AW: [php] Security-Problem

[Markus Sobczak]

Hi Andre,

> ich habe für jeden Benutzer ein eigenes Verzeichnis angelegt
> 
> Beispiel kunden/user1
>          kunden/user2
>          kunden/...
> 
> Diese Verzeichnisse liegen außerhalb des WWW-Bereichs wodurch Sie nicht
> direkt erreichbar sind.
> 
> Nun kann ich über PHP ein login machen, wobei ich den entsprechenden Namen
> des Users und somit auch dessen Verzeichnis erfahre.
> Der User bekommt nun von mir nur die Dateien angezeigt welche er auch
> Bearbeiten darf.

Da besteht wieder das Problem, daß andere User über Scripte auf diese Files
zugreifen können.
User A läd ein File in sein Verzeichnis; Owner ist dann wwwrun
User B hat FTP-Zugriff und ändert das Script, so daß er an das Verzeichnis
über PHP rankommt.

Kann man irgendwie einstellen, daß alle neu erstellten Files automatisch dem
Owner des Verzeichnisses gehören? Was aber auch nicht funktionieren dürfte,
da PHP ja die Files verschiebt. Also wieder wwwrun als Owner ;-(

Workaround währe über einen Cronjob alle paar Stunden ein chown -R über den
Ordner laufen zu lassen, was aber auch entscheidene Nachteile hat ;-(

Markus