[Вопрос]

1) Почему везде в модерке запросы без репликации бд? Тупо нет ниодного *_slave

2) Авторизация в админку и модерку невозможна без приема куков... Хотя сессии ко всем линкам приаттачены.. Меня это не устраивает.

танцевать с бубном надо около

if ($checkpwd OR ($vbulletin->options['timeoutcontrolpanel'] AND !$vbulletin->session->vars['loggedin']) OR empty($vbulletin->GPC[COOKIE_PREFIX . 'cpsession']) OR $vbulletin->GPC[COOKIE_PREFIX . 'cpsession'] != $cpsession['hash'] OR empty($cpsession))
{
//крах авторизации
}

а именно вокруг

empty($vbulletin->GPC[COOKIE_PREFIX . 'cpsession']) OR $vbulletin->GPC[COOKIE_PREFIX . 'cpsession'] != $cpsession['hash']

как лучше станцевать без ущерба для секьюрности?
Я должен попадать в админку с отключенными куками.

Originally Posted by m0rbid

) Почему везде в модерке запросы без репликации бд? Тупо нет ниодного *_slave

2) Авторизация в админку и модерку невозможна без приема куков... Хотя сессии ко всем линкам приаттачены.. Меня это не устраивает.

1. админов мало,никакого особенного выигрыша получить нельзя, а slave еще и может "отставать", так что мне это решение кажется нормальным. Непротиворечивость базы для админского интерфейса критически важна.
2. хз. пиши свой форум.

Originally Posted by netwind

1. админов мало,никакого особенного выигрыша получить нельзя, а slave еще и может "отставать", так что мне это решение кажется нормальным. Непротиворечивость базы для админского интерфейса критически важна.
2. хз. пиши свой форум.

1. логично)
2. зачем свой? не, уж лучше поковырять. я собсно и спросил, как лучше, может кто знает..

m0rbid добавил 20.04.2010 в 23:46
просто смутило что при таком раскладе везде понатыкано 'csript.php?'.$vbulletin->session->vars['sessionurl'].'vars' значит как минимум когдато это имело смысл. Посмотрю в старых версиях воблы

допустим где-то ты отключишь проверку кукисов, но все формы кто исправлять будет?
хотя перспектива есть - формы создаются кусками кода типа функции print_form_header(). не уверен что абсолютно всегда во всей админке.

попробовал сейчас 3.6, он тоже не входит без кукисов.
Писать форум я предлагаю, потому что если твои потребности слишком уникальны, то прямого ответа на вопрос ты не получишь. Никто этим не занимался скорее всего.
Не проще админку защитить какими-нибудь ограничениями по IP которые тебя будут идентифицировать наверняка?
Народное средство - дополнительная авторизация админки по паролю. Тут воровство кукисов не пройдет.

Оффтоп

тупой вопрос:
а почему куки отключены на своём же форуме?

zCarot,я думаю он опасается, что их упрут. а конечная цель все та же - не дать войти в админку злоумышленнику.

netwind, а URL подсмотреть оказывается сложнее, чем куку украсть..

Originally Posted by zCarot

netwind, а URL подсмотреть оказывается сложнее, чем куку украсть..

Дело вовсе не в параное, в том что я уже год переписываю воблу под вап, наподобие phpbb-wap, к сожалению одни шаблоны переписать не достаточно.
Все готово, осталась админка и модерка.
Многие телефоны досихпор не принимают куки, следственно админ с телефона в админку не зайдет.

Еще вопрос. Почему админку не посадили на шаблоны? Я посадил, но воизбежание казусов с редакотором шаблонов и возможными последствиями просто не дал админу возможности редачить их из админки. А код как разрабу ведь в разы стало легче сопровождать..

Фигней страдаете. Нету массовых клиентов у разработчика, чтобы могли админить только с мобильника да еще и ублюдочного старого мобильника без кукисов.
Сколько, кстати, вы уже купили лицензий для этих форумов с ограниченными возможностями админа ?

Ну это лучше чем тратить свободное время на потребление опиатных препаратов как нынче модно среди молодежи. Если подскажете занятье по полезней чем ковыряние выблы, буду благодарен.
Лицензии.. А зачем?

m0rbid добавил 28.04.2010 в 20:47

Originally Posted by netwind

допустим где-то ты отключишь проверку кукисов, но все формы кто исправлять будет?
хотя перспектива есть - формы создаются кусками кода типа функции print_form_header(). не уверен что абсолютно всегда во всей админке.

попробовал сейчас 3.6, он тоже не входит без кукисов.
Писать форум я предлагаю, потому что если твои потребности слишком уникальны, то прямого ответа на вопрос ты не получишь. Никто этим не занимался скорее всего.
Не проще админку защитить какими-нибудь ограничениями по IP которые тебя будут идентифицировать наверняка?
Народное средство - дополнительная авторизация админки по паролю. Тут воровство кукисов не пройдет.

Формам куки не нужны

PHP Code:

function print_form_header($phpscript = '', $do = '', $uploadform = false, $addtable = true, $name = 'cpform', $width = '90%', $target = '', $echobr = true, $method = 'post', $cellspacing = 0)
{
    global $vbulletin, $tableadded;

    if (($quote_pos = strpos($name, '"')) !== false)
    {
        $clean_name = substr($name, 0, $quote_pos);
    }
    else
    {
        $clean_name = $name;
    }

    echo "\n<!-- form started:" . $vbulletin->db->querycount . " queries executed -->\n";
    echo "<form action=\"$phpscript.php?do=$do\"" . iif($uploadform, ' enctype="multipart/form-data"') . " method=\"$method\"" . iif($target, " target=\"$target\"") . " name=\"$clean_name\" id=\"$name\">\n";

    if (!empty($vbulletin->session->vars['sessionhash']))
    {
        //construct_hidden_code('s', $vbulletin->session->vars['sessionhash']);
        echo "<input type=\"hidden\" name=\"s\" value=\"" . htmlspecialchars_uni($vbulletin->session->vars['sessionhash']) . "\" />\n";
    }
    //construct_hidden_code('do', $do);
    echo "<input type=\"hidden\" name=\"do\" value=\"" . htmlspecialchars_uni($do) . "\" />\n";
    if (strtolower(substr($method, 0, 4)) == 'post') // do this because we now do things like 'post" onsubmit="bla()' and we need to just know if the string BEGINS with POST
    {
        echo "<input type=\"hidden\" name=\"adminhash\" value=\"" . ADMINHASH . "\" />\n";
        echo "<input type=\"hidden\" name=\"securitytoken\" value=\"" . $vbulletin->userinfo['securitytoken'] . "\" />\n";
    }

    if ($addtable)
    {
        print_table_start($echobr, $width, $cellspacing, $clean_name . '_table');
    }
    else
    {
        $tableadded = 0;
    }
} 


ADMINHASH:

define('ADMINHASH', md5(COOKIE_SALT . $vbulletin->userinfo['userid'] . $vbulletin->userinfo['salt']));

COOKIE_SALT:

define('COOKIE_SALT', $vbulletin->config['Misc']['cookie_security_hash']);