FF3 will angehängte Bilder downloaden...

[DGL-luke]

...kann man da nicht "Content-Disposition: inline;" in den Header tun?

[Dax]

Das wurde letztens rausgenommen, weil man sonst mit manipulierten Bildern Schadcode auf dem Server ausführen könnte ("Wenn wir das tun, interpretiert der Server die Bilder zuerst wie eine PHP-Datei" - sinngemäß).

[DGL-luke]

wat? WAS? Wie soll DAS denn gehen?!

EDIT: Ich hatte ja jetzt gerade vor, irgendwas mit .htaccess-kommandos reinzuschreiben, wo man ja schon dateiendungen zu CGI-Modulen o.ä. zuordnen kann - aber das macht auhc keine Sinn....

Das will ich nochmal von Daniel höchstpersönlich hören :shock:

EDIT: Okay, hab den original-fred gefunden. Hört sich grauenhaft an: http://www.delphipraxis.net/internal...t.php?t=132121

[alcaeus]

Moin,

dass PHP-Code ausgefuehrt werden kann stimmt nicht. Es besteht jedoch eine Sicherheitsluecke, die zu kompromittierten Sessions fuehren kann. Wenn jemand dann auch noch das Autologin-Flag gesetzt hat, ist die Kacke am Dampfen ;)

Greetz
alcaeus

[Florian H]

Es ist halt wirklich extrem nervig.

Ich habe das Problem in Opera und es stört wirklich extrem. Bei jedem Screenshot oder sonstigem angehängten Bild will Opera es downloaden. Dann muss ich erst aus einer Liste der möglichen Programme "Opera" auswählen und es damit öffnen ... sind zwar nur 3-5 Sek Mehrarbeit, aber nachdem in der DP ja an jeder Ecke und jedem Zipfel gefeilt wurde um den höchsten Komfort für die User rauszuboxen, ist das dann um so störender.

Also lieber Sicherheitslücke stopfen anstatt zu umgehen und Millionen glückliche User zurückgewinnen ;)

[Daniel]

hm. Mal gucken, ob ich am Zipfel feilen kann. :cyclops:

[alcaeus]

Zitat:

Zitat von Florian H

Also lieber Sicherheitslücke stopfen anstatt zu umgehen und Millionen glückliche User zurückgewinnen ;)

Wenn du den IE fixen willst, nur zu. Das Problem ist eine Luecke im IE, die sich ueber Attachments ausnutzen laesst. Damit ist dann wiederum ein Angriff auf die Software moeglich. Das einzige was man da fixen kann, ist das Verhalten des IE, mehr nicht ;)

Greetz
alcaeus

[rollstuhlfahrer]

das kann man doch umgehen, indem man entweder eine zusätzliche Profileinstellung einführt (einfachste Methode) oder man frägt ab, welcher Browser genutzt wird und agiert dementsprechend.

Bernhard

[Meflin]

Zitat:

Zitat von rollstuhlfahrer

das kann man doch umgehen, indem man entweder eine zusätzliche Profileinstellung einführt (einfachste Methode) oder man frägt ab, welcher Browser genutzt wird und agiert dementsprechend.

OMG. Oder noch einfacher: man lässts so wies gerade ist. Der Klick auf "Öffnen" ist jett wirklich nicht DIE Zumutung. Aber sicher...

[alcaeus]

Zitat:

Zitat von rollstuhlfahrer

das kann man doch umgehen, indem man entweder eine zusätzliche Profileinstellung einführt (einfachste Methode) oder man frägt ab, welcher Browser genutzt wird und agiert dementsprechend.

Nach einigen Jahren in der SW-Entwicklung und v.a. der Web-Entwicklung habe ich eins gelernt: den User muss man vor sich selbst schuetzen. Die groesste Angriffsflaeche bietet immer noch der User, der sich mit seinem Verhalten gefaehrdet. So eine Einstellung ist eigentlich nur fahrlaessig. Warum? Naja, irgendeinen User nervt das Verhalten. Also fragt er, was sich dagegen machen laesst. Nun antwortet ein anderer "wenn du im Profil Opera oder Firefox einstellst, passt es". Er stellt es also um und checkt nicht, dass das fuer seinen IE nicht die beste Loesung ist. Dann kommt ein ganz poehser Hacker daher und laedt ne Datei hoch, die die Session-ID und Autologin-ID klaut und an einen Rechner schickt. Der Account ist also fuer die restliche Session-Dauer kompromittierbar; wenn die Autologin-ID geklaut wurde sogar bis zum naechsten automatischen Login. Das ist dann nicht mehr so prickelnd. Und was wird der User sagen? Der Account wurde gehackt weil die Software unsicher ist.

Merke: wenn du dem User die Moeglichkeit gibst, ein Sicherheitsloch aufzumachen, kannst du dir zu 100% sicher sein, dass er es tun wird. Die derzeitige Loesung mag zwar umstaendlich sein, aber in dem Moment wo ein "Bild", das du aufrufst nicht mehr nur ein Bild ist, sondern Schadcode drin hat (der, wenn mans drauf anlegt, auch deinen Rechner kompromittieren kann), ist dieser zusaetzliche Umstand durchaus vertretbar. Da bringts auch nichts zu sagen "ach, selber Schuld wenn die den IE verwenden". Es muss fuer alle Plattformen mindestens denselben Schutz geben. Wenn dieser Schutz bei einem Browser dann redundant ist, ist das nciht negativ. Es ist ein zusaetzlicher Klick...der so manchem User das Leben bzw. den Rechner retten kann.

@Luke: content-disposition:inline sorgt fuer das Problem, deshalb wurde es auch rausgenommen. Wenn du selbst ein phpBB hast, kann ich dir das gerne zeigen ;)

Greetz
alcaeus

[DGL-luke]

Also eine Lücke im IE. Na ganz toll. Vielen dank Microsoft, dass du mir mal wieder das Leben vermiest...

[mkinzler]

Hätte Daniel Zeit, könnte er ja eine Browserweiche einbauen

[leddl]

Zitat:

Zitat von DGL-luke

Also eine Lücke im IE. Na ganz toll. Vielen dank Microsoft, dass du mir mal wieder das Leben vermiest...

:lol: Also ganz ehrlich, wenn dir so eine Kleinigkeit schon das Leben vermiest, dann kann es darum ja nicht besonders schade sein :lol: :zwinker:

[Luckie]

Zitat:

Zitat von DGL-luke

Also eine Lücke im IE. Na ganz toll. Vielen dank Microsoft, dass du mir mal wieder das Leben vermiest...

Ähm, andere Programme haben auch Fehler.

[Florian H]

Zitat:

Zitat von Luckie

Zitat:

Zitat von DGL-luke

Also eine Lücke im IE. Na ganz toll. Vielen dank Microsoft, dass du mir mal wieder das Leben vermiest...

Ähm, andere Programme haben auch Fehler.

Aber anscheinend keine, die die Bedienung der DP erschweren ;)

Ich sag's gern nochmal: die DP ist so gut gemacht, dass praktisch alles genau so funktioniert wie es soll - bis auf dieses eine Problem, das dann eben besonders hervorsticht. Und daran it dann, wie so oft bei Web-Sachen, der IE schuld :/

[alcaeus]

Ach Kinners,

eigentlich ist ja das Internet schuld. Unser aller Leben waere leichter wenns das Ding nicht gaebe. Kein Spam, keine Popup-Werbungen, keine schlecht programmierten Websites und Browser, keine Suchmaschine die die Weltherschafft will, usw.

Fakt ist: es gibt all das. Damit muessen wir leben. Ich muss auch damit leben dass mir der ein oder andere Bug in WebKit oder Gecko das Layout so zerschossen hat, wie es der IE in seinen besten Tagen nie getan hat. Mei, is halt so.

Greetz
alcaeus

[Namenloser]

Kann man nicht im profil eine Einstellung hinzufügen opder so?

[omata]

Zitat:

Zitat von NamenLozer

Kann man nicht im profil eine Einstellung hinzufügen opder so?

Hatten wir das nicht gerade erst :gruebel:

Edit: Ah -> Post #8! beginnt jetzt eine Endlosschleife?

[Namenloser]

Zitat:

Zitat von omata

Zitat:

Zitat von NamenLozer

Kann man nicht im profil eine Einstellung hinzufügen opder so?

Hatten wir das nicht gerade erst :gruebel:

Edit: Ah -> Post #8! beginnt jetzt eine Endlosschleife?

Ich wette, du überliest nie einen Beitrag :roll:
Das Topic selbst gabs hier aber auch schon mehr als einmal :mrgreen:

[omata]

Zitat:

Zitat von NamenLozer

Ich wette, du überliest nie einen Beitrag :roll:

Ich konnte einfach nicht wiederstehen, bei der Vorlage. Sorry :hi:

[Florian H]

[quote="Meflin"]

Zitat:

Zitat von rollstuhlfahrer

Der Klick auf "Öffnen" ist jett wirklich nicht DIE Zumutung. Aber sicher...

Äh, schön wärs. In Opera ist es halt nicht nur ein Klick auf Öffnen, sondern ich muss da erst Opera in einer Liste (ala "Datei mir Programm ... ausführen") auswählen und kann dann öffnen, damit sich das Bild wie gewohnt in Opera öffnet.

Ich hab von diesem Problem halt noch nie gehört, auch auf anderen Seiten, die irgendwelche Bilderdownloads anbieten, nicht... von daher sollte es doch da irgendeinen Workarround, abseits von "Bilder nur als Download anbieten" geben :|

[hitzi]

Mit Chromium/Chrome ist es noch nervender. Dort gibt es bei Klicks auf Bilder im Anhang nur die Möglichkeit das Bild zu speichern. Ich muss als Umweg dann noch den Explorer mit dem entsprechenden Verzeichnis öffnen, das Bild ansehen und dann wieder löschen.

[alcaeus]

Moooment. Also Browsereinschraenkungen, aufgrund derer man einen Anhang nicht direkt im Browserfenster oeffnen kann (v.a. Bilder) sind wohl kaum ein Grund an der Software was zu aendern, sondern eher den Browser zu wechseln, oder? :zwinker:

Greetz
alcaeus

[Florian H]

Zitat:

Zitat von alcaeus

Moooment. Also Browsereinschraenkungen, [...] sind wohl kaum ein Grund an der Software was zu aendern, sondern eher den Browser zu wechseln, oder? :zwinker:

Stimmt, die IE-User sollten eindeutig wechseln, damit nicht alle User in Mitleidenschaft gezogen werden, nur weil ihr Browser solche ungestopften Sicherheitslücken hat :P

Ne im Ernst, du kannst doch nicht argumentieren "das ist so, weil der IE einen Bug hat, also müssen wir das ändern" und dann im anderen Fall sagen "das ist doch Sache der Hersteller".

Wenn der Server explizit was zum Download anbietet, wollen die Browser es eben auch herunterladen und nicht anzeigen.


Mir ist halt nicht ganz klar, was an einer kleinen Profileinstellung oder Browserweiche (3 Zeilen Code?) so schwer ist, dass man da monatelang rumdiskutiert - die DP ist doch sonst so auf Perfektionismus und Usability aus. In dem Fall heißts dann aber einfach "sind doch nur ein paar zusätzliche Klicks bei jedem Bild, das man anschaut" ôO

[Meflin]

Zitat:

Zitat von Florian H

Mir ist halt nicht ganz klar, was an einer kleinen Profileinstellung oder Browserweiche (3 Zeilen Code?) so schwer ist, dass man da monatelang rumdiskutiert - die DP ist doch sonst so auf Perfektionismus und Usability aus. In dem Fall heißts dann aber einfach "sind doch nur ein paar zusätzliche Klicks bei jedem Bild, das man anschaut" ôO

1. Eine Browserweiche in 3 Zeilen :shock: Die musst du mir mal zeigen :lol:
2. Es wird ja garnicht diskutiert, du bist doch der, der die Diskussion wider angefangen hat. Eigentlich hieß es ja schon: nö! :P

[hitzi]

Zitat:

Zitat von alcaeus

Moooment. Also Browsereinschraenkungen, aufgrund derer man einen Anhang nicht direkt im Browserfenster oeffnen kann (v.a. Bilder) sind wohl kaum ein Grund an der Software was zu aendern, sondern eher den Browser zu wechseln, oder? :zwinker:

So meinte ich das nicht. Auf anderen Seiten werden JPGs nach einem Klick auch im Browser angezeigt. Nur hier in der DP wird bei einem Klick auf ein JPG im Anhang nicht das JPG geöffnet, sondern ein Download initiiert.
Wobei, wenn ich die DP mit dem Firefox besuche, wird ja auch nur ein externes Grafikbetrachtungsprogramm gestartet.

Scheint also auch an diesem Problem zu liegen. Mich nervt's ( :( ), aber zum Glück gibt's nicht so viele Threads mit angehängten Bildern hier. Ist eben "doof", wenn's nur bei der DP in der Art auftritt und ("gefühlt") jede andere Seite Bilder ohne Probleme anzeigen lassen kann. Dem Benutzer ist der technische Hintergrund egal. Es muss einfach funktionieren ;)

[EDIT] Ach und deine Aussage ist ein bissl schräg. Wie viel wurde denn in den letzten Jahren extra für den IE (und auch dür die anderen Browser) angepasst, da wurdr doch auch nicht einfach gesagt - hey, nutz doch einfach nen anderen Browser.

[rollstuhlfahrer]

HI,

ans öffnen hab ich mich schon gewöhnt. Aber das ist ja wohl eine Zumutung:

[quote="Florian H"]

Zitat:

Zitat von Meflin

Zitat:

Zitat von rollstuhlfahrer

Der Klick auf "Öffnen" ist jett wirklich nicht DIE Zumutung. Aber sicher...

[snip]

Wenn man schon andere Zitiert, sollte man auch den richtigen treffen. Die oben genannte Aussage habe ich nie getätigt. Es liegt wohl daran, dass in dem zitierten Beitrag ein Zitat von mit drin war, dass nicht vollständig entfernt wurde.

Bernhard

[FAlter]

Hi,

wenn ich mal meinen Senf dazugeben darf:

ich finde es ein cooles Feature, dass das Bild in einem ordentlichen (selbstgewählten) Viewer und nicht im Browser angezeigt wird. Dafür bin ich gerne bereit, den einen Klick zu machen. Oder ich speichere das Bild dauerhaft ab, was mit auch sofort angeboten wird.

Man kann doch allem was positives abgewinnen, oder? Mein kaputter Bildschirm wurde jetzt ausgetauscht (Garantiefall) und der neue ist genauso gut wie der alte war bevor er kaputt war, nur hat die Helligkeit noch nicht nachgelassen (ich hab ihn aus Gewohnheit dunkler gestellt...). Da haben sich die Tage ohne Bildschirm doch gelohnt (und nachdem ich blind den Remotedesktop angestellt hatte, konnte ich zumindest über den Laptop auf meinen PC zugreifen...)
Und genau so ist es mit den Bildern in der DP. Es ist nicht alles entweder schwarz oder weiß, die meisten Dinge sind doch eher grau (oder grün oder blau oder rot...) Lasst es wie es ist, es hat schon seinen Grund.

Mfg
FAlter

[himitsu]

in ein zwei Jahren wird es in der DP210X eh wieder anders sein ... mal sehn wie es dann sein wird *gespannt wart*

[FAlter]

Hi,

Zitat:

Zitat von himitsu

in ein zwei Jahren wird es in der DP210X eh wieder anders sein ... mal sehn wie es dann sein wird *gespannt wart*

in 100 Jahren? Du machst mir Angst. Oder in zwei Jahren (DP201X)?

Mfg
FAlter

[Meflin]

Zitat:

Zitat von FAlter

in 100 Jahren? Du machst mir Angst. Oder in zwei Jahren (DP201X)?

Ich brings jetzt mal endgültig auf den Punkt: Das wird die DPXXXX :mrgreen:

[Namenloser]

Zitat:

Zitat von Meflin

Zitat:

Zitat von FAlter

in 100 Jahren? Du machst mir Angst. Oder in zwei Jahren (DP201X)?

Ich brings jetzt mal endgültig auf den Punkt: Das wird die DPXXXX :mrgreen:

Bist du sicher dass es vor dem Jahr 10 000 sein wird? Die Zeit vergeht schließlich schnell...

[Florian H]

DP[:digit:]{4,10} ? :stupid:

(in spätestens 4,5 Mrd. Jahren wirds die Erde nicht mehr geben, wenn Daniel bis dahin die Server nicht verlegt, war das die letzte Chance für eine neue DP).