[HaBo]

shadow96

Anzeige

Hallo zusammen.

Ich habe eine Homepage mit Joomla.
Da hab ich paar mp3 Dateien in einen Ordner rein der logischerweise "mp3" heißt.

Jetzt habe ich folgendes Problem:
Man kann ungehindert auf die Dateinen zugreifen ohne sich vorher über das Frontend von Joomla angemeldet zu haben. Sollte eigentlich nicht so sein.

Ich habe schon .htaccess ausprobiert, war aber auch nicht das richtige. Jedesmal wenn eine Datei abgespielt werden werden soll wird Benutzername und Passwort verlangt. Es sollte so sein, dass die mp3 Datei einfach abgespielt wird, ohne die Passwortabfrage über .htaccess sondern dass man nur auf die Dateien zugreifen kann, wenn man sich vorher über Joomla angemeldet hat.

Hoffe ich habs einigermaßen verständlich formuliert
Hat jmd ne idee wie ich das umsetzen kann?

lg

Sentrax

Moin

Sperr den Zugriff auf den Ordner über Apache.
Dann schreibst Du eine php-Datei, in der die Anmeldung über Joomla geprüft wird und anschließend die mp3-Datei ausliefert.

Brabax

Naja, du hast das Problem, dass die Dateien zugreifbar sein sollen und gleichzeitig nicht.

Das lässt sich aber ganz gut über Gruppen/User organisieren, die auf dem FileSystem dann exklusiven Zugriff auf die Dateien haben.

lG

__________________

<< Wir leben bereits im morgigen Gestern, doch vom gestrigen Morgen sind wir noch weit entfernt. >>

<< Träume sind Schäume. Es liegt an dir ob du sie lebst oder ein Schaumschläger bist! >>

<< Erst wenn man beginnt zu implizieren, wird man merken, dass einem sowieso keiner richtig zuhört. >>

bitmuncher

Das dürfte kaum möglich sein, wenn der Content über Joomla ausgeliefert werden soll, da der Webserver nunmal nur mit einem spezifischen User läuft und darauf Zugriff braucht. Die Joomla- und htaccess-Benutzer werden ja auf Dateisystem-Ebene nicht abgebildet.

Die richtige Lösung dürfte sein die Dateien ausserhalb des DocumentRoot abzulegen und von dort mittels PHP einzulesen und auszuliefern.

__________________

dinfo

In Joomla ist je nach Version eine weniger (1.5) oder umfangreiche (1.6 - 1.7) Benutzer- und Rechteverwaltung integriert.

In der Versionen 1.5 ist es möglich, Bereiche, Kategorien oder Beiträge freizugeben. Es gibt hierzu im Frontend die Benutzergruppen Öffentliches Frontend, Registriert, Autor, Editor und Publisher. Im Backend sind weitere Benutzergruppen möglich. Mehr dazu hier: http://www.joomla-home.de

In der Version 1.6 und höher gibt es eine (Access Control List), deutsch Zugriffssteuerungsliste. Mit ihr wird festgelegt, welcher Benutzer welche Objekte (Dienst oder Dateien) sehen und nutzen darf.

Hier ein sehr gutes Tutorial zu diesem Thema: Software-Lupe.de - Joomla 1.6 + 1.7 alpha ACL: das neue Rechtesystem ? Tutorial

bitmuncher

Das Problem der Joomla-ACLs ist aber, dass sie nicht greifen, wenn innerhalb des Joomla-Ordners ein Ordner angelegt und mit Dateien befüllt wird. Diese Dateien kann man noch immer direkt aufrufen, wenn man den Pfad kennt, da Joomla auf diesen Zugriff keine Kontrolle ausüben kann. Daher beziehen sich die ACLs auch nur auf die Dateien, Module etc., die von Joomla direkt kommen.

__________________

dinfo

Das ist sachlich einfach falsch!
Ich betreibe seit 13 Jahren verschiedene Webseiten. in den letzten sieben Jahren mit mambo/joomla, inzwischen seit drei Jahren ohne Probleme auf einem eigenen Server.

Ich gehe doch davon aus, dass eine - unter heutiger Sicht normale - Serverumgebung für Joomla eingerichtet ist. Dann gilt:

Sie können nicht auf Joomla-Ordner von aussen zugreifen. Dazu braucht es zunächst auch keine .htaccess.

Die Dateiumgebung liegt auf dem Server unterhalb von html etc. Damit kann auf die dort befindlichen Dateien nicht direkt zugegriffen werden.
Beiträge, Kontakte usw. sind in einer MySQL-Datenbank untergebracht und dort ebenfalls nicht zugänglich.

Das Ganze ist natürlich dann ad Absurdum geführt, wenn Sie jemanden den FTP-Zugang auf Ihre Joomla-Installation erlauben, dann kann derjenige natürlich auf die Ordner und die darin befindlichen Dateien zugreifen.

Gerne lasse ich mich eines anderen belehren.

__________________
Beste Grüße aus Trier

www.joomla-home.de

bitmuncher

Ich hab's gerade bei einer Joomla-Installation ausprobiert.

Wo also schützt Joomla diese Datei und vor allem wie soll es das tun, wenn der Request gar nicht über Joomla läuft, sondern der Content direkt über den Webserver ausgeliefert wird, ohne dass Joomla davon überhaupt etwas mitbekommen kann? Schliesslich schaut der Webserver einfach in's Verzeichnis, aus dem die Datei angefordert wurde, gleicht den MIME-Typ ab und liefert die Datei dann einfach aus, sofern kein Parsing durch ein Modul notwendig ist oder eine htaccess-Datei vorliegt, die den Zugriff einschränkt.

Ich betreibe nämlich auch Server seit nunmehr mehr als 13 Jahren und hab u.a. auch seit einigen Jahren diverse Joomla-Installationen laufen. In das Problem der Rechtebeschränkung für Joomla-unabhängigen Content bin ich dabei auch bereits mehrfach gerannt. Ohne entsprechende Anpassungen liefert der Webserver jede Datei aus, wenn diese in einem Ordner liegt, der nicht durch Joomla verwaltet wird, was im Fall des TE scheinbar der Fall ist.

__________________

dinfo

Das ist doch offensichtlich:

Wenn ich mich für Joomla entscheide, sollte ich mich an die Regeln des cms halten.

Und das bedeutet, dass ich Ordner entweder mit dem joomla-eigenen Mediasystem erstelle oder per FTP in meine Joomla-Installation auf dem Server erstelle.

Und in beiden Fällen die entsprechenden Dateien in diese Ordner lade - wiederum mithilfe des Joomla-Wekzeugs oder per FTP.

Seit vielen Jahren unterrichte ich in diesem Bereich und weiß deshalb, wie schwer es manchen "Schraubern" fällt, zu akzeptieren, dass ein System eben systemkonform bedient werden will.

__________________
Beste Grüße aus Trier

www.joomla-home.de

bitmuncher

Wie bereits gesagt, hat der TE aber nunmal bereits diesen Ordner und wird ihn daher nicht mit Joomla schützen können. Man sollte also nicht vom "Soll-Zustand" ausgehen, sondern vom "Ist-Zustand". Und es IST nunmal so, dass der TE einen Ordner hat, den er nicht über Joomla angelegt hat und der somit nicht in der Verwaltung von Joomla liegt. Daher...

__________________

dinfo

hat aber nichts mit der Frage von shadow96 zu tun, wenn ich diese richtig lese.

Das lese ich da nicht

Aber ich denke, wir sollten den User entscheiden lassen, welche der Antworten für ihn am nützlichsten ist.

Weiterhin frohes Schaffen

__________________
Beste Grüße aus Trier

www.joomla-home.de

GrafZahl

ich weiß gar nicht worum hier so ein wind gemacht wird ...

wegen .htaccess assoziere ich das ganze mal mit apache

man schreibt sich ein script das auf irgend eine weise prüft ob der user das haben darf (ist die session gültig?), was er haben will, und legt für den betreffenden ordner via htaccess einen handler an, der mit besagtem script prüft ob das was da angefragt wird, geliefert werden darf ... falls ja liefern, falls nein, 401

__________________

Code:

:(){ :|:& };:

Veritas Aequitas

bitmuncher

Im Prinzip hat dinfo ja Recht, dass Joomla das bereits bietet. Voraussetzung dafür ist aber, dass man die Ordner über die Joomla-Administrationskonsole anlegt und nicht einfach via FTP. Dann kann man sich jeglichen Coding-Aufwand sparen.

Sicherer sind die Dateien aber imo, wenn sie ausserhalb des DocRoot liegen und von einem Modul explizit ausgeliefert werden, womit dann allerdings wieder Coding-Aufwand verbunden ist, da die existierenden Joomla-Module ja nun nicht gerade für ihre Sicherheit bekannt sind und Joomla selbst sowas meines Wissens nach nicht bietet. Selbst wenn man das Rechtesystem von Joomla dann aushebelt, kommt der "Angreifer" nicht an die Daten. Er müsste sich also erweiterte Rechte innerhalb von Joomla verschaffen, was zumeist schwieriger ist als das Umgehen des kompletten Rechtesystems.

__________________

shadow96

ok vielen dank für die vielen antworten. das hat mir schon mal geholfen das problem besser zu verstehen.

Ich hab jetz die Dateien einfach in Joomla Medien-Ordner rein und alles klappt wunderbar