XSS
A Full HTML beviteli forma egyáltalán nem szűri a kimenetnél a bevitt adatokat. Ez azt is jelenti, hogy a beírt JavaScript kódok is maradéktalanul lefutnak.
Ha a Full HTML az alapértelmezett beviteli forma az oldalon, az akkor veszélyes leginkább, ha a látogatók (vagy kevésbé megbízható regisztrált felhasználók) küldhetnek be hozzászólásokat vagy tartalmakat. Az alapértelmezett beviteli formát ugyanis bárki használhatja. Ez így XSS támadásra ad lehetőséget, amivel admin jelszót is lehet szerezni elég könnyen. (Nem tudom, mennyire érdekel ez téged jelenleg mélyebben, ha igen, kis kereséssel sok anyagot találhatsz róla.)
Ha nem áll fenn az előbb említett helyzet, akkor is fontold meg szerintem, hogy bekonfigurálsz egy beviteli formát magadnak. Nincs erre nyomós érvem, egyszerűen szerintem jobb, ha a dolgok kontrollálva vannak, még akkor is, ha önmagunkról van szó. :) Érdemes tehát alaposan átgondolni, hogy pontosan milyen HTML tageket is szeretnél használni, és csak azokat engedélyezni. Az alapértelmezetten a rendszerben lévő Filtered HTML jó lehet kiindulásnak, egyszerűen írd bele most az <img> taget, és még persze amit gondolsz.
- A hozzászóláshoz regisztráció és bejelentkezés szükséges
Át kéne gondolnod újra a dolgot!
- Minden adminisztrátornak létrehozol egy külön szerepkört és felruházod vele az adott adminisztrátort.
-
Megpróbálod csoportosítani az adminisztrátoroknak kiosztandó feladatokat. Minél kevesebb joggal rendelkező szerepköröket definiálsz annál finomabban tudod szabályozni az egyes felhasználók jogosultságait, hisz csak a megfelelő szerepkörrel kell felruháznod az adott felhasználót. (de annál több szerepköröd is lesz)
- Lehet pl. tartalom adminisztrátor (node és a hozzá kapcsolódó modulokhoz kap meg minden jogot), felhasználó adminisztrátor (a user és hozzá kapcsolódó modulokhoz kap meg minden jogot), rendszer adminisztrátor (system modulhoz kap meg minden jogot).
- Másik lehetőség, hogy egyes tartalom típusokra hozol létre külön csoportot. Pl. a hír adminisztrátori szerepkör megkapja az összes jogosultságot ami a hír tartalom típushoz tartozik stb.
- Létrehozol minden jogosultságra egy szerepkört, ekkor a felhasználóknál könnyedén tudod szabályozni a jogosultságokat, hisz abba a szerepkörbe teszed amilyen jogosultságot akarsz neki adni.
Mint talán sejted az első – minden felhasználóhoz tartozzon szerepkör – és harmadik – minden jogosultsághoz tartozzon szerepkör – a két véglet, míg a második a kettő közötti arany középút. Ezt viszont neked kell megtalálni.
Ritka az olyan oldal, ahol a két végletre lenne szükség, ezért azt javaslom gondold át újra mit és miért szeretnél.
pp
Palócz István
https://palocz.hu | https://tanarurkerem.hu
- A hozzászóláshoz regisztráció és bejelentkezés szükséges
minden, ami Drupalon belül megoldható, valid Drupal-kérdés :))
„Ha elolvasol végig, láthatod, hogy leírtam, hogy végül is lehet(ne) drupál téma is.”
Ezt azután írtad le, miután állítólag "kötözködtem". :) Pedig az nem kötözködés, hogy visszakérdezek, miért is ne lehetne Drupal-téma, miért ne lenne "valid" a kérdés ezen a fórumon:
„Nem drupal téma. Mert többek között a html
<marquee>tag is lehet a megoldás.”
A mondataid között igazából nem értem az összefüggést sem, de ez már maradjon az én problémám.
Ez a fórum arra való, hogy segítsünk a Drupal-felhasználóknak, akármilyen webfejlesztős kérdés Drupalon belül történő megoldására, illetve hogy ilyen jellegű kérdéseket tegyünk fel, tehát bármi, amit Drupalon belül valamilyen módon meg lehet oldani, az ezen a fórumon szerintem valid kérdés. :)
A célom egyébként tényleg nem az volt, hogy veled kötözködjek, hanem hogy ne haljon el ez a téma arra hivatkozva, hogy végül is az illető nem is közvetlenül a Drupal működéséhez kapcsolódó kérdést tett fel.
Mondjuk az is igaz, hogy kevés olyan dolog van, amit ne lehetne Drupalon belül megoldani akár valamilyen nyakatekert módon. :D
- A hozzászóláshoz regisztráció és bejelentkezés szükséges
részletek
ez egy egyedi (vásárolt) téma, ami egy kluboldal.a jelenlegi D6-os oldalunkat cseréljük le erre az új D7-esre. a klubnak vannak hivatalos tagjai és látogatók, akik használják a fórumot/oldalt.
a két felhasználói csoportot úgy különböztetjük meg, hogy van egy DOC nevű user-role, amiben a hivatalos tagok vannak. az oldalon szeretnénk megkülönböztetni a hivatalos tagokat, mind a profil oldalon, mind a fórum hozzászólásokban.
a profil oldal:
http://ducatiklub.zylon.hu/users/stafford
ide szeretnék az user neve mellé (stafford) kitenni egy kis piktogrammot, ami mutatja, hogy ő hivatalos tag. az user profile panels-el van összerakva - nem ragaszkodom a php snippethez, bármilyen ötletet/megoldást szívesen veszek.
a másik dolog, hogy a fórumban minde egyes hozzászólásnél szeretném ugyanezt a piktogrammot kitenni, az user avatarja mellé. mivel a fórumhozzászülások a template-ben vannak "összerakva" úgy sejtem ott muszáj lesz php kódot alkalmaznom.
ez jelnleg így néz ki (a drupal6 oldalon)
http://ducatiklub.hu/forum/monster-altalanos
itt láthatjátok az avatar alatt a DOC feliratot.
ha esetleg a teljes megközelítés rossz, nem user-role-al kellene megoldani, akkor szintén várom az ötleteket.
- A hozzászóláshoz regisztráció és bejelentkezés szükséges
Pager is képmező
Annyit tudok dióhéjban, hogy a diavetítés egy multivalue képmező, és pager-ként is lehet használni egy multivalue képmezőt, vagyis alapesetben ugyanazt a képmezőt, aminek a képeit diavetítjük. Csak amikor pager, akkor más képstíluson áthajtva kérjük a képeket.
(Tehát a field-alapú view-ba kétszer veszed fel a képmezőt, egyszer a 'nagy-kép' képstíluson áthajtva, majd még egyszer felveszed fieldnek, itt 'pager' képstílussal, csak ezúttal még 'Exclude from display'-ozod is. Majd a pager-t készítő script elővarázsolja magának.)
(A slideshow beállításai közt van olyan, hogy a 'Pager type' az 'Fields', amit megmondhatsz neki, hogy melyik field legyen.) (Ilyenkor a pager-ség révén a hoveres js-ezést is megkapod.)
Itt az alábbi kommentemben mutattam a linket: http://www.youtube.com/watch?feature=player_embedded&v=k2Olg2M1P18
Ebből is kiderül, gondolom, szerintem jórészt onnan nézhettem ki... Amit biztos nem tudok, az az, hogy hogy nézne az ki, ha a pagerhez használatos képmező nem az, amit nagyban vetítesz. Lehet hogy nem is nagy kihívás, csak nekem általában nem a views irányába tekeregnek az agysejtjeim.
- A hozzászóláshoz regisztráció és bejelentkezés szükséges
style.css, Upload
Szöveg formázáshoz a style.css stíluslapot kell kiegészítened a kívánt stílusokkal, majd a tartalombeküldő űrlapon felvinni a HTML címkékkel ellátott szöveget, csak ne felejtsd el átállítani a beviteli módot Full HTML-re.
Képek beillesztésére a legegyszerűbb mód, ha bekapcsolod az Upload modult és tartalom beküldésekor csatolod a képeket. Ezeket a Drupal a Fájlrendszer beállítások űrlapon általad megadott files mappában tárolja. HTML kóddal a szokásos módon tudsz rájuk hivatkozni, pl. ha a files mappád a sites/default vagy sites/honlapneve.hu mappában van, akkor így:
<img src="/system/files/kepneve.jpg" alt="" />
(A /system annak a mappának az útvonala, ahol a webhelyhez tartozó settings.php található.)
Az Upload megoldás hátránya, hogy feltöltés előtt képszerkesztő programmal elő kell készítened a képeket (kicsinyítés, webre optimalizálás). Az Image kiegészítő modul automatikusan létrehozza a feltöltött eredeti képfájlból a kívánt méretű verziókat. Az Imagecache pedig további képkezelési szolgáltatásokat nyújt, bár az installálása bonyolultabb, mint az Image modulé.
- A hozzászóláshoz regisztráció és bejelentkezés szükséges
Paypal apróbetűs
- A Paypal bármikor zárolhatja a számládat 180 napra a rajta lévő összeggel együtt, ha gyanúsnak talál. Gyanúra okod adhat pl. a megnövekedett forgalom, vagy az, ha világ számos országából fogadsz átutalásokat.
- A magyar banknak van magyar ügyfélszolgálata, amit helyi hívás díjáért zaklathatsz. A Paypal ügyfélszolgálat gyakorlatilag elérhetetlen, ha eléred, az is több óra nemzetközi telefonhívás. (Skype-ról, stb. hívást nem fogadnak.)
- Ha a magyar bank ügyfélszolgálatával nem boldogulsz, bemész a fiókba. Ha a pult másik oldalán ülő Ancikával nem boldogulsz, kéred a fiókvezetőt. A Paypalnél egy automatizált felületen kell dokumentálnod, hogy nem vagy pénzmosodás. Ha emailben, telefonon kérsz segítséget, az automatizált felületre irányítanak, és kizárólag gépi emaileket küldenek ki, amelyek kérdés, kérés esetén visszairányítanak az automatizált felületre.
- Ha a vevőid részéről panasz érkezik a termékre, szolgáltatásra, a Paypal azonnal zárolja a számládat. Az ügyfélszolgálat dönti el, hogy a panasz jogos-e. Ha jogosnak találják, visszaadják az ügyfélnek a pénzt. Nem tehetsz semmit ellene.
- A Paypal, ahogy alább is írja a kolléga, jóval drágább, mint a hazai bankok. (Nem érdemes azzal próbálkozni, hogy privát Paypal számlával kereskedünk. Rendes merchant számlát kell nyitni cégnévre.)
- Még biztos jópár dolgot kifelejtettem, szóval érdemes az apróbetűt átolvasni, és interneten tájékozódni.
- A hozzászóláshoz regisztráció és bejelentkezés szükséges
És ha már ennyire felhergeltem magam
elmondom, mi a bajom a drupállal. A drupál az a "majdnemjó" kategória.
Az elmúlt másfél évben, mióta megszületett a fejemben az a gondolat, hogy legyen egy portálom, kipróbáltam számtalan ingyenes rendszert. Tán nincs is olyan, amit ne teszteltem volna. Dr. U. Pál mellett döntöttem, mert magasan ez volt a legbiztonságosabb, legkényelmesebb, a tudásomhoz mérten legegyszerűbb, legértelmesebb, legpraktikusabban használható, és a leginkább megközelítette azt a 100 %-ot, amit a látogatóimnak szerettem volna nyújtani.
Csak mindig ott volt az a "majdnemjó".
Mondok két példát:
Szavazás
2006. végén csakugyan akkora kihívás egy szavazómodul beépítése a portálrendszerbe???
Miről szólnak ezek a portálok? Beküldenek a userek mindenféle cikkeket, írásokat, amiket az olvasók értékelnek. Értékelnék a drupálnál is, ha lenne végre egy értelmes, használható szavazórendszere. De nincs. Ami a legígéretesebb, az a Nodevote modul, viszont annál, a számtalan visszajelzés ellenére ÉVEK ÓTA nem bírja megoldani a fejlesztője azt, amit a readme.txt-ben ígér, hogy a be nem jelentkezett userek is szavazhatnak.
A másik példám meg ez az UIE fórum.
Nagyon karaj, faragható, sminkelhető, miegymás. Csak éppen HASZNÁLHATATLAN. Mert a megalkotója nem vette a fáradságot, hogy letesztelje, mit is csinál a rendszere, amikor az első olyan hozzászólás érkezik be, amelyik a második oldalra esik. Köszönjük, tényleg faja, csak nem tudunk vele mit kezdeni, ugyanis a látogatók nem a színeket és formákat díjazzák, hanem a praktikusságot. Ha tetszett volne tíz percet arra fordítani, hogy hogyan is működik a saját modulom, akkor most elmondhatnánk, hogy van végre a drupálhoz egy tűrhető fórumrendszer. De nincs.
- A hozzászóláshoz regisztráció és bejelentkezés szükséges
nem a kérdéssel van a baj
Talán kissé rosszul fejeztem ki magam, de nem azzal van a baj, ha valaki kérdez. Kérdezni lehet, és kell is. A probléma akkor jelentkezik, ha esélyt sem adnak arra önmaguknak, hogy a helyes választ megtalálják. Érdekes lenne megnézni, hogy azok között, akik most ismerkednek a Drupal rendszerrel, hányan vették a fáradtságot, hogy elolvassák a magyar nyelvű kézikönyvet, esetleg utánanézzenek annak, hogy mi a tartalomkezelő rendszer lényege, esetleg legalább alapszinten megismerkedni az adatbázisokkal. Ha nincs meg az alapvető informatikai képzettség (pl. mi a különbség a hagyományos értelemben vett szövegszerkesztő, és a "text editor" között), akkor az egész csak egy gányolás, amiben igazából sem az nem leli örömét, aki készíti, sem az, aki valamilyen módon segít benne.
És ha ezt nem teszik meg, akkor az egész annyira halott dolog, mint mikor a kollégiumban valaki megkért, hogy telepítsek fel a gépére egy Debian Linux rendszert. Hónapok múlva hallottam fél füllel, hogy mennyire büszke rá, hogy neki már Linux van a gépén. Csak az is kiderült, hogy nem igazán tudja használni a rendszerét, mert nem értett hozzá, és nem olvasott utána. Minden úgy volt, ahogy a telepítéskor hagytam, a frissítések nem voltak feltelepítve, a rendszeren messziről látszott, hogy érdemben senki nem nyúlt hozzá, nem is próbálkozott a megismerésével.
Elnézést, hogy nagyon eltértem a tárgytól, talán ezt lassan fejezzük is be itt, elvégre ez a topic nem erről szól. Talán másutt, más helyen. De úgy gondolom, hogy a hiba nagy része az általam felvázolt dolgokban lakozhat.
- A hozzászóláshoz regisztráció és bejelentkezés szükséges
En azt tapasztalom hogy a
En azt tapasztalom hogy a conditional fieldsnel akkor van baj ha egy nem megjelenitett kotelezo elem van a formon, nalam akkor is megengedi lementeni ha az a kotelezo mezo nincsen kitoltve.
Koszonom a tanacsot, alighanem valoban a Multistep form lessz a megoldas. Vagyis elsore, mint irtad is, a kozos adatokat es azt hogy maganszemely vagy ceg az illeto keri be. Maganszemelynel ennyivel kesz is. Amenyiben ceg akkor role es jon a kovetkezo form. Programozastol nem felek :) meg hasznaltam mar ajax -os dolgokat is de en inkabb a Prototype -t ismerem a jquery -t nem igazan ugyhogy egyelore ajax nelkul probalom megoldani. Arra majd egy kesobbi idopontban visszaterek majd tanulaskeppen :)
Viszont ezzel az egesz adatbeviteles dologgal kapcsolatban megkerdeznem meg azt hogy mivel a latogatok majd ezek a ceges felhasznalok altal bevitt adatokat nezegetik majd, egyaltalan jo megoldas az hogy ezekkel az adatokkal az user profiljat ugymond kibovitem mezokkel? Kepzeljuk el hogy a ceg ir magarol egy szoveget, kitolt egy kb 10-15 beviteli mezot felrak par kepet, lessz sajat kapcsolati formja, vendegkonyve. Ezekben keresgelnek majd a latogatok. Vagy csinaljak inkabb egy ceg tartalomtipust? Melyiket kezeli hatekonyabban a drupal egy kulon ceg tartalomtipust vagy az user profilhoz hozzacsapott mezoket? Valahogy egyre jobban azt gondolom hogy kulon tartalomtipust kell csinalnom. Jol gondolom?