clemensandClaude Opus 5
6d903ac4fc
intern/ enthaelt dieselben Patientendaten wie der Adminbereich und war bisher genauso ungeschuetzt. config.inc.php aktiviert den Token-Filter jetzt fuer beide Verzeichnisse. Eigenen AJAX-Code oder Nicht-HTML-Ausgaben gibt es dort nicht, die Umstellung betrifft nur Formulare. intern/login.php rief nach dem Include ein zweites session_start() auf und setzte danach session.gc_maxlifetime und session.cookie_lifetime per ini_set(). Beides lief ins Leere, weil die Sitzung zu dem Zeitpunkt schon laeuft, und erzeugte Warnungen. Die Lebensdauer kommt aus session_set_cookie_params() in config.inc.php. 13 Dateien begannen mit einem UTF-8-BOM. Die drei Bytes gehen vor dem Include raus, womit die Header gesendet sind und session_set_cookie_params() sowie session_start() in config.inc.php scheitern - genau die Flags, um die es hier geht. Sichtbar wird das nur ohne output_buffering, aber darauf sollte sich die Sitzungssicherheit nicht verlassen. Nachgeprueft mit output_buffering=0 und error_reporting=E_ALL: admin/ und intern/ melden keine Header- oder Sessionwarnungen mehr, POSTs ohne Token liefern 403, mit Token laufen sie durch. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
108 lines
3.2 KiB
PHP
108 lines
3.2 KiB
PHP
<?php
|
|
|
|
|
|
//Datenbank verbindung
|
|
// Zugangsdaten liegen in inc/credentials.php - nicht in Git.
|
|
// Vorlage: inc/credentials.example.php
|
|
$credentials = __DIR__ . '/credentials.php';
|
|
if (!is_readable($credentials)) {
|
|
error_log('config.inc.php: ' . $credentials . ' fehlt oder ist nicht lesbar');
|
|
http_response_code(500);
|
|
exit('Die Anwendung ist nicht vollständig konfiguriert.');
|
|
}
|
|
require $credentials; // liefert $dbhost, $dbuser, $dbpassword, $dbname
|
|
|
|
require_once __DIR__ . '/security.inc.php';
|
|
|
|
|
|
$organisationsname = "Praxis Creutzburg";
|
|
$organisationsurl = "https://www.praxis-creutzburg.de/";
|
|
|
|
$con = new mysqli($dbhost,$dbuser,$dbpassword,$dbname);
|
|
$con->set_charset('utf8mb4');
|
|
|
|
// SQL Datum festlegen
|
|
$sqltoday = date("Y-m-d");
|
|
$currentDate = new DateTime();
|
|
//Use the subtract function to subtract a DateInterval
|
|
$yesterdayTime = $currentDate->sub(new DateInterval('P1D'));
|
|
//Get yesterday date
|
|
$sqlyesterday = $yesterdayTime->format('Y-m-d');
|
|
$yesterday = $sqlyesterday;
|
|
#$sqlyesterday = date("Y-m-d", strtotime("-1 day", $sqltoday ));
|
|
#$yesterday = Date('Y-m-d', strtotime('-1 day'));
|
|
#$yesteryesterday = Date('Y-m-d', strtotime('-2 days'));
|
|
$yesterdayTime = $currentDate->sub(new DateInterval('P1D'));
|
|
//Get yesterday date
|
|
$yesteryesterday = $yesterdayTime->format('Y-m-d');
|
|
|
|
$pdo = new PDO("mysql:host=$dbhost;dbname=$dbname;charset=utf8mb4", $dbuser, $dbpassword,
|
|
[
|
|
PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
|
|
PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
|
|
]);
|
|
|
|
|
|
#Laufband
|
|
$ids = [6,7,8,9,10,11];
|
|
|
|
$placeholders = implode(',', array_fill(0, count($ids), '?'));
|
|
$stmt = $pdo->prepare("
|
|
SELECT inhaltid, inhalt
|
|
FROM webseiteninhalt
|
|
WHERE inhaltid IN ($placeholders)
|
|
");
|
|
$stmt->execute($ids);
|
|
|
|
$laufband = [];
|
|
|
|
while ($row = $stmt->fetch(PDO::FETCH_ASSOC)) {
|
|
$laufband[$row['inhaltid']] = strip_tags($row['inhalt']);
|
|
}
|
|
|
|
// Zugriff:
|
|
$Laufband1 = $laufband[6] ?? '';
|
|
$Laufband2 = $laufband[7] ?? '';
|
|
$Laufband3 = $laufband[8] ?? '';
|
|
$Laufband4 = $laufband[9] ?? '';
|
|
$Laufband5 = $laufband[10] ?? '';
|
|
$Laufband6 = $laufband[11] ?? '';
|
|
|
|
|
|
session_set_cookie_params([
|
|
'lifetime' => 60*60*24*30,
|
|
'path' => '/',
|
|
'secure' => true, // nur wenn HTTPS (sollte bei dir so sein)
|
|
'httponly' => true,
|
|
'samesite' => 'Lax',
|
|
]);
|
|
|
|
ini_set('session.use_strict_mode', '1');
|
|
ini_set('session.cookie_secure', '1'); // bei HTTPS
|
|
ini_set('session.cookie_httponly', '1');
|
|
|
|
if (session_status() !== PHP_SESSION_ACTIVE) {
|
|
session_start();
|
|
}
|
|
|
|
// CSRF-Schutz fuer die angemeldeten Bereiche: Token in jedes POST-Formular
|
|
// einsetzen und eingehende POSTs pruefen. Muss nach session_start() und vor
|
|
// jeder Ausgabe der Seite laufen. Der oeffentliche Bereich bleibt aussen vor,
|
|
// dort gibt es keine Sitzung, die missbraucht werden koennte.
|
|
$geschuetzteBereiche = [
|
|
realpath(__DIR__ . '/../admin'),
|
|
realpath(__DIR__ . '/../intern'),
|
|
];
|
|
$laufendesSkript = realpath($_SERVER['SCRIPT_FILENAME'] ?? '');
|
|
|
|
foreach ($geschuetzteBereiche as $verzeichnis) {
|
|
if ($verzeichnis === false || $laufendesSkript === false) {
|
|
continue;
|
|
}
|
|
if (strncmp($laufendesSkript, $verzeichnis . DIRECTORY_SEPARATOR, strlen($verzeichnis) + 1) === 0) {
|
|
csrf_autoinject();
|
|
csrf_require();
|
|
break;
|
|
}
|
|
}
|