[Gerti]

Hallo Community,

Vorab:
Templates und Hilfeseiten sind bekantlich in HTML-Code defniert.

Funktion:
a) in den Templates kann ich mit <?php include ("./ordner/datei.php"); ?> bestimmte Aktionen/Anzeigen definieren. Dies funktioniert fehlerfrei.

b) in den Hilfeseiten funktioniert jedoch das Aufrufen des PHP-Codes nicht. Warum? es ist doch auch nur eine HTML-Datei!

Wo müsste ich was einpflegen/definieren damit auch auf den Hilfeseiten PHP-Code verwendet werden kann?

[itsmeJAY]

Hi,

in welchen Templates funktioniert der PHP Code denn? Beispielsweise?

Grüße

[Gerti]

In welchen Templates funktioniert der PHP Code denn? Beispielsweise?

In allen Templates via Plugin. Auf Forum-1 wird dir z.B. bei jeder Seitenaktualisierungein ein anderes Zitat angezeigt. Diese Datei rufe ich mit <?php include ("zitate.php")" ?> auf. Die Zufälligkeit der Zitate wird in der PHP-Datei durchgeführt.

Ich verstehe eh nicht warum bei MyBB die Aktivierung zum Einfügen von PHP-Code nicht Standard eingebunden und aktivierbar ist. Soll doch jeder User selbst entscheiden ob er es aktiviert oder nicht.

[itsmeJAY]

Hast du dafür ein extra Plugin installiert? welches denn?

[StefanT]

b) in den Hilfeseiten funktioniert jedoch das Aufrufen des PHP-Codes nicht. Warum? es ist doch auch nur eine HTML-Datei!

Nein, die Hilfeseiten werden in der Datenbank gespeichert. PHP wird nicht ausgeführt.

Ich verstehe eh nicht warum bei MyBB die Aktivierung zum Einfügen von PHP-Code nicht Standard eingebunden und aktivierbar ist. Soll doch jeder User selbst entscheiden ob er es aktiviert oder nicht.

PHP stellt ein Sicherheitsrisiko da und sollte daher nicht über das Admin-CP (indirekt) ausgeführt werden können. Dies betrifft gerade auch Themes, die häufig von Download-Seiten heruntergeladen und importiert werden. Stell dir vor ein böser Theme-Autor baut PHP-Code ein, der Passwörter oder andere private Daten abgreift oder sogar das Forum zerstört und bietet dieses zum Download an.

[Gerti]

Nein, die Hilfeseiten werden in der Datenbank gespeichert. PHP wird nicht ausgeführt.

Den von Dir geschilderten Sachstand habe ich selbst erkannt und fragte daher nach einem Lösungsweg.

Ich verstehe eh nicht warum bei MyBB die Aktivierung zum Einfügen von PHP-Code nicht Standard eingebunden und aktivierbar ist. Soll doch jeder User selbst entscheiden ob er es aktiviert oder nicht.

PHP stellt ein Sicherheitsrisiko da und sollte daher nicht über das Admin-CP (indirekt) ausgeführt werden können. Dies betrifft gerade auch Themes, die häufig von Download-Seiten heruntergeladen und importiert werden. Stell dir vor ein böser Theme-Autor baut PHP-Code ein, der Passwörter oder andere private Daten abgreift oder sogar das Forum zerstört und bietet dieses zum Download an.

Danke für die Erläuterung. Soweit kann ich mich Deiner Ausführung anschließen. Meine Wunsch geht jedoch direkt an MyBBin welchem ich anrege dass, wie bei phpBB, man diese Entscheidung "PHP-Include erlauben JA/NEIN (Vorgabe NEIN)" (incl. kleinem Risikohinweis) dem Adminstrator überlassen sollte. Dann würde sich ein zusätzliches Plugin erübrigen. Was bitte kann daran so schwer und unverantwortlich sein ein oftmals eingesetztes Plugin standardisiert in MyBB zu implementieren? Die Aktivierungsentscheidung und die damit verbundenen Risiken (wie bei allen eingepflegten Plugins udn Änderungen des Forums) bleiben doch in allen Fällen und zu 100% beim Forenbetreiber.

---

Hast du dafür ein extra Plugin installiert? welches denn?

Siehe hier, rechts Download oder direkt dieses "phptpl-2.1.7z"

[StefanT]

Den von Dir geschilderten Sachstand habe ich selbst erkannt und fragte daher nach einem Lösungsweg.

Ich habe nur dein "Warum?" beantwortet.

Danke für die Erläuterung. Soweit kann ich mich Deiner Ausführung anschließen. Meine Wunsch geht jedoch direkt an MyBBin welchem ich anrege dass, wie bei phpBB, man diese Entscheidung "PHP-Include erlauben JA/NEIN (Vorgabe NEIN)" (incl. kleinem Risikohinweis) dem Adminstrator überlassen sollte. Dann würde sich ein zusätzliches Plugin erübrigen. Was bitte kann daran so schwer und unverantwortlich sein ein oftmals eingesetztes Plugin standardisiert in MyBB zu implementieren? Die Aktivierungsentscheidung und die damit verbundenen Risiken (wie bei allen eingepflegten Plugins udn Änderungen des Forums) bleiben doch in allen Fällen und zu 100% beim Forenbetreiber.

Da bin ich zwar der falsche Ansprechpartner, aber:
a) Es ist es unsinnig absichtlich eine ernste Sicherheitslücke einzubauen. Da reicht ein "kleiner Risikohinweis", der wahrscheinlich von vielen gar nicht verstanden wird, definitiv nicht aus. Frühere Diskussion zu einer Sicherheitslücke im Template-System: https://community.mybb.com/thread-66409.html
b) Das Argument, dass es doch nicht so schwer sein kann, kannst du bei praktisch jedem Plugin anwenden. Trotzdem kann nicht im Sinne der Nutzer sein jedes Feature zu integrieren, zumal das Plugin-System gerade zur einfacher Installation von Erweiterungen geschaffen worden ist.
c) Ab MyBB 1.9 wird das Template-System sowieso durch Twig ersetzt.

[itsmeJAY]

c) Ab MyBB 1.9 wird das Template-System sowieso durch Twig ersetzt.

wird ab 1.9 MyBB komplett auf Symfony aufgebaut?

[StefanT]

Nein, die Änderungen sind hier beschrieben: https://www.mybb.de/blog/mybb/mybb-2-0-z...is-gelegt/

[itsmeJAY]

danke, klingt geil! ich freu miaaa.. :-P Weiß man schon ca. wann 1.9 kommt? Im .com-Forum kommen Gerüchte mit 2020 auf?