[gelöst] Forum unsicher? Umgehen des LogIn durch url-Direkteingabe
Eingetragen von Peer (8)am 23.11.2009 - 22:32 Uhr in
Guten Abend,
folgendes Problem: Ein authentifizierter Benutzer unseres Forums hat die Kontodaten des Betreibers des Forums öffentlich lesbar gepostet.
Um um aber die Veröffentlichung von sensiblen Daten zu vermeiden, habe ich als admin entsprechende Bankdaten gelöscht und einen Link auf die Infoseite geschrieben, wo diese aufgeführt sind. Den Link nannte ich "bitte hier klicken und einloggen".
Normalerweise ist das gesamte Menue, also auch der Menuepunkt "Info" erst nach dem LogIn ersichtlich; und das Forum ist auch für jeden Gast lesbar. So soll es auch bleiben.
Wie ich dann aber feststellte ist der Menuepunkt "Info" (eine Seite) aber nun durch klicken auf den Link direkt zugänglich geworden. Einzig das Menue wird ohne LogIn nicht angezeigt.
Folgend habe ich die anderen Menuepunkte (sowohl URL-Aliasse, als auch ....node/6, etc) in die Adresszeile des Browsers eingegeben und, siehe da, ich kann alles lesen.
Meine Frage nun: da das Forum lesbar bleiben soll, möchte ich nicht die Berechtigung des Gastes zum Lesen des node-Moduls unterbinden. Jedoch dürfen die Inhalte der anderen Menuepunkte (seiten) erst nach de LogIn lesbar sein, auch weil dort eben Bankdaten und alle persönlichen Adressen sonst sichtbar wären.
Wer weiss Rat?
Danke schon mal sehr!!!
Beste Grüsse, Peer
- Anmelden oder Registrieren um Kommentare zu schreiben
Peer schrieb Einzig das
am 23.11.2009 - 23:37 Uhr
Einzig das Menue wird ohne LogIn nicht angezeigt.
Was in der Navigation angezeigt wird und worauf zugegriffen werden kann sind unterschiedliche Dinge. Es ist illusorisch, eine sicherheitskritische Website ohne Kentnisse von HTTP aufzuziehen (egal ob mit Drupal oder einem anderen CMS). Macht euch mit den Internas von Drupal und dem World Wide Web vertraut oder besorgt euch jemanden, der das bereits getan hat.
--
node access
am 24.11.2009 - 07:46 Uhr
... und falls Du dann noch den Zugriff auf einzelne Nodes oder Nodes in bestimmten Kategorien beschränken willst, such doch einfach mal nach "node access".
hth,
Stefan
--
Sei nett zu Deinem Themer!
node access
am 24.11.2009 - 21:48 Uhr
Hallo Stefan,
das war genau das, was ich gesucht habe: mit "node access" habe ich die Seiten mit "prekärem Inhalt" für die nicht authentifizierten Nutzer gesperrt. Super vielen Dank für Deinen konstruktiven und hilfreichen Beitrag!