Groups | Search | Server Info | Keyboard shortcuts | Login | Register [http] [https] [nntp] [nntps]

Groups > de.comp.lang.php > #4109 > unrolled thread

Speichern von hidden-Objekten in einer Form

Back to article view | Back to de.comp.lang.php

Contents

  Speichern von hidden-Objekten in einer Form Jan Novak <repcom@gmail.com> - 2017-05-26 12:10 +0200
    Re: Speichern von hidden-Objekten in einer Form Jan Novak <repcom@gmail.com> - 2017-05-26 12:28 +0200
      Re: Speichern von hidden-Objekten in einer Form "Christoph M. Becker" <cmbecker69@arcor.de> - 2017-05-26 15:11 +0200
        Re: Speichern von hidden-Objekten in einer Form Jan Novak <repcom@gmail.com> - 2017-05-26 15:43 +0200
          Re: Speichern von hidden-Objekten in einer Form "Christoph M. Becker" <cmbecker69@arcor.de> - 2017-05-26 16:00 +0200
            Re: Speichern von hidden-Objekten in einer Form Jan Novak <repcom@gmail.com> - 2017-05-26 17:36 +0200

#4109 — Speichern von hidden-Objekten in einer Form

Hallo,

wenn ich in einer Form ein "hidden Object" speichern will, letztendlich 
ein Array mit diversen Werten, was wäre da am sinnvollsten?
In die Session will ich es nicht speichern.

Jan

[toc] | [next] | [standalone]

#4110

Am 26.05.2017 um 12:10 schrieb Jan Novak:
> Hallo,
> 
> wenn ich in einer Form ein "hidden Object" speichern will, letztendlich 
> ein Array mit diversen Werten, was wäre da am sinnvollsten?
> In die Session will ich es nicht speichern.

habe es selbst gefunden: serialize / unserialize - macht genau was ich 
brauche.

Jan

[toc] | [prev] | [next] | [standalone]

#4111

Am 26.05.2017 um 12:28 schrieb Jan Novak:

> Am 26.05.2017 um 12:10 schrieb Jan Novak:
>
>> wenn ich in einer Form ein "hidden Object" speichern will,
>> letztendlich ein Array mit diversen Werten, was wäre da am sinnvollsten?
>> In die Session will ich es nicht speichern.
> 
> habe es selbst gefunden: serialize / unserialize - macht genau was ich
> brauche.

Siehe dazu aber unbedingt die Warnung auf
<http://php.net/manual/en/function.unserialize.php>!

-- 
Christoph M. Becker

[toc] | [prev] | [next] | [standalone]

#4112

Am 26.05.2017 um 15:11 schrieb Christoph M. Becker:
> Am 26.05.2017 um 12:28 schrieb Jan Novak:
> 
>> Am 26.05.2017 um 12:10 schrieb Jan Novak:
>>
>>> wenn ich in einer Form ein "hidden Object" speichern will,
>>> letztendlich ein Array mit diversen Werten, was wäre da am sinnvollsten?
>>> In die Session will ich es nicht speichern.
>>
>> habe es selbst gefunden: serialize / unserialize - macht genau was ich
>> brauche.
> 
> Siehe dazu aber unbedingt die Warnung auf
> <http://php.net/manual/en/function.unserialize.php>!

Danke für den Hinweis.
Bei den Daten handelt es sich nur um Objektdaten, die noch nicht in der 
DB stehen (Dokumentenpfade, Dokumenten Namen und Anderes) und völlig 
"save" sind. Keine sicherheitsrelevanten Daten.


Jan

[toc] | [prev] | [next] | [standalone]

#4113

Am 26.05.2017 um 15:43 schrieb Jan Novak:

> Am 26.05.2017 um 15:11 schrieb Christoph M. Becker:
>
>> Am 26.05.2017 um 12:28 schrieb Jan Novak:
>>
>>> Am 26.05.2017 um 12:10 schrieb Jan Novak:
>>>
>>>> wenn ich in einer Form ein "hidden Object" speichern will,
>>>> letztendlich ein Array mit diversen Werten, was wäre da am
>>>> sinnvollsten?
>>>> In die Session will ich es nicht speichern.
>>>
>>> habe es selbst gefunden: serialize / unserialize - macht genau was ich
>>> brauche.
>>
>> Siehe dazu aber unbedingt die Warnung auf
>> <http://php.net/manual/en/function.unserialize.php>!
> 
> Danke für den Hinweis.
> Bei den Daten handelt es sich nur um Objektdaten, die noch nicht in der
> DB stehen (Dokumentenpfade, Dokumenten Namen und Anderes) und völlig
> "save" sind. Keine sicherheitsrelevanten Daten.

Es geht nicht darum, ob die Daten sensibel sind, sondern darum, dass ein
böswilliger Anwender einen serialisierten String "einschleusen" kann,
der dann bei der Deserialsierung u.U. Objekte nachlädt und/oder
Objekt-Konstruktoren aufrufen kann. Mit json_encode()/json_decode() ist
man diesbezüglich auf der sicheren Seite.

Und selbst, wenn Du davon ausgehst, dass dieses Formular nur
vertrauenswürdige Anwender zu sehen bekommen (bzw. es abschicken
können), kannst Du schwerlich eine Phishing-Attacke ausschließen, bei
dem das Passwort des Users erbeutet wird. Eine Manipulation des
versteckten Formularfelds ist also nicht auszuschließen, falls das
Formular von einem öffentlich zugänglichen Webserver verarbeitet wird.

-- 
Christoph M. Becker

[toc] | [prev] | [next] | [standalone]

#4114

Am 26.05.2017 um 16:00 schrieb Christoph M. Becker:
> Am 26.05.2017 um 15:43 schrieb Jan Novak:
> 
>> Am 26.05.2017 um 15:11 schrieb Christoph M. Becker:
>>
>>> Am 26.05.2017 um 12:28 schrieb Jan Novak:
>>>
>>>> Am 26.05.2017 um 12:10 schrieb Jan Novak:
>>>>
>>>>> wenn ich in einer Form ein "hidden Object" speichern will,
>>>>> letztendlich ein Array mit diversen Werten, was wäre da am
>>>>> sinnvollsten?
>>>>> In die Session will ich es nicht speichern.
>>>>
>>>> habe es selbst gefunden: serialize / unserialize - macht genau was ich
>>>> brauche.
>>>
>>> Siehe dazu aber unbedingt die Warnung auf
>>> <http://php.net/manual/en/function.unserialize.php>!
>>
>> Danke für den Hinweis.
>> Bei den Daten handelt es sich nur um Objektdaten, die noch nicht in der
>> DB stehen (Dokumentenpfade, Dokumenten Namen und Anderes) und völlig
>> "save" sind. Keine sicherheitsrelevanten Daten.
> 
> Es geht nicht darum, ob die Daten sensibel sind, sondern darum, dass ein
> böswilliger Anwender einen serialisierten String "einschleusen" kann,
> der dann bei der Deserialsierung u.U. Objekte nachlädt und/oder
> Objekt-Konstruktoren aufrufen kann. Mit json_encode()/json_decode() ist
> man diesbezüglich auf der sicheren Seite.
> 
> Und selbst, wenn Du davon ausgehst, dass dieses Formular nur
> vertrauenswürdige Anwender zu sehen bekommen (bzw. es abschicken
> können), kannst Du schwerlich eine Phishing-Attacke ausschließen, bei
> dem das Passwort des Users erbeutet wird. Eine Manipulation des
> versteckten Formularfelds ist also nicht auszuschließen, falls das
> Formular von einem öffentlich zugänglichen Webserver verarbeitet wird.

Hmmm... OK, ich schaue mir mal die json_encode()/json_decode() 
Funktionen an.

THX

Jan

[toc] | [prev] | [standalone]

Back to top | Article view | de.comp.lang.php

csiph-web