PHP-Anwendungen, die auf Frameworks wie z.B Laravel oder Symfony basieren, sind mittlerweile weit verbreitet und benötigen in der Regel Zugriffsrechte für PHP auf das Verzeichnis "oberhalb" der document root. Nun ist es in dieser Hinsicht zwar schon positiv, dass sich hier in den PHP-Einstellungen (open_basedir) der gesamte Webspace freigeben lässt, aber letztlich hat man damit den Schutz aller anderen Projekte und auch Dokumente im selben Webspace gegen eine fehlerhafte oder eventuell gar gehackte Anwendung ausgehebelt. Deswegen würde ich es besser finden, dafür eine dritte Auswahlmöglichkeit für open_basedir in den PHP-Einstellungen zur Verfügung zu stellen, die das Verzeichnis über der document root freigibt. Damit wäre es dann möglich, die Verzeichnisse anderer Projekte im Webspace oder vertrauliche Dokumente, die eigentlich gar nicht über den Webserver zugreifbar sein sollten, vor dem Zugriff einer fehlerhaft programmierten/gehackten Laravel/Symfony/...-Anwendung zu schützen, was derzeit leider nicht möglich ist.
open_basedir
- tab
- Erledigt
-
Das ist ein sehr sehr guter Vorschlag.
Schade, dass sich hier Netcup noch nicht geäußert hat.) ping... [netcup] Lars S. .. oder wer auch immer
)Wie Du sagst, die aktuelle Möglichkeit erlaubt es zumindest den gesamtem Webspace freizugeben, aber so richtig gefällt mir diese Lösung auch nicht.
-
Hallo zusammen,
bin seit ein paar Tagen bei Netcup, ich hatte es bei meinem vorherigen Hoster auch immer so gehandhabt,
das ich vertrauliche Dokumente usw. eine ebene "oberhalb" document root abgelegt habe.
Config Dateien, SQlite Dateien, vertrauliche Dokumente usw... sollten NICHT über den Webserver zugreifbar sein!
Ich finde es schade, das es bis jetzt keine dementsprechende Option gibt, OHNE den gesamtem Webspace freizugeben.
Ich würde mich freuen wenn Netcup diese doch "Sicherheits Relevante", Möglichkeit noch implementieren würde.
EDIT: Ist es eigentlich normal das die ".user.ini" auch öffentlich aufrufbar ist (domin.tld/.user.ini), wie kann man es verhindern?
-
Ist es eigentlich normal das die ".user.ini" auch öffentlich aufrufbar ist (domin.tld/.user.ini), wie kann man es verhindern?
Leserechte für die Gruppe entfernen: chmod 0600 .user.ini
Wobei es mich etwas wundert, dass der Webserver das nicht von Haus aus verhindert…
-
Hallo,
der Thread ist als gelöst markiert, wie sieht die Lösung aus? -
Hallo,
der Thread ist als gelöst markiert, wie sieht die Lösung aus?Threads lösen sich hier leider irgendwann von selbst. Ich habe das jetzt mal wieder zurückgesetzt, weil wirklich gelöst ist er nicht.
-
Sehr schade das es dafür keine Möglichkeit gibt, es hindert mich leider auch dran das Webhosting von Netcup zu nutzen
