|
PmWikiDe /
Verwaltung der Anhänge
Administratoren
< Upgrades | Dokumentations-Index | Sicherheit > PmWiki enthält ein Modul upload.php, welches dem Benutzer erlaubt, Dateien mit Hilfe eine Webbrowsers auf den Wiki-Server hochzuladen. Hochgeladene Dateien, die Anhänge (auch attachments genannt), können leicht mittels Verknüpfungen auf den Wikiseiten angesprochen werden. Diese Seite beschreibt, wie die Upload-Funktion installiert und konfiguriert wird. Ein paar Hinweise zur SicherheitPmWiki nimmt eine einigermaßen, aber vertretbare, paranoide Haltung ein, wenn es um das Hochladen von Dateien geht. Daher tendieren nach der Aktivierung der Upload-Funktion die Standardeinstellungen dazu, das Feature so weit wie möglich einzuschränken:
Durch diese Regeln ist das Zerstörungspotential gering, es sei denn der Wiki-Administrator hat die Regeln ausdrücklich gelockert. Behalten Sie im Auge, dass es eine Menge Risiken mit sich bringt, anonymen Benutzern zu erlauben, Dateien auf Ihren Webserver hochzuladen. Das upload.php-Skript ist entworfen, die Gefährdung zu reduzieren, aber Wiki-Administratoren sollten sich bewusst sein, dass das Potential für Angreifbarkeit besteht, und dass Fehlkonfiguration der Hochlade-Werkzeuge zu unerwünschten Konsequenzen führen können. Standard ist, dass authorisierte Benutzer fähig sind, Dateien zu überschreiben, die bereits hochgeladen sind, ohne die Möglichkeit, den vorigen Zustand wieder herzustellen. Wenn man Benutzern die Erlaubnis entziehen will, Dateien zu überschreiben, die schon vorhanden sind, fügt man die folgende Zeile in die config.php hinzu. $EnableUploadOverwrite = 0;
Allerdings kann ein Administrator auch ältere Dateiversionen behalten. Siehe dazu: Versionierung hochgeladener Dateien. Ein Administrator kann PmWiki auch so konfigurieren, dass der Passwortmechanismus den Zugriff auf hochgeladene Dateien regelt. GrundinstallationDas upload.php Script wird automatisch in stdconfig.php einbezogen, wenn die $EnableUpload Variable in config.php auf wahr (true) gesetzt ist. Zusätzlich können in config.php die $UploadDir- und die $UploadUrlFmt-Variable gesetzt werden, um das lokale Verzeichnis, in dem die hochgeladenen Dateien gespeichert werden sollen, und der URL, der für den Zugriff benutzt werden kann, anzugeben. Im Standard sind $UploadDir und $UploadUrlFmt so eingestellt, das Anhänge in einem Verzeichnis uploads/ innerhalb des aktuellen Verzeichnisses gespeichert werden (gewöhnlich das Verzeichnis, das pmwiki.php enthält). Zusätzlich sollte in config.php ein voreingestelltes Uploadpasswort eingestellt werden (siehe Passwörter verwalten). Demnach sieht eine Grundeinstellung in config.php für Anhänge wie folgt aus: <?php if (!defined('PmWiki')) exit(); # Ermögliche Uploads und setze ein site-weites Passwort. $EnableUpload = 1; $DefaultPasswords['upload'] = pmcrypt('secret'); Wenn Sie Bearbeiten-Passwörter haben und allen Benutzern mit Bearbeiten-Rechten auch das Recht für das Hochladen einräumen wollen, setzen Sie statt $DefaultPasswords['upload'] eher Wichtig: Legen Sie noch KEIN Upload-Verzeichnis an! Siehe nächster Absatz. Möglicherweise müssen Sie auch das Verzeichnis explizit setzen, dass die hochgeladenen Dateien speichern soll, und einen URL zu diesem Verzeichnis angeben, so wie hier: $UploadDir = "/home/john/public_html/uploads"; $UploadUrlFmt = "http://www.john.com/~john/uploads"; Beachten Sie, dass Sie diese Variablen in den meisten Installationen nicht definieren oder ändern müssen, PmWiki kann sie gewöhnlich erkennen (und wenn Sie es tun, könnten das Hochladen einfach nicht funktionieren). Upload-Verzeichnis-KonfigurationAnhänge können site-übergreifend, gruppen-bezogen (Standard) oder pro Seite konfiguriert werden, indem $UploadPrefixFmt angepasst wird. Das bestimmt, ob alle Anhänge in ein gemeinsames Verzeichnis für die gesamte Site gesetzt wird, in ein individuelles für jede Gruppe oder individuell für jede einzelne Seite. Die Voreinstellung steht auf gruppenweises Speichern. Es wird empfohlen, dass die $UploadPrefixFmt-Variable, die in config.php definiert wird, für alle Seiten im Wiki die gleiche ist, und nicht verschieden in gruppen- oder seiten-bezogenen Verzeichnissen. Andernfalls sind sie nicht in der Lage auf Anhänge in anderen Wikigruppen zu verweisen. Ein Verzeichnis für alleFür ein site-weites Uploadverzeichnis setzt man $UploadPrefixFmt = '';
Ein Verzeichnis für jede GruppeDas ist die Standardeinstellung, deshalb muss man nicht aktiv werden, wenn einem das so gefällt. $UploadPrefixFmt = '/$Group'; # das ist der Standard
Ein Verzeichnis für jede SeiteFür seitenweises Speichern benutzt man eine dieser Einstellungen: $UploadPrefixFmt = '/$FullName'; $UploadPrefixFmt = '/$Group/$Name'; Sie mögen es vielleicht vorziehen, Anhänge eher an die Seiten zu binden als an die Gruppen oder die ganze Site, wenn Sie viele Anhänge pro Seite erwarten. Diese Einstellung vereinfacht das Management beispielsweise von Bildergalerien. (In einer Seite kann man immer auch auf Anhänge anderer Seiten verweisen.) Das UploadverzeichnisDamit die Uploadfunktion sauber arbeitet, muss das durch $UploadDir angegebene Verzeichnis vom Webserverprozess beschrieben werden können, und es muss gewöhnlich an einem Ort liegen, auf den vom Web aus zugegriffen werden kann (z. B. in einem Unterverzeichnis von public_html). Wird PmWiki mit aktiviertem Upload ausgeführt, werden Sie angeregt, einen Satz von Schritten zu Eingabe von Daten abzuarbeiten, die zur Einrichtung des Upload-Verzeichnisses auf dem Server nötig sind (von Server zu Server etwas unterschiedlich). Beachten Sie, dass Sie Unterverzeichnisse für die Gruppen bzw. Seiten explizit anlegen müssen und dass dafür die passenden Schreibrechte gesetzt sein müssen. Eine Datei hochladenSowie die Uploadfunktion freigeschaltet ist, können Benutzer auf das Anhängen-Formular zugreifen, indem sie " Eine Alternative wäre, den Markup " Vorgegeben ist die Organisation der hochgeladenen Dateien in einzelnen Unterverzeichnissen für jede Gruppe. Dies kann geändert werden durch anpassen der Variablen $UploadPrefixFmt, siehe Cookbook:UploadGroups für Details. Versionierung hochgeladener DateienPmWiki verwaltet keine Versionen hochgeladener Dateien per Voreinstellung. Dennoch kann ein Administrator durch Setzen der Variablen $EnableUploadVersions=1;
in der Datei config.php einstellen, dass ältere Dateien im Upload-Verzeichnis zusammen mit der neuesten Datei gespeichert werden. Hochladen beschränkenBeschränken des Hochladens auf Gruppen oder SeitenHochladen kann beschränkt werden auf Gruppen oder Seiten durch Benutzen einer individuellen Einstellung pro Gruppe. Man setzt einfach Beschränkung der Gesamtgröße der Anhänge für Gruppen oder die ganze SiteAnhänge können beschränkt werden auf eine Gesamtgrößengrenze für Gruppen. In der Gruppenkonfigurationsdatei setzt man diese Zeile hinzu: $UploadPrefixQuota = 1000000; # limit group uploads to 1000KB (1MB)
Das begrenzt die Gesamtgröße der Anhänge für diese Gruppe auf 1000KB — jeder Anhang, der die Gesamtsumme über diese Grenze bringt, wird mit einer Fehlermeldung zurückgewiesen. Der Standard ist null (unbegrenzt). Anhänge können auch auf eine Gesamtgrößengrenze für alle Anhänge beschränkt werden. Man fügt diese Zeile hinzu: $UploadDirQuota = 10000000; # limit total uploads to 10000KB (10MB)
Das begrenzt die Gesamtgröße der Anhänge der ganzen Site auf 10000KB — jeder Anhang, der die Gesamtsumme über diese Grenze bringt, wird mit einer Fehlermeldung zurückgewiesen. Der Standard ist null (unbegrenzt). Beschränken der Anhänge auf bestimmte Dateitypen und -größenDas Upload-Skript führt ein paar Verifikationen (Tests) an den Anhängen durch, bevor ein Anhang im Uploadverzeichnis gespeichert wird. Die grundsätzlichen Verifikationen werden hier beschrieben.
$UploadMaxSize = 100000;
Allerdings kann die maximale Dateigröße auch für jeden Dateityp einzeln angegeben werden. So kann ein Administrator die Größe für " $UploadExtSize['gif'] = 20000; # begrenze .gif-Dateien auf 20K
Hochladen von Dateien bestimmten Typs verhindernSetzen eines Eintrags auf Null verhindert das Hochladen einer Datei solchen Typs überhaupt: $UploadExtSize['zip'] = 0; # verbiete .zip-Dateien hochzuladen $UploadExtSize[''] = 0; # verhindere Dateien ohne Dateierweiterung Sie können bestimmen, welche Dateitypen hochladbar sind, indem Sie alle Voreinstellungen abschalten und nur die gewünschten Typen angeben. Setzen der Variablen $UploadMaxSize auf null schaltet alle voreingestellten Dateitypen ab. Individuelle Dateitypen werden dann zugelassen durch Setzen ihrer maximalen Größe mit der Variablen $UploadExtSize. # alle Dateierweiterungen hochzuladen verbieten $UploadMaxSize = 0; # nur diese Dateierweiterungen hochzuladen erlauben $aSize = 100000; // Dateigröße auf 100k KB begrenzen $UploadExtSize['jpg'] = $aSize; $UploadExtSize['gif'] = $aSize; $UploadExtSize['png'] = $aSize; Beachten Sie: Dateien mit mehreren DateierweiterungenEinige Installationen mit Apache-Servern versuchen eine Datei, deren Name ".php", ".pl" oder ".cgi" enthält, auszuführen, selbst wenn diese Erweiterung nicht der letzte Teil des Namen ist. Zum Beispiel wird eine Datei "test.php.txt" womöglich ausgeführt. Um das Hochladen solcher Dateien zu verhindern, fügen Sie zur Datei config.php eine solche Zeile hinzu: $UploadBlacklist = array('.php', '.pl', '.cgi');
Hinzufügen neuer Dateitypen zu den erlaubten TypenUm eine neue Dateierweiterung zu der Liste der erlaubten Typen hinzuzufügen, fügt man eine neue Zeile wie die folgende in eine Datei für Lokale Anpassungen hinzu: $UploadExts['ext'] = 'content-type';
wobei ext die Dateierweiterung und content-type ein Dateityp (MIME type) ist, der mit Dateien mit dieser Erweiterung verknüpft werden soll. Um zum Beispiel die Erweiterung ' $UploadExts['dxf'] = 'image/x-dxf';
Jeder Eintrag in $UploadExts muss ein Paar aus der Erweiterung und dem damit verbundenen Mime-Typ sein: $UploadExts = array( 'gif' => 'image/gif', 'jpeg' => 'image/jpeg', 'jpg' => 'image/jpeg', 'png' => 'image/png', 'xxx' => 'yyyy/zzz' ) Für die Dateitypen, die PmWiki schon bekannt sind, ist deren Wiederholung hier nicht nötig (das upload.php-Skript fügt PmWikis Vorgaben zu denen hinzu, die der Administrator hier angibt). Siehe auch Cookbook:UploadTypes wegen weitere Typen. Andere DateigrößengrenzenEs gibt weitere Faktoren, die die Dateigrößen beeinflussen. In Apache 2.0 gibt es eine LimitRequestBody-Direktive, die die Maximalgröße von Allem, was irgendwie "gepostet" wird (einschließlich der Anhänge), kontrolliert. Die Vorgabe in Apache setzt dies auf 'unbegrenzt'. Dennoch begrenzen manche Distributionen (z. B. Red Hat 8./9.0) die Größe auf 512K, so dass diese Einstellung ggf. zu ändern (zu erhöhen) ist. (Normalerweise stehen solche Einstellungen in der httpd.conf-Konfigurationsdatei oder in einer Datei im /etc/httpd/conf.d-Verzeichnis.) Es wurde ein Problem berichtet mit Red Hat 8.0/9.0 mit Apache 2.0.x, wo der Fehler "Requested content-length of 670955 is larger than the configured limit of 524288" unter Apache auftritt und ein "Page not found" im Browser erscheint. Die obigen Einstellungen ändern daran auch nichts. Aber in Red Hat 8.0/9.0 gibt es eine zusätzliche PHP-Konfigurationsdatei, /etc/httpd/conf.d/php.conf, und ein heraufsetzen der Zahl in "LimitRequestBody 524288" löst das Problem. PHP selbst hat zwei Grenzen bezüglich hochzuladender Dateien (gewöhnlich in /etc/php.ini). Die erste ist der Mit den Variablen an ihren Stellen – PmWikis maximaler Dateigröße, Apaches request-size-Grenzen und den PHP-Dateigrößengrenzen – ist die maximale Dateigröße die geringste Größe dieser drei Variablen. Durch ein Passwort geschützte hochgeladene DateienDas Setzen eines Lesepassworts für Seiten (und Gruppen) verhindert, dass eine angehängte Datei gesehen wird oder dass man über diese Seite darauf zugreifen kann. Um aber direkten Zugriff auf den Speicherort der Datei (das uploads/-Verzeichnis) zu verhindern, kann man das folgende tun:
Siehe Cookbook:SecureAttachments - . Weitere Bemerkungen
file_uploads = On
upload_tmp_dir = /tmp
Beachten Sie, dass httpd neu gestartet werden muss, wenn Sie diese Werte ändern. Ein anderer Weg zu prüfen, ob Hochladen auf den Server erlaubt ist, ist $EnableDiag auf 1 zu setzen in config.php und ?action=phpinfo an einen URL anzufügen. Die " Siehe auchSiehe auch UploadsAdmin-Talk? FAQWie verhindere ich das Hochladen eines gewissen Dateityps? Hier ist ein Beispiel, was in Ihrer local/config.php-Datei ergänzt werden muss, um Hochladen von .zip-Dateien zu verhindern: $UploadExtSize['zip'] = 0; # Disallow uploading .zip files. $UploadExtSize[''] = 0; # Disallow files with no extension Wie verbinde ich Anhänge mit individuellen Seiten oder der gesamtem Site, anstatt sie durch Wikigruppen zu organisieren? Verwenden Sie die $UploadPrefixFmt-Variable (siehe auch das Cookbook:UploadGroups-Rezept). $UploadPrefixFmt = '/$FullName'; # seitenweise, in Gruppe.Name-Verzeichnissen $UploadPrefixFmt = '/$Group/$Name'; # seitenweise, in Gruppenverzeichnissen mit Name-Unterverzeichnissen $UploadPrefixFmt = ''; # für das ganze Wiki Für $UploadDirQuota - können Sie ein paar Einheiten und Zahlen anbieten? Ist die Angabe in Bytes oder Bits? Was ist die Nummer vor 100K? 1Meg? 1 Gig? 1 Terabyte? Einheiten sind in Bytes. $UploadDirQuota = 100*1024; # limit uploads to 100KiB $UploadDirQuota = 1000*1024; # limit uploads to 1000KiB $UploadDirQuota = 1024*1024; # limit uploads to 1MiB $UploadDirQuota = 25*1024*1024; # limit uploads to 25MiB $UploadDirQuota = 2*1024*1024*1024; # limit uploads to 2GiB Gibt es einen Weg, Dateinamen mit Unicode oder zusätzlichen Zeichen zu erlauben? Ja, siehe $UploadNameChars Wo wird die Liste der Anhänge gespeichert? Sie wird ad hoc durch das Wie kann ich Hotlinking meiner hochgeladenen Bilder verhindern? Siehe Cookbook:Prevent Hotlinking →
< Upgrades | Dokumentations-Index | Sicherheit > Übersetzung von PmWiki.UploadsAdmin, Originalseite auf PmWikiDe.UploadsAdmin — Backlinks
|
Kontakt | Impressum | Datenschutz | © 2009 Segelflugzentrum Königsdorf