🚀 go-pugleaf

W dniu 05.11.2016 o 18:37, mwitkowski2b@gmail.com pisze:
> Proszę o poradę w jaki sposób uzyskać ten sam adres url, bez względu na aktywny skrypt. Mam stronę napisaną w php. Powiedzmy strona o nazwie: www.moja_strona
> Na starcie użytkownik widzi url:
> www.moja_strona/index.php
> jak wybiorę np. faktury w url wyświetla się:
> www.moja_strona/faktury.php
> itd.
> Chciałbym uzyskać taki efekt, żeby url był zawsze ten sam.
> www.moja_strona/index.php
> lub
> www.moja_strona

3 sposoby:

1) a parametr możesz dodawać?

no to http://cośtam/index.php?m=faktury lub
http://cośtam/?m=faktury

index.php:
<?PHP
if ($_GET['m']=='faktury')
	include('faktury.php');
?>

2) możesz umieścić stronę w ramce <iframe> lub <frameset>
i zmieniasz zawartość ramki <a target=ramka> zostawiając dokument główny 
bez zmian

3) możesz wczytywać fragmenty strony AJAXem

-- 
Pozdrawiam
Lemat

nie wiem czy o to ci chodzi (w .htacess)

RewriteBase /
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]

On 2016-11-05 18:37, mwitkowski2b@gmail.com wrote:
> Proszę o poradę w jaki sposób uzyskać ten sam adres url, bez względu na aktywny skrypt. Mam stronę napisaną w php. Powiedzmy strona o nazwie: www.moja_strona
> Na starcie użytkownik widzi url:
> www.moja_strona/index.php
> jak wybiorę np. faktury w url wyświetla się:
> www.moja_strona/faktury.php
> itd.
> Chciałbym uzyskać taki efekt, żeby url był zawsze ten sam.
> www.moja_strona/index.php
> lub
> www.moja_strona
Jaki to ma sens i czemu niby ma służyć?

W dniu 2016-11-05 o 19:31, Lemat pisze:
> W dniu 05.11.2016 o 18:37, mwitkowski2b@gmail.com pisze:
>> Proszę o poradę w jaki sposób uzyskać ten sam adres url, bez względu na
>> aktywny skrypt. Mam stronę napisaną w php. Powiedzmy strona o nazwie:
>> www.moja_strona
>> Na starcie użytkownik widzi url:
>> www.moja_strona/index.php
>> jak wybiorę np. faktury w url wyświetla się:
>> www.moja_strona/faktury.php
>> itd.
>> Chciałbym uzyskać taki efekt, żeby url był zawsze ten sam.
>> www.moja_strona/index.php
>> lub
>> www.moja_strona
>
> 3 sposoby:
>
> 1) a parametr możesz dodawać?
>
> no to http://cośtam/index.php?m=faktury lub
> http://cośtam/?m=faktury
>
> index.php:
> <?PHP
> if ($_GET['m']=='faktury')
>     include('faktury.php');
> ?>
>
> 2) możesz umieścić stronę w ramce <iframe> lub <frameset>
> i zmieniasz zawartość ramki <a target=ramka> zostawiając dokument główny bez
> zmian
>
> 3) możesz wczytywać fragmenty strony AJAXem
>
  4) PHP pozwala na podmiany stron. Ta z index.php dostępna poprzez 
www.moja_strona może być zamieniana na cokolwiek (HTML). Tak działają 
Frameworki. Na pasku nie ma nic prócz adresu. Jest to fajne, bo jako user 
nie poznasz struktury/katalogów. Nie będziesz strzelał w celu trafienia w 
dziurę (nie zabezpieczony katalog). To pokrywa się z Twoim [2], ale od ramek 
się odchodzi (raczej).

-- 
Artur

Dnia Sat, 5 Nov 2016 10:37:52 -0700 (PDT), mwitkowski2b@gmail.com
napisał(a):

> Proszę o poradę w jaki sposób uzyskać ten sam adres url, bez względu na
> aktywny skrypt. Mam stronę napisaną w php. Powiedzmy strona o nazwie:
> www.moja_strona

Po co chcesz utrudniać życie swoim użytkownikom?

Jaki jest w tym cel inny, niż security by obscurity?

-- 
Borys Pogoreło
borys(#)leszno,edu,pl

Dziękuję wszystkim za odpowiedź.

Chyba spróbuję pójść w kierunku wykorzystanie pliku .htaccess. Strona jest dość duża i przerobienie jej na inne sposoby byłoby dość czasochłonne. Z tym, że jak wrzuciłem plik .htaccess do katalogu gdzie znajduje się strona to katalog przestał być w ogóle widoczny. Można prosić jeszcze o jakąś wskazówkę.

Strona nie stosuje przekazywania parametrów metodą GET.

Teraz dlaczego? Takie polecenie dostałem, w przekonaniu mojego działu bezpieczeństwa zwiększa to bezpieczeństwo samej strony. Nie traktowałbym tego jako utrudnianie życia użytkownikom, ponieważ użytkownik musi się zalogować i przeglądać strony nie używając skrótów do swojego ulubionego miejsca. Dla użytkownika jedyny istotny adres to adres początkowy strony. Swego czasu strona banku PKO BP tak działała, że widziało się tylko adres podstawowy, nie wiem czy nadal tak mają.

Pozdrawiam

W dniu 09.11.2016 o 20:22, mwitkowski2b@gmail.com pisze:

>  w przekonaniu mojego działu bezpieczeństwa zwiększa to bezpieczeństwo samej strony.

Lemat w swojej nieskromnej osobie wysyła Twój "dział bezpieczeństwa" na 
natychmiastowe szkolenie z bezpieczeństwa stron www. A tymczasem niech 
zaczną googlować o OWASP.

A może lepiej wziąć outsourcing audytu?

> Nie traktowałbym tego jako utrudnianie życia użytkownikom, ponieważ użytkownik musi się zalogować i przeglądać strony nie używając skrótów do swojego ulubionego miejsca.

Ale serwer musi wiedzieć co wyświetlać użytkownikowi. A wie - bo 
analizuje najczęściej to, co znajduje się w URLu czyli nazwę dokumentu i 
jego parametry.

-- 
Pozdrawiam
Lemat

On 2016-11-09 21:12, Lemat wrote:
> W dniu 09.11.2016 o 20:22, mwitkowski2b@gmail.com pisze:
>
>>  w przekonaniu mojego działu bezpieczeństwa zwiększa to 
>> bezpieczeństwo samej strony.
>
> Lemat w swojej nieskromnej osobie wysyła Twój "dział bezpieczeństwa" 
> na natychmiastowe szkolenie z bezpieczeństwa stron www. A tymczasem 
> niech zaczną googlować o OWASP.
>
> A może lepiej wziąć outsourcing audytu?
>
>> Nie traktowałbym tego jako utrudnianie życia użytkownikom, ponieważ 
>> użytkownik musi się zalogować i przeglądać strony nie używając 
>> skrótów do swojego ulubionego miejsca.
>
> Ale serwer musi wiedzieć co wyświetlać użytkownikowi. A wie - bo 
> analizuje najczęściej to, co znajduje się w URLu czyli nazwę dokumentu 
> i jego parametry.
>
Nie wspominając o tym, że zmuszanie do "przeglądania nie używając 
skrótów" jest utrudnianiem życia.

A w tym banku to pewnie jednak ajax. Na pewno mBank tak ma. Ale czy to w 
jakikolwiek sposób bezpieczniejsze? Samo w sobie raczej nie.

Natomiast payU stosuje rozwiążanie z generowaniem dynamicznych linków. 
Wchodząc na stronę A z odnośnikami do B i C dostajemy jakieś głupie ID
zamiast B i C. Te ID pamiętane są pewnie w sesji i tłumaczone na 
kontkretne dalsze adresy. Zawsze można iść o stornę do przodu (i może do 
tyłu? nie
wiem). Wyjątkowo irytujące.

Dnia Wed, 9 Nov 2016 11:22:15 -0800 (PST), mwitkowski2b@gmail.com
napisał(a):

> Chyba spróbuję pójść w kierunku wykorzystanie pliku .htaccess. Strona
> jest dość duża i przerobienie jej na inne sposoby byłoby dość
> czasochłonne. Z tym, że jak wrzuciłem plik .htaccess do katalogu gdzie
> znajduje się strona to katalog przestał być w ogóle widoczny. Można
> prosić jeszcze o jakąś wskazówkę. 

Jeśli próbujesz nagiąć już istniejącą (i dużą) stronę do działania w sposób
kompletnie niezgodny z dobrymi praktykami i zdrowym rozsądkiem, to możemy
tylko życzyć powodzenia...

> Teraz dlaczego? Takie polecenie dostałem, w przekonaniu mojego działu
> bezpieczeństwa zwiększa to bezpieczeństwo samej strony. 

A możesz ich grzecznie zapytać w jaki sposób? Jestem niezwykle ciekaw, jak
to uzasadnią. Do zapewniania bezpieczeństwa służą zupełnie inne techniki,
niż stawianie na głowie protokołu HTTP.

> Nie traktowałbym tego jako utrudnianie życia użytkownikom, ponieważ
> użytkownik musi się zalogować i przeglądać strony nie używając skrótów
> do swojego ulubionego miejsca. Dla użytkownika jedyny istotny adres to
> adres początkowy strony. 

Logowanie w niczym nie przeszkadza. Sensownie zaprojektowane powinno
pamiętać stronę docelową i tam przekierować po poprawnym uwierzytelnieniu. 

Dodatkowo zabierasz użytkownikom historię przeglądania i przycisk "wstecz".

> Swego czasu strona banku PKO BP tak działała,
> że widziało się tylko adres podstawowy, nie wiem czy nadal tak mają. 

Banki nie są żadną wyrocznią, pewnie miał tam wiele do powiedzenia podobny
dział bezpieczeństwa, co u was.

-- 
Borys Pogoreło
borys(#)leszno,edu,pl

> Chyba spróbuję pójść w kierunku wykorzystanie pliku .htaccess. Strona jest 
> dość
> duża i przerobienie jej na inne sposoby byłoby dość czasochłonne. Z tym, 
> że jak
> wrzuciłem plik .htaccess do katalogu gdzie znajduje się strona to katalog 
> przestał
> być w ogóle widoczny. Można prosić jeszcze o jakąś wskazówkę.
napisz na fb.com/zlotowinfo oblukamy
a wogóle dopisałeś na początku: RewriteEngine On

> Strona nie stosuje przekazywania parametrów metodą GET.
nieważne jak przekazujesz dane pomiędzy stronami