htaccess "direkt" per URI zugreifen

[Markus]

Hi!

Ich habe ein Verzeichnis mit .htaccess geschuetzt und es klappt alles prima. Wird der URI aufgerufen kommt ein Prompt fuer User und PW, bei validen Username+PW bekommt man dann auch den Inhalt.
Jezt wuerde ich gerne den URI direkt aufrufen ohne das ein Prompt fuer Username kommt also direkt ueber den URI so circa. http://www.test.com/geschuetzt/user=test&pw=test
Ich bin fit in PHP und anderen Programmiersprachen wollte nur Fragen ob es dafür überhaupt eine Möglichkeit gibt?!

lG Markus

[Yeti]

Hi,

Ich bin fit in PHP und anderen Programmiersprachen wollte nur Fragen ob es dafür überhaupt eine Möglichkeit gibt?!

Du kannst mittels http://<username>:<password>@www.test.com/geschuetzt/ den Benutzernamen und das Passwort übergeben (natürlich wie immer <username> und <password> durch sinnvolle Kombinationen, hier test/test, ersetzen).

Der Yeti

[wahsaga]

hi,

Du kannst mittels http://<username>:<password>@www.test.com/geschuetzt/ den Benutzernamen und das Passwort übergeben

aber nicht per HTTP.

gruß,
wahsaga

[Yeti]

Hi,

aber nicht per HTTP.

Richtig. In HTTP 1.1 müsste die Anfrage so aussehen:

GET /geschuetzt/
Host: www.test.com
Authorization: <erwartete Auth.-Methode> <Username und Passwort nach Auth.-Methode verschlüsselt>

Er wollte afair die Seite per URL im Brauser aufrufen.

Der Yeti

[wahsaga]

hi,

Er wollte afair die Seite per URL im Brauser aufrufen.

eben, und das geht so wie vorgeschlagen nun mal mit dem gängisten browser nicht, sofern dieser auf aktuellen patch-level ist.

gruß,
wahsaga

[Yeti]

Hi,

eben, und das geht so wie vorgeschlagen nun mal mit dem gängisten browser nicht, sofern dieser auf aktuellen patch-level ist.

Falls du den IE6 mit XP SP2 meinst: Weg mit dem Dreck! :-)
Sorry, das wusste ich nicht. Habe davon schleunigst die Finger gelassen, als ich all die Horrormeldungen (z.B. jetzt diese hier) gelesen habe.

Halten wir fest: Es hat mal so funktioniert (und in "meinem" Opera 7.54 = aktuelles "Patch"-Level bis dato auch noch).

Der Yeti

[Sven Schrodt]

hallo !

[..]

Halten wir fest: Es hat mal so funktioniert (und in "meinem" Opera 7.54 = aktuelles "Patch"-Level bis dato auch noch).

funktioniert auch heute teilweise noch (auch im Mozilla), aber was schlimmer ist: dies ist _kein_ Standardverhalten und auch nicht dokumentiert, somit also nicht zukunftssicher

Ciao

Sven aus M.

[MudGuard]

Hi,

Halten wir fest: Es hat mal so funktioniert (und in "meinem" Opera 7.54 = aktuelles "Patch"-Level bis dato auch noch).
funktioniert auch heute teilweise noch (auch im Mozilla), aber was schlimmer ist: dies ist _kein_ Standardverhalten und auch nicht dokumentiert, somit also nicht zukunftssicher

Doch, das ist dokumentiert. Als ausdrücklich nicht zugelassen.
http://www.ietf.org/rfc/rfc1738.txt, Abschnitt 3.3

An HTTP URL takes the form:

http://<host>:<port>/<path>?<searchpart>

where <host> and <port> are as described in Section 3.1. If :<port>
   is omitted, the port defaults to 80.  No user name or password is
   allowed.

cu,
Andreas

[wahsaga]

hi,

Falls du den IE6 mit XP SP2 meinst: Weg mit dem Dreck! :-)

falls du einen älteren IE oder 6 ohne XP SP2 benutzt: dann erst recht weg mit dem dreck.

Sorry, das wusste ich nicht. Habe davon schleunigst die Finger gelassen, als ich all die Horrormeldungen (z.B. jetzt diese hier) gelesen habe.

dieser patch ist m.W. auch ohne XP SP2 erhältlich, und _dringend_ empfehlenswert, weil sich sonst diverse URL-spoofing-lücken ausnutzen lassen - und in zeiten des phishings sollte man da vorsichtig sein.

Halten wir fest: Es hat mal so funktioniert (und in "meinem" Opera 7.54 = aktuelles "Patch"-Level bis dato auch noch).

ja, mit abfrage, ob diese unsicheren daten übermittelt werden sollen.

ein IE auf aktuellem patch level wird nur noch einen syntax error im link-format melden.

gruß,
wahsaga

[Yeti]

Hi,

falls du einen älteren IE oder 6 ohne XP SP2 benutzt: dann erst recht weg mit dem dreck.

Kann ich leider nicht. Als Webentwickler ernte ich nur vorwurfsvolle Blicke, die sagen "Wie, du hast es nicht in dem Browser getestet, den die meisten Surfer benutzen??".

dieser patch ist m.W. auch ohne XP SP2 erhältlich, und _dringend_ empfehlenswert, weil sich sonst diverse URL-spoofing-lücken ausnutzen lassen - und in zeiten des phishings sollte man da vorsichtig sein.

Der gesunde Menschenverstand gepaart mit ein bisschen Wissen über die Dinge, die man tut, schützt noch besser vor Phishing.
Habe aber alle neusten (Stand: 18.11.2004) XP-Updates gezogen, muss ich heute abend zuhause mal ausprobieren, ob das user:pass@domain Format noch geht.

ja, mit abfrage, ob diese unsicheren daten übermittelt werden sollen.

Und so sollte es m.E. auch sein und nicht einfach den User entmündigen, weil der ja sowieso von nix ne Ahnung hat.

ein IE auf aktuellem patch level wird nur noch einen syntax error im link-format melden.

OK. Hatte ich auch schon bei einigen MS-Proxies erlebt. Wieder mal eine typische Verschlimmbesserung der Redmondianer.

Der Yeti

[wahsaga]

hi,

Ich habe ein Verzeichnis mit .htaccess geschuetzt und es klappt alles prima.

du redest also von HTTP AUTH, für dessen auslösung du zufällig eine .htaccess-datei zur konfiguration deines webservers hergenommen hast :-)

Wird der URI aufgerufen kommt ein Prompt fuer User und PW, bei validen Username+PW bekommt man dann auch den Inhalt.
Jezt wuerde ich gerne den URI direkt aufrufen ohne das ein Prompt fuer Username kommt also direkt ueber den URI so circa. http://www.test.com/geschuetzt/user=test&pw=test
Ich bin fit in PHP und anderen Programmiersprachen wollte nur Fragen ob es dafür überhaupt eine Möglichkeit gibt?!

über den "browser" bzw. HTTP selbst: nein.
über PHP selbst: siehe http://www.php.net/manual/de/wrappers.http.php

gruß,
wahsaga