Benutzerbilder werden nicht angezeigt
Eingetragen von Olafski (13)am 30.08.2006 - 18:11 Uhr in
Für die Möglichkeit, Benutzern ein Benutzerbild zuzuordnen, habe ich in Drupal 4.7.3 das Verzeichnis "files/avatare" nach entsprechender Konfiguration vom CMS erstellen lassen und für einen Benutzer per Datei-Dialog im CMS das Bild hochgeladen. Das Bild wird im Browser nicht angezeigt, obwohl es im Vz. vorhanden ist. Rechtsklick auf den alternativen Text-Link und "Datei anzeigen" ergibt die Meldung 403 ("Forbidden - You don't have permission to access /drupal/files/benutzerbilder/picture-1.gif) on this server." Per FTP kann ich sehen, dass als Gruppe und Besitzer des Verzeichnisses sowie des Bildes "wwwrun nogroup" angegeben wird.
support[at]all-inkl.com antwortete mir, das Problem liege offenbar an der (von Drupal erzeugten) .htaccess Datei im Ordner /drupal/files/.
Inhalt der .htacess-Datei:
SetHandler Drupal_Security_Do_Not_Remove_See_SA_2006_006
Options None
<IfModule mod_rewrite.c>
RewriteEngine off
</IfModule>Wenn die Datei zum Test umbenannt wird und damit nicht mehr wirksam ist, wird das Benutzerbild problemlos per Direktaufruf angezeigt. Allerdings wird die .htaccess-Datei aus Sicherheitsgründen empfohlen.
Der Vorschlag, die Zugriffsrechte der betroffenen Dateien u. des Verzeichnisses per Webinterface wieder auf meinen FTP-User zurücksetzen, führte dazu, dass Drupal nicht mehr daran kommt und das auch dementsprechend bemängelt. Daraufhin war es mir nicht mehr möglich, einem Benutzer ein Benutzerbild zuzuordnen – vgl. folgende Meldung:
* warning: copy(files/avatare/picture-1.gif): failed to open stream: Permission denied in /www/htdocs/v028899/drupal/includes/file.inc on line 374.
* Die ausgewählte Datei ‚/tmp/tmp_0uKPGI‘ konnte nicht kopiert werden.
* Das Hochladen des Bildes ist fehlgeschlagen. Das Verzeichnis ‚avatare‘ existiert nicht.Nun meine Frage: Gibt es eine Möglichkeit, Benutzerbilder per Drupal hochzuladen (und anzeigen zu lassen), ohne die Sicherheitsfunktion der .htaccess-Datei zu beeinträchtigen?
PS: Die Frage wird auf Englisch offenbar ähnlich unter http://drupal.org/node/68805 diskutiert, steige aber noch nicht durch, ob es eine sichere Lösung gibt. (Bin außerdem Drupal-Anfänger.)
- Anmelden oder Registrieren um Kommentare zu schreiben
Ich hatte das gleiche
am 30.08.2006 - 22:03 Uhr
Ich hatte das gleiche Problem bei einem anderen Provider. Bei mir hat es geholfen in der .htaccess im files-Verzeichnis die Zeile
Options Noneauszukommentieren (bzw. zu entfernen).Anscheinend akzeptieren manchen Provider keine Änderungen der Default-Webserver-Einstellungen, auch wenn eigentlich gar nichts ("none") geändert wird. Ich musste auch in der .htaccess-Datei im Drupal-Root-Directory einige Zeilen verändern damit ich überhaupt Drupal verwenden kann.
und die Sicherheitsfrage?
am 31.08.2006 - 00:13 Uhr
Ich hatte das gleiche Problem ...
Danke, geteiltes Leid ist halbes Leid!
Bei mir hat es geholfen in der .htaccess im files-Verzeichnis die Zeile Options None auszukommentieren
Und kann jemand die Sicherheitsfrage einschätzen, wenn die Zeile auskommentiert wird?
Security Patch verhindert Anzeige von Bildern
am 01.09.2006 - 10:07 Uhr
Ich hatte das gleiche Problem bei einem anderen Provider. Bei mir hat es geholfen in der .htaccess im files-Verzeichnis die Zeile
Options Noneauszukommentieren (bzw. zu entfernen).Anscheinend akzeptieren manchen Provider keine Änderungen der Default-Webserver-Einstellungen, auch wenn eigentlich gar nichts ("none") geändert wird. Ich musste auch in der .htaccess-Datei im Drupal-Root-Directory einige Zeilen verändern damit ich überhaupt Drupal verwenden kann.
Erst jetzt sah ich, dsas das Problem unter http://drupal.org/node/67244 ausführlich besprochen wird: Es gibt dort unterschiedliche Lösungsvorschläge, u.a. das weitere Ergänzen oder auch das Leeren der .htaccess-Datei. (Bei mir funktioniert nur die Variante mit der fast leeren .htaccess-Datei.) Der Bug ist in dem genannten Thread - vorläufig - als "fixed" markiert worden, doch nach wie vor ist mir nicht klar, welche Sicherheitsrisiken die fast leere .htaccess-Datei mit sich bringt. Weiß jemand mehr?