PHP im Safari

[Mika]

Hallo Zusammen,

ich habe ein HTML-File mit Links auf eine PHP-Datei.
Den Parameter habe ich direkt an die URL angehängt:
z.B.: anfrage.php?paket=business

Im aufgerufenen PHP-File wird der Parameter mittels GET ausgelesen.
Auf diese Weise will ich einen der folgenden drei Radio-Buttons "vorselektieren":

<input type="radio" name="paket" value="basic" <?php if($_GET['paket'] == "basic") echo 'checked="checked"'?>><br />

<input type="radio" name="paket" value="business" <?php if($_GET['paket'] == "business") echo 'checked="checked"'?>><br />

<input type="radio" name="paket" value="premium" <?php if($_GET['paket'] == "premium") echo 'checked="checked"'?>>

Funktioniert im IE, Firefox und Opera wunderbar.

Nur Safari macht da nicht mit. Wenn ich mir im Safari denn Quelcode der PHP-Datei anzeigen lasse, steht sogar der PHP-Code noch im Quelltext???

Kann mir jemand sagen woran das liegt?

Gruß
Mika

[dedlfix]

echo $begrüßung;

Funktioniert im IE, Firefox und Opera wunderbar.
Nur Safari macht da nicht mit. Wenn ich mir im Safari denn Quelcode der PHP-Datei anzeigen lasse, steht sogar der PHP-Code noch im Quelltext???

Der Quellcode einer PHP-Datei ist immer PHP. Du meinst wohl eher das, was beim Browser ankommt. Bist du dir sicher, dass in den anderen Browsern kein PHP-Code mehr im Quelltext der angezeigten Seite zu finden ist? Die Abarbeitung von PHP erfolgt auf dem Server, ist also grundsätzlich unabhängig von einem konkreten Client.

echo "$verabschiedung $name";

[Mika]

Hallo dedlfix

Wenn ich mir im Safari denn Quelcode der PHP-Datei anzeigen lasse, steht sogar der PHP-Code noch im Quelltext???

damit ist wohl zweifellos das gemeint, was beim Browser ankommt...

Bist du dir sicher, dass in den anderen Browsern kein PHP-Code mehr im Quelltext der angezeigten Seite zu finden ist?

Ja hab es bei allen anderen Browser geprüft. Es steht kein PHP-Code mehr im Quelltext der angezeigten Seite. Auch wird der jeweils richtige Radio-Button vorselektiert.

Gruß
Mika

[Mika]

hat sich alles erledigt, der PHP-Server hatte wohl eine kleine Auszeit...

[RFZ]

hat sich alles erledigt, der PHP-Server hatte wohl eine kleine Auszeit...

Die du hoffentlich selbst verschuldet hast (nicht falsch verstehen ;) ) denn wenn das auf einem System eines Hosters für den du bezahlst passiert ist, würde ich umgehend wechseln, sowas kann äußerst böse Sicherheitsprobleme verursachen.

[dedlfix]

echo $begrüßung;

[im Quelltext ausgelieferte PHP-Dokumente] kann äußerst böse Sicherheitsprobleme verursachen.

Nehmen wir mal an, der Quelltext ist ohne Sicherheitslücken, also unanfällig gegen SQL-Injection und dergleichen. Das verbleibende Sicherheitsproblem wäre in meinen Augen nur noch eine Offenlegung von vertraulichen Daten. Dieses Risiko kann man umgehen, indem man solche Daten außerhalb des DocumentRoot ablegt. Ein ordentlicher Provider gestattet es, solche Verzeichnisse anzulegen. PHP hat, wenn es läuft, über das Dateisystem Zugriff auf diese Daten, und der Webserver liefert nichts aus, was nicht im DocumentRoot liegt. Bleibt dann noch ein weiteres Sicherheitsproblem übrig?

echo "$verabschiedung $name";

[RFZ]

Nehmen wir mal an, der Quelltext ist ohne Sicherheitslücken, also unanfällig gegen SQL-Injection und dergleichen. Das verbleibende Sicherheitsproblem wäre in meinen Augen nur noch eine Offenlegung von vertraulichen Daten. Dieses Risiko kann man umgehen, indem man solche Daten außerhalb des DocumentRoot ablegt. Ein ordentlicher Provider gestattet es, solche Verzeichnisse anzulegen. PHP hat, wenn es läuft, über das Dateisystem Zugriff auf diese Daten, und der Webserver liefert nichts aus, was nicht im DocumentRoot liegt. Bleibt dann noch ein weiteres Sicherheitsproblem übrig?

Deine Annahmen sind natürlich korrekt, ich habe sensible Daten wie php-Dateien mit den Datenbankpasswörtern auch ausserhalb des docroots oder in einem Verzeichnis worauf der Zugriff via .htaccess unterbunden wird.
Und natürlich bin ich bestrebt Quelltext ohne Sicherheitslücken zu schreiben ;)

Aber wie sieht die Realität aus? Wieviele fertige PHP Anwendungen kennst du, die keine config.php im Hauptverzeichnis der Anwendung haben? Fakt ist nunmal, dass soetwas praktiziert wird und hier wäre ein Ausfall des PHP Interpreters fatal.