Link aktivieren, der über die Post Methode sendet

[Johannes]

Hallo Leute,

Ich arbeite mit Perl bzw. dem HTML-Template fuer eine Internetanwendung.

Ich moechte aber nicht, dass wenn ich auf einen
Link klicke, die GET-Methode verwendet wird, sondern dass über POST die Daten an den Server uebermittelt werden.

Ich will nur einen Link aktivieren (dahinter verbirgt sich ein Perlskript). Leider erscheinen aber in der Adresszeile des Browsers die ganzen Parameter.

Wie kann ich aber einen Link verwenden, der ueber Post sendet, oder geht das wirklich nur mit einem Formular. Gibt es da vielleicht einen Workaround?

Vielen Dank fuer Eure Hilfe!

Lieben Gruss
Johannes

[Christoph Zurnieden]

Hi,

Wie kann ich aber einen Link verwenden, der ueber Post sendet, oder geht das wirklich nur mit einem Formular. Gibt es da vielleicht einen Workaround?

Ein netter Workaorund waere es z.B. die Bedingungen zu aendern, die ein POST ohne Formular noetig machen.
Warum moechtest Du denn ein POST anstelle des GET?

so short

Christoph Zurnieden

[Johannes]

Hi,

Wie kann ich aber einen Link verwenden, der ueber Post sendet, oder geht das wirklich nur mit einem Formular. Gibt es da vielleicht einen Workaround?

Ein netter Workaorund waere es z.B. die Bedingungen zu aendern, die ein POST ohne Formular noetig machen.
Warum moechtest Du denn ein POST anstelle des GET?

Mich stören die Parameter in der URL. Sie duerfen nicht gesehen werden und das ist ja mit POST möglich. Wie kann ich aber ein Link aktivieren, das wiederum ein Perlskript aktiviert, ohne dass die Parameter fuer das Skript sichtbar sind?

Wie kann ich die Bedingung ändern? Ich verstehe es leider nicht!

so short

Christoph Zurnieden

[Christoph Zurnieden]

Hi,

Warum moechtest Du denn ein POST anstelle des GET?

Mich stören die Parameter in der URL. Sie duerfen nicht gesehen werden[...]

Ja, soweit war ich denn auch schon ;-)
Die erste Frage ist: _warum_ duerfen sie nicht gesehen werden?
Die zweite Frage ist: _warum_ darf es kein Formular sein?

Wie kann ich die Bedingung ändern?

Keine Ahnung, dafuer muesstest Du schon mindestens eine der obigen Fragen beantworten, besser beide.

so short

Christoph Zurnieden

[Johannes]

Hi,

Warum moechtest Du denn ein POST anstelle des GET?

Mich stören die Parameter in der URL. Sie duerfen nicht gesehen werden[...]

Ja, soweit war ich denn auch schon ;-)
Die erste Frage ist: _warum_ duerfen sie nicht gesehen werden?

Da wird die Session-ID uebergeben und ich denke, das es nicht gut
waere.

Die zweite Frage ist: _warum_ darf es kein Formular sein?

Wieso kein Formular? Ich will einen Link aktivieren
und keinen Button drücken müssen.

Wie kann ich die Bedingung ändern?

Keine Ahnung, dafuer muesstest Du schon mindestens eine der obigen Fragen beantworten, besser beide.

so short

Christoph Zurnieden

[Cheatah]

Hi,

Da wird die Session-ID uebergeben und ich denke, das es nicht gut
waere.

eine Session-ID enthält keine sensible Information. Alle Daten sind beim Server gespeichert.

Die zweite Frage ist: _warum_ darf es kein Formular sein?
Wieso kein Formular? Ich will einen Link aktivieren
und keinen Button drücken müssen.

Wo siehst Du den Unterschied?

Cheatah

[Johannes]

Hi,

Da wird die Session-ID uebergeben und ich denke, das es nicht gut
waere.

eine Session-ID enthält keine sensible Information. Alle Daten sind beim Server gespeichert.

Die zweite Frage ist: _warum_ darf es kein Formular sein?
Wieso kein Formular? Ich will einen Link aktivieren
und keinen Button drücken müssen.

Wo siehst Du den Unterschied?

Ich möchte einen Link aktivieren. In einem Formular
habe ich aber einen Submit-Button den ich drücken muss.

Ich habe aber in meinem HTML-Code ein Menü von dem aus
verschiedene Links (verweisen alle zu CGI-Skripten) anklickbar sind. Ich kann doch aber keine Submitt-Buttons aus einem Formular für Menüfelder verwenden.
Oder denke ich da falsch? Kann ich vielleicht auch auf diesen
blöden Submit-Button verzichten????

Cheatah

[Johannes]

Hi,

Da wird die Session-ID uebergeben und ich denke, das es nicht gut
waere.

eine Session-ID enthält keine sensible Information. Alle Daten sind beim Server gespeichert.

Die zweite Frage ist: _warum_ darf es kein Formular sein?
Wieso kein Formular? Ich will einen Link aktivieren
und keinen Button drücken müssen.

Wo siehst Du den Unterschied?

Ich möchte einen Link aktivieren. In einem Formular
habe ich aber einen Submit-Button den ich drücken muss.

Ich habe aber in meinem HTML-Code ein Menü von dem aus
verschiedene Links (verweisen alle zu CGI-Skripten) anklickbar sind. Ich kann doch aber keine Submitt-Buttons aus einem Formular für Menüfelder verwenden.
Oder denke ich da falsch? Kann ich vielleicht auch auf diesen
blöden Submit-Button verzichten????

Mein Traumvorstellung:

<form name="Feedback" action="http://www.der- allesrausbekommer.de/cgi-bin/feedback.cgi">

<input type="hidden" name="UserBrowser" value="">
  <input type="hidden" name="UserBrowser" value="">
  <a href="?">schick das Formular ab</a>
 </form>

geht das so in der ARt vielleicht?

Cheatah

[Christoph Zurnieden]

Hi,

Ich möchte einen Link aktivieren. In einem Formular
habe ich aber einen Submit-Button den ich drücken muss.

Was, um Gottes Willen bedeutet eigentlich "Link aktivieren"?
Draufklicken?

Ich habe aber in meinem HTML-Code ein Menü von dem aus
verschiedene Links (verweisen alle zu CGI-Skripten) anklickbar sind.

Ja, das ist so ueblich. In den Parametern werden dann die Sessions uebertragen, auch das ist so ueblich. Da ist sicherheitstechnisch nichts dran zu maekeln. Zumindest, wenn Du auf der Serverseite alles richtig gemacht hast und auch die nichttechnischen Probleme im Griff hast.

Ich kann doch aber keine Submitt-Buttons aus einem Formular für Menüfelder verwenden.

Selbstverstaendlich kannst Du das, warum solltest Du das denn nicht koennen?

Oder denke ich da falsch? Kann ich vielleicht auch auf diesen
blöden Submit-Button verzichten????

Ja, kannst Du.
Dann ist aber einiges an Funktion auf Javascript angewiesen.

Mein Traumvorstellung:

<form name="Feedback" action="http://www.der- allesrausbekommer.de/cgi-bin/feedback.cgi">

Per Default verschicken die meisten Browser ein GET wenn nichts anderes dran steht, so auch bei Deinem Beispiel hier.

<input type="hidden" name="UserBrowser" value="">
  <input type="hidden" name="UserBrowser" value="">
  <a href="?">schick das Formular ab</a>
</form>

geht das so in der ARt vielleicht?

Klar geht das so auch. Im "href" steht dann der normale Linkaufruf (also als GET) und dazu noch ein "onclick", das das Formular "submitted".

Aber lass Dir gesagt sein: das mit den Session-IDs in den URIs ist normal, da brauchst Du Dir keine Sorgen zu machen.

so short

Christoph Zurnieden

[Johannes]

Hallo Christoph,

danke fuer Deine Geduld!

Das folgende HTML-Gerüst wäre meine Traumvorstellung
(noch einmal korrigiert!!!):

<form name="Feedback" action="http://localhost/cgi-bin/feedback.cgi" Method="POST">
<input type="hidden" name="UserBrowser" value="">
<input type="hidden" name="UserBrowser" value="">
<a>aktiviert den im Formular angegebenen Link</a>
</form>

Das kann doch nicht so schwer sein. Haben die bei der HTML-Spezifikation ein bisschen geschlafen, dass das nicht möglich ist.
Ich will kein Button und auch kein Image als Sende-knopf verwenden,sondern einen ganz normalen Text-Link!

Wie sieht das denn genau mit JavaScript aus?

[Ashura]

Hallo Johannes.

Ich will kein Button und auch kein Image als Sende-knopf verwenden,sondern einen ganz normalen Text-Link!

Bitte etwas genauer:

Willst du einen Textlink, oder einfach nur etwas, dass wie ein normaler Textlink *aussieht*?

Einen schönen Sonntag noch.

Gruß, Ashura

[Johannes]

Hallo Johannes.

Ich will kein Button und auch kein Image als Sende-knopf verwenden,sondern einen ganz normalen Text-Link!

Bitte etwas genauer:

Willst du einen Textlink, oder einfach nur etwas, dass wie ein normaler Textlink *aussieht*?

Ich will so was:

<a>Mein Textlink</a> <--- dieser Link soll ein
CGI-Skript aktivieren und über die POST-HTTP-Funktion sollen Parameter an dieses Skript gesendet werden.

Einen schönen Sonntag noch.

Gruß, Ashura

[Ashura]

Hallo Johannes.

Willst du einen Textlink, oder einfach nur etwas, dass wie ein normaler Textlink *aussieht*?

Ich will so was:

<a>Mein Textlink</a> <--- dieser Link soll ein
CGI-Skript aktivieren und über die POST-HTTP-Funktion sollen Parameter an dieses Skript gesendet werden.

Du hast meine Frage nicht beantwortet.

Einen schönen Sonntag noch.

Gruß, Ashura

[Johannes]

Hallo Johannes.

Willst du einen Textlink, oder einfach nur etwas, dass wie ein normaler Textlink *aussieht*?

Ich will so was:

<a>Mein Textlink</a> <--- dieser Link soll ein
CGI-Skript aktivieren und über die POST-HTTP-Funktion sollen Parameter an dieses Skript gesendet werden.

Du hast meine Frage nicht beantwortet.

ICH WILL EINEN TEXTLINK!!!!!!

Einen schönen Sonntag noch.

Gruß, Ashura

[Ashura]

Hallo Johannes.

Du hast meine Frage nicht beantwortet.

ICH WILL EINEN TEXTLINK!!!!!!

Ich hätte dir gerne eine Alternative angeboten, aber da du es für nötig erachtest, mich anzuschreien, sehe ich davon ab.

Einen schönen Sonntag noch.

Gruß, Ashura

[Johannes]

Hallo Johannes.

Du hast meine Frage nicht beantwortet.

ICH WILL EINEN TEXTLINK!!!!!!

Ich hätte dir gerne eine Alternative angeboten, aber da du es für nötig erachtest, mich anzuschreien, sehe ich davon ab.

SORRY, aber ich bin mit den Nerven echt am Ende. Ich kann mich
 nur entschuldigen!

Für eine Alternative wäre ich aber trotzdem sehr dankbar.
 Verstehe aber, wenn Du jetzt keine Ambitionen mehr dazu hast.

Einen schönen Sonntag noch.

Gruß, Ashura

[Ashura]

Hallo Johannes.

SORRY, aber ich bin mit den Nerven echt am Ende. Ich kann mich
nur entschuldigen!

Ich nehme die Entschuldigung an.

Für eine Alternative wäre ich aber trotzdem sehr dankbar.

Du kannst dir ja einmal anschauen, was mittels CSS möglich ist.

Einen schönen Sonntag noch.

Gruß, Ashura

[Johannes]

Einen Button so zu gestalten, als ob es ein Link ist - ist genial.

Auf CSS wäre ich nicht gekommen. Gott sei dank ist CSS nicht vom
User ausschaltbar - das macht diesen Vorschlag perfekt und ist wahrscheinlich gängige Praxis!

Vielen Dank, Du hast mich gerettet!

Lieben Gruss
Johannes

Hallo Johannes.

SORRY, aber ich bin mit den Nerven echt am Ende. Ich kann mich
nur entschuldigen!

Ich nehme die Entschuldigung an.

Für eine Alternative wäre ich aber trotzdem sehr dankbar.

Du kannst dir ja einmal anschauen, was mittels CSS möglich ist.

Einen schönen Sonntag noch.

Gruß, Ashura

[Ashura]

Hallo Johannes.

Einen Button so zu gestalten, als ob es ein Link ist - ist genial.

Auf CSS wäre ich nicht gekommen.

Deshalb habe ich dich ja gefragt, ob es dir nur auf die Optik ankommt.

Gott sei dank ist CSS nicht vom
User ausschaltbar - das macht diesen Vorschlag perfekt und ist wahrscheinlich gängige Praxis!

*Alles* ist vom User abschaltbar. Bei CSS ist es aber weniger wahrscheinlich, dass es abgeschaltet wird.

Vielen Dank, Du hast mich gerettet!

Keine Ursache.

Einen schönen Sonntag noch.

Gruß, Ashura

[Sven Rautenberg]

Moin!

Gott sei dank ist CSS nicht vom
User ausschaltbar - das macht diesen Vorschlag perfekt und ist wahrscheinlich gängige Praxis!

*Alles* ist vom User abschaltbar. Bei CSS ist es aber weniger wahrscheinlich, dass es abgeschaltet wird.

Würde ich nicht sagen. Natürlich - beim IE ist es ziemlich gut in Menüs versteckt und wird wohl eher unwahrscheinlich sein. Beim Opera beispielsweise kommt diese Möglichkeit direkt in der Buttonleiste des Browsers vor - da dürfte es schon nicht mehr so unwahrscheinlich sein.

- Sven Rautenberg

[Ashura]

Hallo Sven.

Beim Opera beispielsweise kommt diese Möglichkeit direkt in der Buttonleiste des Browsers vor - da dürfte es schon nicht mehr so unwahrscheinlich sein.

Deshalb schrieb ich auch „weniger wahrscheinlich“ und nicht „unwahrscheinlich“.

Einen schönen Sonntag noch.

Gruß, Ashura

[Cheatah]

Hi,

Ich möchte einen Link aktivieren. In einem Formular
habe ich aber einen Submit-Button den ich drücken muss.

und der Unterschied ist ...?

Cheatah

[Sven Rautenberg]

Moin!

Die erste Frage ist: _warum_ duerfen sie nicht gesehen werden?

Da wird die Session-ID uebergeben und ich denke, das es nicht gut
waere.

Welche konkreten Probleme erwartest du?

Eine Session-ID ist, wenn man einen hinreichend vernünftigen Mechanismus wählt (also nicht Zahlen nur von 0 bis 9 nimmt, sondern einen _erheblich_ größeren Bereich, und darin zufällig auswählt), praktisch nicht zu erraten, wenn man sie nicht weiß, und deshalb auch kaum manipulierbar.

Aber wenn dich die Session-ID in der URL stört, warum setzt du dann kein Cookie mit der ID?

Die zweite Frage ist: _warum_ darf es kein Formular sein?

Wieso kein Formular? Ich will einen Link aktivieren
und keinen Button drücken müssen.

POST-Requests müssen zwingend mit einem Formular abgeschickt werden, einen anderen Mechnismus kennt kein Browser.

Den Submit-Button über einen Link per Javascript zu drücken wäre eine Alternative - aber willst du wirklich deine Website so unzugänglich machen? Keine Suchmaschine würde mehr deine Seiten aufrufen können, und zum Surfen bräuchte man Javascript eingeschaltet - oder du hast mehr oder weniger zwingend diese "wunderschönen" Formularbuttons auf deinen Seiten.

Unter dem Strich: Deine Idee ist blödsinnig. Ein POST-Formular schützt die Session-ID nicht vor Manipulation, ein Cookie auch nicht. Wenn du ein Problem mit manipulierten Session-IDs hast, solltest du an diesem Problem ansetzen, und es nicht optisch "verschönern" wollen.

- Sven Rautenberg

[Johannes]

Ich gebs auf und lasse die URL so wie sie ist.

Dein Vorschlag mit den Cookies ist ja ganz nett, aber was ist, wenn
der User keine Cookies aktiviert hat?

Genauso verhält es sich, wenn ich jetzt JavaScript einsetze.

Ich finde es einfach nur hässlich diese URL´s mit dem Session-Parameter.

Ich bin einfach nur enttäuscht über diese Techniken, die ich hier vorgesetzt bekomme, weil man damit echt nichts anfangen kann.

Gruss und natürlich vielen Dank!
Johannes

[Sven Rautenberg]

Moin!

Ich gebs auf und lasse die URL so wie sie ist.

Dein Vorschlag mit den Cookies ist ja ganz nett, aber was ist, wenn
der User keine Cookies aktiviert hat?

Dann bleibt dir eben doch wieder nur die URL. Aber wie wahrscheinlich ist es, dass jemand Cookies abgeschaltet hat?

Genauso verhält es sich, wenn ich jetzt JavaScript einsetze.

Richtig.

Ich finde es einfach nur hässlich diese URL´s mit dem Session-Parameter.

Dann lass die Session-ID doch einfach weg. Warum hängt die denn da überhaupt in der URL rum?

Ich bin einfach nur enttäuscht über diese Techniken, die ich hier vorgesetzt bekomme, weil man damit echt nichts anfangen kann.

Fakt ist, dass POST nur per Formular erzeugt werden kann. Und Formulare können nur per Submit-Button oder JS-Funktion abgeschickt werden.

Alles andere ergibt sich daraus.

- Sven Rautenberg

[frankx]

Moin auch,

Fakt ist, dass POST nur per Formular erzeugt werden kann. Und Formulare können nur per Submit-Button oder JS-Funktion abgeschickt werden.

na type="image" zum submitten gibts doch auch, oder, das sieht dann wenigsten bildlicher aus...;

Gruß, Frankx

[Christoph Zurnieden]

Hi,

Dein Vorschlag mit den Cookies ist ja ganz nett, aber was ist, wenn
der User keine Cookies aktiviert hat?

Dann gibt es einen Fallbackmechanismus z.B. einfache Links, also GET.

Genauso verhält es sich, wenn ich jetzt JavaScript einsetze.

Ja, ganz genauso: es gibt einen Falbackmechanismus wie z.B. einfache Links, also GET.

Ich finde es einfach nur hässlich diese URL´s mit dem Session-Parameter.

Das ist ein gutes Argument -- fuer ein kuenstlerisches Projekt. Liegt Dein Projekt in diesem Bereich?

Ich bin einfach nur enttäuscht über diese Techniken, die ich hier vorgesetzt bekomme, weil man damit echt nichts anfangen kann.

Die einzige Moeglichkeit, die es wirklich gibt wirst Du hier nicht genannt bekommen[1]. Oder etwa doch?

Aber die miesen Scherze mal beiseite: aus Deiner urspruenglichen Fragestellung haette sich leicht ableiten lassen, das Dein eigentliches Problem mit dem Backend zu tun hat. Du koenntest die Implementation der Sessions z.B. derart versaut haben, das die Geheimhaltung der IDs noetig waere. Das ist leider zu leicht gemacht, das Versauen meine ich, da ist schnell mal eine Ueberpruefung vergessen, ein Timeout verschlampt oder die Initialisiserung des PRNG vertroedelt.
An ein aesthetisches Problem kann jedoch ganz anders herangegangen werden. Auch wenn sich mal wieder herausstellt, das das eigentliche Problem mal wieder ganz woanders lag und noch nicht einmal durch Ziehen saemtlicher Wuermer sondern erst durch Zufall herauskam. Tue Dir also beim naechstem Mal, ob hier oder woanders ist egal, selbst den Gefallen und beantworte die Nachfragen sorgfaeltig.
Betriebsblindheit kennt keine Schranken, die befaellt Laien wie Genies zugleich ;-)

so short

Christoph Zurnieden

[1] ich hab's allerdings nicht ausprobiert.

[opi]

Hallo Johannes,

Warum moechtest Du denn ein POST anstelle des GET?

Mich stören die Parameter in der URL. Sie duerfen nicht gesehen werden[...]

Ja, soweit war ich denn auch schon ;-)
Die erste Frage ist: _warum_ duerfen sie nicht gesehen werden?

Da wird die Session-ID uebergeben und ich denke, das es nicht gut
waere.

diesen Thread habe ich nun ein wenig verfolgt und muss dir
beipflichten. Ich stand auch mal vor dem Problem, dass mich
die Parameter in der Adresszeile des Browsers gestört haben.

Leider ist die POST-Methode nur für Formulare möglich,
ansonsten bist du dazu gezwungen, die Daten über die
Standardmethode GET zu senden, es sei, es gibt irgendwelche
anderen Möglichkeiten über Javascript.

An dieser Stelle solltest du dich allerdings nicht von der
Möglichkeit verführen zu lassen, Cookies zu nutzen. Vor
einiger Zeit hatte ich mich mal mit Cheatah in der Wolle,
das die Nutzung von Cookies doch kein Problem darstellen.
Mittlerweile bin ich da anderer Meinung.

Dich sollte es nicht stören, wenn man die Parameter in der
Adresszeile sieht. Viele Große Anbieter nutzen diese Art
der Authentifizierung - hier sei nur mal GMX genannt.
Natürlich ist es mit viel Arbeit verbunden, die Session-ID
an jeden Link oder in jedes Formular einzubauen, aber wenn
du es erstmal geschafft hast, dann hast du ein System, welches
immer funktioniert, solange du keine Langzeit-Logins
verwendest. Aber ich habe mal gelesen, dass es selbst hierfür
Möglichkeiten gibt.

Wenn dich die Parameter in der Adresszeile aus dem Grund
stören, weil hinter einem Benutzer stehende Menschen diese
ID sehen könnten, dann verwende doch einfach eine sehr lange
ID, die man sich schlecht merken kann.

Greez,
opi

[Manuel B.]

Hi,

Da wird die Session-ID uebergeben und ich denke, das es nicht gut
waere.

Wieso kommst du zu der Annahme, das bei POST die Session nicht einsehbar ist? Zumindest im Quelltext ist sie sichtbar.

Ich hab sowas immer mit form.submit() gemacht (Wurde ja auch schon gesagt).
Ich löse sowas jetzt aber immer anders. Ich schreibe die URL mit mod_rewrite um, dann steht zwar die Session immer noch in der URL, aber es sieht halt besser aus ;)

http://5zfngksdkrtivkj5467.domain.tld/unterordner
http://www.domain.tld/5zfngksdkrtivkj5467/unterordner
usw.

Vielleicht ist das ja ein Lösungsansatz für dich :)

MfG
Manuel