Passwort Schutz für PHP-Seiten

[Tom]

Hello Sven,

Untertitel: aus gegebenem Anlass

Die letzen Tage kaman hier öfter völlig ungeschützte Scripte für Mail, Upload, Adminsitration vor. Ich will deshalb nur kurz erwähnen, dass eine Absicherung der PHP-Webseiten meistens schon mit ganz wenigen Code-Zeilen möglich ist:

Du hast vergessen zu erwähnen, dass dein Vorschlag

1. wunderbar problemlos auch einfach per .htaccess möglich ist, und
2. in der vorgestellten PHP-Form nur funktioniert, wenn PHP als Apache-Modul läuft, sowie
3. absolut nicht die einzige Methode des Passwortschutzes ist.

Gerade bei den diversen Shared-Hosting-Umgebungen ist PHP nicht als Modul in Betrieb, so dass .htaccess dort und eigentlich auch überall anders der deutlich einfachere Weg ist, einen Passwortschutz für sensible Bereiche zu etablieren.

Das stimmt natürlich. Vielen Dank für den Nachtrag. Man kann in einem kurzen Postung eben nicht die ganze Welt erklären ;-)

Dass aber die meisten[1] Provider inzwischen PHP als CGI einsetzen, kann ich ganz und gar nicht bestätigen. Die meisten Einrichtungen sind als Modul eingerichtet. Man hat sich auch größtenteils vom Safe-Mode verabschiedet, sondern stattdessen die paar wirklich notwendigen Konfigurationseinstellungen automatisiert und per default auf "sicher" eingestellt.

Ich selber habe zwei Teams von einigen größeren Providern dabei unterstützt, die Werkzeuge zu bauen. Eine mMn sichere PHP-Einrichtung ist dadurch durch "Knopfdruck" möglich. Aufweichung der Restriktionen muss explicit erfolgen.

Man hat heute

• eigene Verzeichnisse für Sessions
• eigene Temp-Dirs
• eignes Verzeichnis außerhalb der Document-Root, dass durch PHP les- und
    beschreibbar ist und durch FTP erreichbbar ist...
• usw.

Es sind auch oft nur noch ca. 30 User auf einer Maschine (vServerzelle), sodass der mögliche Schaden gering bleibt und die Nachvollziehbarkeit bei Schabernack und Missbrauch gestiegen ist.

[1] nach Anzahl gehosteter Kunden

Harzliche Grüße vom Berg
http://www.annerschbarrich.de

Tom