HTACCESS - erneute passwortabfrage bei mpg target blank

[Markus]

hallo!

ich möchte auf meiner website ein kleines videoarchiv einrichten. diese videos liegen in einem ordner /video/, der mit htaccess (require valid-user) geschützt ist. nun hatte ich dort 3 videos eingepflegt, die beim anklicken links im browserfenster geöffnet wurden. alles klappte prima. da mir dieses prinzip aber nicht zusagte, habe ich einen target="_blank" eingesetzt und es öffnete sich nun auf meinem windows-rechner auch der übliche windows-media-player (aber eben nicht intergriert im browser), nur fragt er seitdem immer erneut nach dem benutzernamen und passwort.

das würde ich gerne unterbinden, hat jemand eine idee?

danke!

markus

[Cheatah]

Hi,

das würde ich gerne unterbinden, hat jemand eine idee?

wechsle den Browser. Dieser merkt sich die Login-Daten (oder eben nicht).

Cheatah

[Michael Schröpl]

Hi,

habe ich einen target="_blank" eingesetzt und es öffnete
sich nun auf meinem windows-rechner auch der übliche windows-
media-player (aber eben nicht intergriert im browser),

hm - entweder ich verstehe Deine Beschreibung nicht, oder ich sehe keinen Zusammenhang zwischen Deinen beiden Aussagen.

Ob der Media-Player sich innerhalb des Browsers öffnet (als plugin) oder als separate Anwendung, das hängt m. E. von diversen Dingen ab (beispielsweise davon, wie er und der Browser konfiguriert sind), nicht aber davon, welches target Dein Link hat.

Sollte diese meine Aussage zutreffen, dann hast Du wahrscheinlich verloren.
Denn wenn der Browser den MediaPlayer als separate Anwendung startet und ihm lediglich den URL der Medien-Datei als Parameter übergibt, dann ist das ein eigener "Browser" (naja, ein HTTP-UserAgent halt), und der muß sich bei dem entsprechenden Server wieder völlig neu anmelden.
Stell Dir einfach vor, Du würdest aus dem M$IE heraus einen Netscape-Browser starten (indem in der Registry die entsprechende Verknüpfung vorgenommen wurde), da würde dann genau dasselbe passieren, denke ich.

Mir ist nicht bewußt, daß die Spezifikation der Schnittstelle zwischen einem Browser und einem lokalen ContentType-Handler die Verpflichtung beinhaltet, eine Liste sämtlicher (!) dem Browser bekannten Server-Authentications dieser Browser-Session an den Handler zu übergeben.
Und es wäre auch sicherheitstechnisch bedenklich, wenn der Browser dies tun würde (denn der Handler könnte diese Informationen per HTTP-Zugriff irgendwohin senden, was eine Web-Seite im Browser nicht kann, da mit JavaScript etc. kein Zugriff auf diese Authentication-Daten möglich ist).

nur fragt er seitdem immer erneut nach dem benutzernamen
und passwort.

Eben weil er ein völlig neuer Browser ist, kann der MediaPlayer das Wissen für eine sofortige Authentifizierung (er müßte die passenden HTTP-Header schon bei seinem ersten Zugriff an Deinen Server senden) noch nicht besitzen.

das würde ich gerne unterbinden, hat jemand eine idee?

Die Browser-Konfiguration ist Sache des Client und seiner Möglichkeiten.
Vielleicht hat Dein Besucher gar keinen MediaPlayer, der in Plugin-Form existiert - dann wird Dein Problem unlösbar sein.
Andernfalls kannst Du lediglich versuchen, ihm zu erklären, wie er seinen Browser konfigurieren müßte, um diese doppelte Authentifizierung zu verhindern ... allerdings kannst Du serverseitig nicht erkennen, wie der Browser konfiguriert ist und welche Software dem Besucher zur Interpretation Deiner Medien-Datei tatsächlich zur Verfügung steht.

Letzten Endes lautet meine Antwort also: Dein Wunsch überschreitet die Grenzen des technisch Machbaren, und das aus gutem Grund.
HTTP ist kein Protokoll zum Ersatz des kompletten Betriebssystems des Clients und aller seiner Anwendungen.

Viele Grüße
      Michael

[Mathias Bigge]

habe ich einen target="_blank" eingesetzt und es öffnete
sich nun auf meinem windows-rechner auch der übliche windows-
media-player (aber eben nicht intergriert im browser),

Das target kannst Du m.E. in diesem Fall weglassen. Der Media-Player öffnet sich unabhängig aufgrund der Einbindung über a href; der Mediaplyer ist in diesem Fall auch keine Browserinstanz ...

Ob der Media-Player sich innerhalb des Browsers öffnet (als plugin) oder als separate Anwendung, das hängt m. E. von diversen Dingen ab (beispielsweise davon, wie er und der Browser konfiguriert sind), nicht aber davon, welches target Dein Link hat.

Nicht vom target, sondern von der Art der Einbindung:

a) <embed> -> der Film wird mit Elementarcontrols im aktiven Browserfenster geöffnet

b) a href -> der Media-Player öffnet sich und der Film wird geladen - aus einem passwortgeschützten Verzeichnis

Sollte diese meine Aussage zutreffen, dann hast Du wahrscheinlich verloren.
Denn wenn der Browser den MediaPlayer als separate Anwendung startet und ihm lediglich den URL der Medien-Datei als Parameter übergibt, dann ist das ein eigener "Browser" (naja, ein HTTP-UserAgent halt), und der muß sich bei dem entsprechenden Server wieder völlig neu anmelden.

genau

Eben weil er ein völlig neuer Browser ist, kann der MediaPlayer das Wissen für eine sofortige Authentifizierung (er müßte die passenden HTTP-Header schon bei seinem ersten Zugriff an Deinen Server senden) noch nicht besitzen.

das würde ich gerne unterbinden, hat jemand eine idee?

Ich befürchte, dass Microsoft vielleicht auch sowas möglich macht. Vielleicht findest Du bei Bill Gates eine Lösung und damit ein neues Sicherheitsloch ;-)

Die Browser-Konfiguration ist Sache des Client und seiner Möglichkeiten.
Vielleicht hat Dein Besucher gar keinen MediaPlayer, der in Plugin-Form existiert - dann wird Dein Problem unlösbar sein.

bei diesem Aufruf ist der Media-Player kein Plugin

Ganz dumm gefragt: Ist der Passwortschutz für das Verzeichnis wirklich nötig? Vielleicht reicht es, wenn Du den nur den Link über eine Paßwortabfrage schützt, das Verzeichnis aber freigibst. Wenn's nicht gerade das neue Bin Laden Video ist, kann man das Risiko vielleicht vertreten... ;-)

Viele Grüße

Mathias Bigge

[Henryk Plötz]

Moin,

Ganz dumm gefragt: Ist der Passwortschutz für das Verzeichnis wirklich nötig? Vielleicht reicht es, wenn Du den nur den Link über eine Paßwortabfrage schützt, das Verzeichnis aber freigibst. Wenn's nicht gerade das neue Bin Laden Video ist, kann man das Risiko vielleicht vertreten... ;-)

Die richtige Lösung wäre dann evt. etwas Session-artiges, da braucht man dann aber eine serverseitige Scriptsprache.
Was evt. noch einen Versuch wert wäre: http://username:password@url, das ist zwar gegen alle Standards und soweit ich weiss sogar explizit für HTTP verboten, dem Mediaplayer würde ich aber zutrauen dass trotzdem zu unterstützen.

Ansonsten bleibt noch die Suche auf den Microsoft-Seiten (sofern du den richtigen Browser hast um das Suchfeld zu sehen; nein, es kam auf die letzte Mail noch keine Antwort ;), vielleicht haben die ja extra für so einen Anwendungsfall eine "Technologie" parat.

--
Henryk Plötz
Grüße von der Ostsee