Benutzername und Passwort in URL übergeben

[Thomas Dammann]

Gibt es eine Möglichkeit (JavaScript?), beim Aufruf einer URL, die normalerweise einen Login-Dialog mitsichbringen, den Benutzernamen und das Passwort gleich mit in die Link-URL miteinzupflegen?

So könnte man doch dann den Dialog dann gleich übergehen und in einer Seite unterschiedlichen Benutzern angepasste Links anbieten.

[Dein Freund]

Gibt es eine Möglichkeit (JavaScript?), beim Aufruf einer URL, die normalerweise einen Login-Dialog mitsichbringen, den Benutzernamen und das Passwort gleich mit in die Link-URL miteinzupflegen?

So könnte man doch dann den Dialog dann gleich übergehen und in einer Seite unterschiedlichen Benutzern angepasste Links anbieten.

Die Möglichkeit gibts:

www.irgendwo.de/eineseite.html?name=einname&pwd=einpasswort

Allerdings musst Du aufpassen, dass weder Sonder- noch Leerzeichen in den Namen/Passwörtern sind, da diese sonst falsch decodiert werden.
Wie Du diese Übergaben per JavaScript auswertest kann ich Dir im Moment leider nicht genau sagen - aber dafür gibts einige Beispiele im Netz (z.B. JSMenü)

Gruß

Dein Freund

[slu]

Hallo,

www.irgendwo.de/eineseite.html?name=einname&pwd=einpasswort

nur eine kleine Frage:
Welchen Sinn hat es dann, ein Passwort einzubauen, wenn es eh schon vorgegeben (im Link eingebaut)
ist und gar nicht zur User-Identifikation gilt.
So wird die "geschützte Seite für alle zugänglich!
Ausserdem, es kommt darauf an, wie die Seite aufgebaut ist, kann es sein, dass der Dialog
nicht per Formular eingelesen wird. Die oben genannte Lösung funktioniert nur in diesem Fall.
Und vielleicht haebn die Formularfelder andere Namen als name und pwd.
Ich denke, wenn das so funktinoieren würde, dann wäre das doch ein Sicherheitsrisiko, oder nicht??
*grübel*
Naja, ich weiss nicht, ob das schon zu weit ausgeschweift ist...
Also nehmts mir nicht übel :-)
Ciao
Stefan

[Holger Lersch]

Hi,

Hallo,

www.irgendwo.de/eineseite.html?name=einname&pwd=einpasswort

nur eine kleine Frage:
Welchen Sinn hat es dann, ein Passwort einzubauen,
wenn es eh schon vorgegeben (im Link eingebaut)

Also auf Anhieb fällt mir da nur ein, dass man sich das
so in seinen Bookmarks im Brauser speichern könnte,
das würde dann schon Sinn machen, oder bei dynamisch
erzeugen Sites, wo man das Password und den Login durch-
schleifen möchte zB.

Gruß
Holger

[slu]

Hallo Holger

Also auf Anhieb fällt mir da nur ein, dass man sich das
so in seinen Bookmarks im Brauser speichern könnte,
das würde dann schon Sinn machen, oder bei dynamisch
erzeugen Sites, wo man das Password und den Login durch-
schleifen möchte zB.

.........

Und jeder, der schnell mal an Deinen Computer geht, spielt, benützt, oder weiss ich was, kann dann
in Deiner History oder deinen Bookmarks dein Passwort, resp. Username auslesen. *g*
Also, ich bleibe dabei, dass die Sicherheit (die im Internet sowieso nicht die beste ist) wenigstens mal
für einmal ein wenig berücksichtigt wird.

Aber es ist klar, wenn man das so will (_Hacker_ hin oder her) kann man das so machen. :-)

Nur, bei meiner Seite komme ich so nicht rein.....
Versuchs mal mit "Tester" als Username und Passwort = "test" unter www.stl-gmbh.de/cgi-bin/download.pl
Viel Spass :-)
Grüsse
Stefan

[Michael Schröpl]

Hi,

Welchen Sinn hat es dann, ein Passwort einzubauen, wenn es eh schon vorgegeben (im Link eingebaut)
ist und gar nicht zur User-Identifikation gilt.

Schon mal auf die Idee gekommen, daß man mit der Benutzerkennung noch andere Dinge tun kann, als den Zugang zu verbieten?
Man kann ihn beispielsweise *filtern*.

Das Produkt, welches ich in unserer Firma zu warten habe, basiert auf vollständig CGI-generierten Seiten. Insbesondere sind über die webserver-Konfiguration (.htaccess läßt grüßen) zahlreiche Benutzerkennungen definiert.
Jede Benutzerkennung besitzt einen eigenen Verzeichnis- und URL-Baum. In diesem Verzeichnisbaum befindet sich eine Parameterdatei, welche beschreibt, was diese Benutzerkennung darf und was nicht.
Die CGI-Skripte lesen diese Datei und generieren Seiten mit genau den Funktionen, die diesem Benutzer zustehen. Um dies tun zu können, müssen sie Pfadnamen und URLs generieren, welche die via REMOTE_USER erhältliche Benutzerkennung enthalten.
Auch sämtliche durch Links in diesen Seiten aktivierten CGI-Aufrufe lesen wieder diese Datei und wissen, was sie tun dürfen und was nicht.

Bei diesem Produkt macht es also Sinn, in einer HTML-Seite unseres Intranets (oder auch einer Bookmark) einen Link zu setzen, der den Anwender in dieses System hineinläßt (ohne daß er dafür einen Login-Dialog durchlaufen muß, bei dem er zunächst verwirrt nach den erforderlichen Eingaben suchen muß), aber eben nur in die *Demo-Benutzerkennung* mit eingeschränkten Berechtigungen.
Die betriebsinterne Dokumentation dieses Produkts befindet sich in einer Lotus Notes-Datenbank; Notes erlaubt es, URL-Verweise zu setzen. Folglich habe ich in dieser Dokumentation Links auf Seiten innerhalb des Produkts eingefügt, die (mit den in unserer Firma verwendeten Browsern) prima funktionieren. Diese Links kann aber nur verwenden, wer ein Zugriffsrecht auf diese Notes-Datenbank hat ... die Demo-Benutzerkennung ist nicht völlig frei zugänglich.

mfG - Michael

[Holger Lersch]

Hallo Ihr zwei,

Die Möglichkeit gibts:

www.irgendwo.de/eineseite.html?name=einname&pwd=einpasswort

Diese Lösung ist aber alles andere als Allgemeingültig.

Bei einer Seite die z.B. mittels .htaccess geschützt ist, also wo der
Server die Authentifizierung vornimmt oder bei ftp Seiten sieht das
ganze folgendermassen aus, und nicht anders :

Protokoll://Nutzer:[e-mail]/unterverzeichnis

also z.B.

http://user:[e-mail]/geschlossen

oder eben

ftp://holger:[e-mail]/music

Gruß
Holger

[Cheatah]

Hi,

Protokoll://Nutzer:[e-mail]/unterverzeichnis

so _kann_ eine URL aussehen; allerdings ist z.B...

http://user:[e-mail]/geschlossen

...falsch, während...

ftp://holger:[e-mail]/music

...erlaubt ist. In einem HTTP-Request läßt sich Benutzername/Passwort der Basic Authentication _nicht_ in der URL unterbringen.

Nein, Netscape und der IE machen das auch nicht. Sie setzen diese Angabe in die entsprechenden Header um, was ich persönlich - und einige Experten bestätigen mich in dieser Meinung - ziemlich bescheuert finde. Siehe auch andere Postings in diesem Thread.

Cheatah

[Holger Lersch]

Schoenen Abend wuensch ich,
(mittlerweile Gottseidank Feierabend ;-)

Nein, Netscape und der IE machen das auch nicht. Sie setzen diese
Angabe in die entsprechenden Header um,[...]

Danke fuer die Aufklaerung, ich bin halt bisher immer davon ausgegangen, dass das eben so funktioniert egal ob http, ftp oder sonstwas.

Ich kenne von irgendwelchen Webseiten und Internetlexikons (falsches Plural mit voller Absicht) eben nur folge verallgemeinerte Darstellung des Aufbaus einer URL :

Dienstprotokoll://Loginname:[e-mail]:port/verzeichnis                
... und da hab ich einfach geschlossen dass das mit http eben auch so einfach so geht.

(Gehen tuts ja, was der Brauser intern mit den Infos macht, hat er mir noch nie gesagt, bzw. hat micht ehrlich gesagt noch nie sooo interessiert :-)

Aber ich lasse mich da gern eines Besseren belehren, dafuer sind wir ja hier.

Als dann,
viele Gruesse

Holger

[Cheatah]

Hi,

Ich kenne von irgendwelchen Webseiten und Internetlexikons (falsches Plural mit voller Absicht) eben nur folge verallgemeinerte Darstellung des Aufbaus einer URL :

Dienstprotokoll://Loginname:[e-mail]:port/verzeichnis

jepp, diese Darstellung steht sinngemäß auch in RFC 1738...

... und da hab ich einfach geschlossen dass das mit http eben auch so einfach so geht.

...allerdings als allgemeines Schema, für das es je nach Protokoll Einschränkungen gibt :-)

RFC 1738 habe ich hier vor einigen Wochen schon mal in Form einer Regular Expression aufgeschlüsselt; dort sieht man (mit ein bißchen Geduld *g*) recht genau, wie eine URL abhängig vom Protokoll aussehen darf:

[pref:t=21614&m=110363]

Cheatah

P.S.: Wenn man obige URL mal nicht wiederfindet: Ich suche immer nach "prospero" ;-)

[Volker Runkel]

Hi,

ich schliesse mich den Sicherheitszweiflern an: Warum Password, wenn dann eh in der ULR.
Befindet man sich auf dieser Seite und klickt dann auf einen Link nach auswaerts, dann kann der dort in seinem Serverlog das passwort und den User auslesen... den Fall haben wir regelmaessig in usnerem eigenen Log beobachtet :-)

Ciao, Volker