man als Entwickler davon haben soll (nein, der Schlüssel kann es nicht sein, warum wisst ihr hoffentlich selbst).
Ich kann allerdings nur *dringend* davon abraten das Tool zu installieren, bei sowas:

$delete = $_GET['file'];
unlink("../addons/$delete"); 

krempelt es einem die Fußnägel hoch. Und nein, ein Vergleich der IP ersetzt keinen Login per Passwort! So Dinge wie falsche Kodierung, defekter HTML-Code oder nicht vorhandene Dokumentation sind da auch schon egal …

[Kurtiii]

Mir ist nicht so ganz klar wofür das ganze eigentlich gut sein soll und was man als Entwickler davon haben soll (nein, der Schlüssel kann es nicht sein, warum wisst ihr hoffentlich selbst).
Ich kann allerdings nur *dringend* davon abraten das Tool zu installieren, bei sowas:

$delete = $_GET['file'];
unlink("../addons/$delete"); 

krempelt es einem die Fußnägel hoch. Und nein, ein Vergleich der IP ersetzt keinen Login per Passwort! So Dinge wie falsche Kodierung, defekter HTML-Code oder nicht vorhandene Dokumentation sind da auch schon egal …

Hallo, tk1234.

Wir verstehen nicht wo sich bei deiner genannten PHP-Stelle ein Fehler befinden soll.
Diese Seite ist nur für angemeldete Benutzer aufrufbar und stellt nach unserer
Einordnung kein Sicherheitsrisiko dar. Jedoch nehmen wir die anderen Punkte wir fehlende
Dokumentation oder falsche Kodierung sehr ernst. Wir freuen uns immer über konstruktive Kritik
und sind schon dabei so viele Fehler wie möglich zu lösen. Wir würden uns sehr über eine Antwort
freuen in der du uns einmal sagst wo HTML-Code defekt ist. Aufgrund der Coronakriese können wir derzeit
nicht ins Büro und arbeiten im Homeoffice. Das erschwert die Zusammenarbeit etwas. Wir sind aber zuversichtlich
das wir deine Probleme lösen können!

Schönen Tag der Arbeit! Dein Clemensius Team!

[hellbringer]

Wir verstehen nicht wo sich bei deiner genannten PHP-Stelle ein Fehler befinden soll.
Diese Seite ist nur für angemeldete Benutzer aufrufbar und stellt nach unserer
Einordnung kein Sicherheitsrisiko dar.

Dann habt ihr das falsch eingeordnet. Es ist eine Leichtigkeit von außen einen Link mit GET-Parametern in einem Browser einzuschleusen.

Einfach immer die Eingaben und Kontextwechsel korrekt behandeln, dann gibts auch keine Probleme. Ist auch wesentlich einfacher also bei jedem Einzelfall zu überlegen, ob es jetzt "notwendig" ist oder nicht. Einfach immer machen. Spart Zeit und reduziert die Fehleranfälligkeit.

[tk1234]

Wir verstehen nicht wo sich bei deiner genannten PHP-Stelle ein Fehler befinden soll.
Diese Seite ist nur für angemeldete Benutzer aufrufbar und stellt nach unserer
Einordnung kein Sicherheitsrisiko dar.

Wie hellbringer schon schrieb ist eure Einordnung falsch. Gefährlich falsch! Was passiert wohl wenn du die Seite mit ?file=../config.php aufrufst? Richtig, die Einstellungsdatei ist weg.
Die Seite ist nicht nur für angemeldete Benutzer aufrufbar sondern für jeden der die IP hat die in der der config.php steht. Die kann sich ändern und es können auch mehrere User die gleiche haben. Ich habe nach außen nur eine IPv6, die IPv4 wird vom Provider simuliert o.ä. (frag mich nicht wie das genau funktioniert), ich würde also nicht ausschließen dass es noch mehr Leute gibt die die gleiche IPv4 haben wie ich. Sicher ist es auf keinen Fall das so zu lösen, ihr solltet unbedingt auf Passwort umstellen!
Aber selbst wenn der "Schutz" sicher wäre: die gefährlichsten Angriffe kommen von innen. Daten von außen musst du *immer* prüfen/behandeln, traue niemandem!

Jedoch nehmen wir die anderen Punkte wir fehlende
Dokumentation oder falsche Kodierung sehr ernst.

zum Thema falsche Kodierung: wenn man überall konsequent UTF-8 verwendet kann man sich die Verstümmelung von Umlauten (und sonstigen Zeichen wie ») sparen.

Wir freuen uns immer über konstruktive Kritik
und sind schon dabei so viele Fehler wie möglich zu lösen.

Dann gleich mal noch ein paar Dinge (neben dem was sonst in diesem Posting steht):
- warum schließt ihr den PHP-Bereich ständig um ihn zwei leere Zeilen weiter unten wieder zu öffnen? Dadurch werden euch die header-Aufrufe am Ende der upload.php um die Ohren fliegen. Generell solltet ihr ?> garnicht verwenden, auch nicht am Dateiende (außer es soll HTML ausgegeben werden natürlich)
- <?php echo $cwptest_vtxt;?> geht auch kürzer: <?=$cwptest_vtxt?>
- das Verarbeiten der Daten sowie deren Ausgabe ist alles wild durcheinander. Erst erhaltene Daten holen, dann diese Verarbeiten bzw. auszugebende Sachen holen und erst dann alles ausgeben ->EVA-Prinzip
- wilde Mischung aus deutsch und englisch im Code (auch die Kommentare). Zum Teil sieht es etwas zusammenkopiert aus …
- wieso die Krücke mit den .sphp-Dateien auf eurem Server? Man kann durchaus auch Dateien auf .php direkt ausliefern oder auch einfach ein Script aufrufen und ihm die auszuliefernde Datei übergeben (Vorsicht, dafür sorgen dass nicht alles ausgeliefert werden kann!)
- in der update.php werden zweimal direkt hintereinander config.php und cwpstorage.php eingebunden sowie die Version von eurem Server geholt, warum?
- die Methode des Updates ist wenig sinnvoll: ein Update sollte Einstellungen nicht anfassen, ihr überschreibt die einfach.
- das mit der Lizenz in der settings.php ist nicht euer ernst, oder?
- die cwpfull.php verweist im Kommentar am Seitenanfang auf die Nutzungsbedingungen unter https://clemensius.de/legal - dort steht aber nichts …

Wir würden uns sehr über eine Antwort
freuen in der du uns einmal sagst wo HTML-Code defekt ist.

Der Validator ist da immer hilfreich. Es sind aber weniger die dort angezeigten Fehler sondern eher das was semantisch falsch ist (z.T. aus euer Seite, z.T. aus CWP):
- akute Divitis (extensive Verwendung von <div>) was wohl teilweise Bootstrap geschuldet ist - trotzdem wären einige Elemente gerne z.B. <main> oder <section>. Und vergiss dass es <center> gibt. Dafür gibt es text-align und das sollte auch sehr sparsam eingesetzt werden, eure Datenschutzerklärung ist so ziemlich unlesbar.
- <html lang="en"> obwohl der Inhalt auf deutsch ist
- <br> statt margin/padding
- Layouttabellen (das Loginformular)
- fehlende label-Elemente (nein, das placeholder-Attribut ersetzt kein label!)
- inline-Stylesheets
- vergiss input-type=submit, verwende button. Meist macht ihr das, aber z.B. in der settings.php nicht
- px als Einheit für die Schriftgröße (vergiss dass es das gibt und verwende em o.ä.)
- Überschriften sollten nicht so verwendet werden wie sie von der Größer her "passen" sondern der Reihen nach (h1->h2->h3 usw.)
- vergiss dass es target=_blank gibt und überlass dem User ob er einen Link in einem neuen Fenster öffnen möchte oder nicht
- materialdesignicons.min.css wird doppelt eingebunden; generell finde ich es auch nicht gut dass da 5 externe Sachen nachgeladen werden, ich würde das was wirklich(!) nötig ist mitliefern, Bootstrap ist bei einer so einfachen Seite imho eigentlich nicht notwendig
- <a href="?delete=true&file=..."> ist falsch, das & muss als &amp; maskiert werden

Aufgrund der Coronakriese können wir derzeit
nicht ins Büro und arbeiten im Homeoffice. Das erschwert die Zusammenarbeit etwas. Wir sind aber zuversichtlich
das wir deine Probleme lösen können!

Eine Versionsverwaltung (git oder auch andere) sollte das eigentlich deutlich vereinfachen (die solltet ihr aber auch im Büro haben).

Was du allerdings nicht beantwortet hast: wofür ist das ganze jetzt eigentlich gut?