Content mit Datenbank?

[2Pac]

Hallo,

ich möchte mein Menü sehr variabel gestalten. Daher habe ich es per Datenbank erstellt. Dort kann ich Links hinzufügen / bearbeiten / löschen.

Sprich ich habe in einer Datenbanktabelle das komplette Menü. Jeder Unterpunkt hat eine eigenständige, unikate ID bekommen mit Auto_Increment und Index. Jetzt möchte ich den einzelnen Menüpunkten den Inhalt zuweisen. Dies soll das editieren von Inhalten etc. vereinfachen und auch den Usern, die Adminrechte haben, die Möglichkeit bieten, Menüs / Inhalte zu erstellen, ohne dabei Zugang für den FTP / die Datenbank zu bekommen.

Jedoch stellt sich mir jetzt die Frage, wie schaffe ich es, dass die User auch Quellcode eingeben können, sprich PHP oder Javascript und dieser dann ausgeführt wird. Den PHP Code in die Datenbank wo der Content gespeichert wird zu speichern macht ja keinen Sinn und ist zudem sicherlich sehr risikoreicht. Das habe ich bereits in einer anderen PHP Hilfe Community erfahren. Diese waren aber nicht in der Lage mir auf einem freundlichen, nicht arroganten Weg eine Alternative mitzuteilen bzw. zu sagen, wie das realisiert werden kann und was dabei auf Sicherheitsebene zu beachten ist.

Kann mir hier jemand dazu eine Erläuterung geben, wie ich das wohl am besten realisiere und somit mein Menü / Inhalt möglichst scriptgesteuert verwalten kann inklusive den PHP Scripten. (z.B. wenn ich Interviews, News etc. aus einer Datenbank auslesen muss)

Danke im Voraus.
mfg

 

[anhadikal]

1)Aufwendiger aber sicherer wäre wohl ein mini Interpreter ...
2)white-list von php Befehlen anlegen

Ich denke das sollte das Problem lösen ....

MfG

 

[splasch]

Jedoch stellt sich mir jetzt die Frage, wie schaffe ich es, dass die User auch Quellcode eingeben können, sprich PHP oder Javascript und dieser dann ausgeführt wird.

Warum willst du ihnen überhaupt die möglichtkeit geben Quellcode auszuführen.So ein System bekommste nie sicher wenn es auch noch ausgeführt werden soll.

Mein Tip an Dich!

Erstell doch einfach einen Adminstartionbereich wo man die gewünschten änderung vornehmen kann. Zum einen ist es für die User leichter zu bedienen und zum anderen müssen sie dann auch keine php kentniss haben.

Du kanst ja alles im Administrationbreich vorgeben was du willst das die User ändern können.
Bsp neue Kategorien angeben. Kategorien löschen. Design änderen schriftfarbe unsw.

Mfg Splasch

 

[2Pac]

Ja aber ich will halt, dass ich die Content-Seiten nicht selbst erstellen muss, sondern, dass diese per Script erstellt werden. Außerdem ist das doch gang ung gebe in jedem CMS System, dass man den Inhalt vom Content per Script erstellen kann und dann dort ein Quelltexteditor angegeben ist. Die müssen das doch auch irgendwie realisiert haben? Der PHP Code soll ja nicht von dem User der die Seite erstellt hat ausgeführt werden, sondern bei jedem Seitenaufruf.

Sprich ich will, dass sich ein Admin einloggen kann und eine Seite nennen wir Sie "User-News.php" erstellen kann. Diese Seite soll jedoch per Datenbank ausgelesen werden, da man ja auch News erstellen können soll. Daher ist es notwendig als Code z.B. (vorher natürlich connect usw.)

mysql_db_query("datenbank", INSERT TO tabelle (newstext, newstitel) VALUES ("$newstext", "$newstitel")");

Auf escape String hab ich jetzt mal der einfach halt halber verzichtet. Ich hoffe das Vorhaben an sich ist so verständlich.

 

[splasch]

Einen Editor zuerstellen ist auch nicht das Problem. Das kann einfach über ein Formular machen.

Normal sind dann aber nur vorhanden Datein zum editieren gedacht.Was du aber vor hast wenn ich dich richtig verstanden habe ist eine online Entwiklungs ebene zu schaffen.

Möglich ist beides. Nur ob dafür sich der Aufwand lohnt ist nee andere Frage (viel arbeit so eine plattform zu erstellen).
Einem Admin muß bewußt sein sobald er was ändert das das auch gleich online ist.(Dadurch enstehen eben nur Nachteile).

Weiters wenn jemand den Admin acount gehackt hat kann er alles damit zerstören bzw löschen.

Singemäs ist sowas nur wenn jemand die Serverzugangsdaten nicht hergeben will.Einen Editor für vorhandene sachen seh ich ja noch ein aber für komplett neue sachen zu erstellen ist nicht mehr singemäß.

Mfg Splasch

 

[2Pac]

Gegenfrage:

Was ist der Unterschied zum Normalfall, wenn jemand den Admin Account hackt? Dann ist auch alles im . Zumal ein MD5 verschlüsseltes Passwort schon recht schwer zu knacken ist, wenn man es nicht unbedingt raus gibt oder? Und wenn wirklich jemand die Seite hacken will dann hackt er sich doch eh auf den Rechner ein und dann ist doch eh alles zu spät =)

 

[splasch]

wenn jemand den Admin Account hackt? Dann ist auch alles im . Zumal ein MD5 verschlüsseltes Passwort schon recht schwer zu knacken ist, wenn man es nicht unbedingt raus gibt oder? Und wenn wirklich jemand die Seite hacken will dann hackt er sich doch eh auf den Rechner ein und dann ist doch eh alles zu spät =)

Im gegenteil oft ist es sogar leicht in einem Acount einzudringen überhaupt wenn die Scripte von einen Anfänger geschrieben wurde.
Dazu braucht man nicht mal das Password um in einen Acount zu gelangen.
Und schon hätte er alles offen.
Es gibt sogar Angriffe wo man einfach das Password sich ausgeben läst wenn das Script nicht abgesichert ist. Und die md5 ist keine verschlüsslung sondern nur ein Mathematisch berechneter hash.

Im Gegensatz ist es viel schwierieger sich in eine ganzen Server reinzuhäcken.

Mfg Splasch