Checkbox und Radiobutton disablen und zugleich verarbeiten

[EKKi]

Mahlzeit Lothar,

Das mag sein. Andererseits sollte es Deine Pflicht als Programmierer sein, sauberen und sicheren Code abzuliefern, den man überhaupt gar nicht manipulieren *kann*.

Und wenn doch? Dann Arschkarte oder wie?

Nein. Wenn Du belegen kannst, dass Du z.B. alle üblichen, sich im Rahmen des (finanziell) Vertretbaren befindlichen Sicherheitsvorkehrungen getroffen hast, wieso solltest Du dann die Arschkarte haben?

Dummerweise gehört dazu aber IMHO z.B. auch, prinzipielle Gefahren wie "ich mache von manipulierbaren Benutzereingaben abhängig, ob und wie Daten geändert werden können" abzuwenden. Wenn sich ein Datensatz auf dem Server in einem definierten Zustand des "Nicht-geändert-werden-dürfens" befindet, dann muss vollkommen egal sein, was irgendwelche Benutzer oder Schlitzohren irgendwo eintippen bzw. irgendwie manipulieren ... der Datensatz wird einfach deshalb nicht geändert, weil auf dem Server die Information vorhanden ist, dass er nicht geändert werden darf.

Jder Code kann gehackt werden, wußtest Du das nicht?

Schon. Aber darum geht es gerade nicht. Es geht darum, einfachste und grundlegende Prinzipien der Formularverarbeitung mittels Webtechnologien, die schon vor 15 Jahren galten, zu verstehen und umzusetzen.

Es wäre durchaus denkbar, dass Dir eine eventuelle Mitschuld angelastet wird, wenn ein findiger Mitarbeiter eines Kunden es z.B. geschafft hat, ein von Dir geschaffenes System zu überlisten und z.B. größere Datenbestände zu vernichten.

In good old G. sicher. Muß ich Dir zustimmen. Aber in einem Rechtsstaat auch?

Definiere "Rechtsstaat".

Abgesehen natürlich davon, dass derart "schlampig" programmierte Anwendungen normalerweise *NIEMALS* irgendeine Form von Zertifikat erhalten werden

Was denn? Kein Jodeldiplom? Kein Gar nix? Oweia... *g*

Du magst darüber schmunzeln ... das zeigt mir allerdings auch, dass Du noch nie in einem wirklich "professionellen Umfeld" (und das meine ich jetzt im eigentlich Sinn des Wortes) Software entwickelt hast. Je größer das Unternehmen ist und je direkter die verwendete Software mit rechnungslegungsrelevanten Vorgängen wie z.B. finanzbuchhalterischen Buchungen, desto stärker spielt eine Zertifizierung bzw. die Sicherheit der durch das Programm verarbeiteten Daten sowie der verarbeitenden Vorgänge an sich eine Rolle.

Mir persönlich sind Fälle bekannt, in denen Kapitalgesellschaften das Testat des prüfenden Wirtschaftsprüfers unter dem Jahresabschlusses verweigert bzw. nur mit Einschränkungen gegeben wurde - weil die verwendete Software nicht den Anforderungen der Grundsätzen ordnungsmäßiger DV-gestützter Buchführungssysteme entsprach. Wenn Dir das etwas sagt, weißt Du, dass so etwas einem Unternehmen das Genick brechen kann.

Was hat Paranoia mit einer sauberen Anwendung zu tun, die nur vernünftige und korrekte Daten verarbeitet?

Wie war das? All Input is Evil oder so? DAS ist Paranoia pur ;-)

Nein. Das ist - insbesondere im Fall des Internets - das Mindestmaß an Sorgfalt, das man als Programmierer beachten muss. Ich weiß ja nicht, was Du die letzten Jahre so getan hast, aber die ganz großen (Sicherheits-)Probleme verbreiteter Browser, Systeme und Anwendungen scheinst Du verschlafen zu haben.

Sich darauf zu verlassen, "dass die User schon alles richtig machen (weil sie sich ja sonst strafbar machen)" ist mehr als grob fahrlässig.

Du meinst sicher: Sich darauf berufen, dass User nicht straftätig werden...

Es ist immer besser, seine Sache vernünftig zu machen, als sich darauf zu verlassen, dass andere brav sein werden (weil sie sonst auf die Finger bekommen) ... und anschließend nachträglich in Beweisnot zu geraten. Warum willst Du Dir das Leben unöntig schwer machen?

Ich schließe auch meine Haustüre ab. Aber ich mache nicht noch zusätzlich nen tonnenschweren Stein vor die Türe und installiere 3 Kameras und eine Selbstschussanlage, obwohl das technisch machbar wäre.

Uiii, schon wieder ein unpassende Vergleich ...

Du überprüfst doch aber z.B. Deine Unterlagen, wenn Dir jemand schreibt, er hätte noch 5.000 € von Dir zu bekommen und Du möchtest das doch bitte sofort daundda hin überweisen, oder? Siehst Du - von nichts anderem spreche ich: die Informationen, die von außen kommen, verifizieren ... und sich nicht blind auf alles verlassen, was in den Briefkasten (bzw. das Server-Skript) reintrudelt.

Und so wehre ich SQL-Injections ab, habe ein sicheres Login-System, und prüfe auch Formulare uind deren Inhalt.

Genau darum geht es doch. Du überprüfst also die Werte, die ein (angebliches) Formular an Deinen Server schickt? Prima - davon rede ich die ganze Zeit.

Aber irgendwo muss auch mal Schluss sein. Auch wenn sich, wie ich nun von Dir gelernt habe, hinter jeder Tastatur der Teufel verbirgt. ;-)

Wann habe ich das behauptet?

MfG,
EKKi