Logik hinter einer Website

[Prototypjack]

Moin,

Also, ich habe, seitdem nun schon sehr lange ein "Bald Zurück" Schriftzug auf meiner Seite zu sehen ist, nun endlich ein neues Design entworfen und bin bereits dabei es zu realisieren.

Da stellt sich mir folgende Frage:

Wie baue ich das ganze logisch und flexibel auf?
Da Grundgerüst wird ein PHP-Betriebenes Backend sein, welches das Design mit Daten füllt und durch Parameterweitergabe in der URL (*.php?foo=bar) funktioniert.
Ist ein PHP-Gerüst in diesem Sinne überhaupt sinnvoll? Woher ziehe ich die Daten (aus Includes, oder soll ich gleich alles per Datenbank machen? Wenn ja, muss ich mir dann auch ein Admin-Panel bauen, oder wie speise ich die Daten in die DB?).

Oder soll ich gar ein CMS benutzen, aber wie flexibel sind diese? (Und vor allem: Ist es schwer ein Template zu bauen?)

Ich würde mich freuen, wenn der eine oder andere aus dem Nähkästchen plaudert

Danke schonmal und Grüße,
Max

[Progman]

confixx ist ein sehr flexibles CMS und dafür Templates zu machen, ist nicht schwer.
Ich habe das mal im Einsatz gehabt und war damit zufrieden.

[quendolineDD]

Zuerst mal gesagt sollte man die Benutzung von GET so gut wie möglich vermeiden aufgrund von Manipulationsgefahr.
Desweiteren solltest du die Seitenaufrufe, falls diese auch über GET geschehen sollen und dann per include/require eingebunden werden überprüft werden sollten.

Wenn du schon ein Design hast, dann dürfte deine gesamte Planung eigentlich schon abgeschlossen sein.
Ansonsten hast du einfach einen Fehler in der Reihenfolge

Natürlich ist es hierfür sinnvoll PHP als Backend zu benutzen. Hierfür solltest du dir jedoch im klaren sein, wie die Daten in das Design eingepasst und zurückgegeben werden. Wenn du Eingaben von Benutzern verlangst, würde ich dir raten dich mal mit SQL-Injections zu befassen.

Grüße aus Dresden

[DGL-luke]

POST ist genauso manipulierbar wie GET

Auf jeden Fall darf man dem, was vom benutzer kommt, nicht trauen; SQL-Injection muss vermieden werden und direkter Zugriff aufs Dateisystem.

[monta]

Zitat von Progman:

confixx ist ein sehr flexibles CMS und dafür Templates zu machen, ist nicht schwer.

Confixx? Das ist wohl mehr ne Administrationsoberfläche für Webspaceaccounts und Server. Kann es sein, das du da was verwechselt hast

[quendolineDD]

Zitat von DGL-luke:

POST ist genauso manipulierbar wie GET

Auf jeden Fall darf man dem, was vom benutzer kommt, nicht trauen; SQL-Injection muss vermieden werden und direkter Zugriff aufs Dateisystem.

Klar aber ich glaub bei einer normalen Seite ohne wichtigen Informationsgehalt machen sich nciht so viele die Arbeit ein Skript zu schreiben, welches erst einen Header beantragt und dann an die Seite sendet etc.

Was du vor allem beachten solltest und vermeiden solltest:
SQL-Injections
XSS (oder auch CSS ... Cross Site Scripting)

[RobertP]

Najo Benutzereingaben sollte man immer überprüfen, egal ob get oder post.
Bei meiner Seite hab ich das Backend mit nem Template System gemacht, und die einzelnen Seiten dann einfach als Dateien die dann in das Template eingefügt werden. Als Template Engine hab ich Smarty verwendet.

[Namenloser]

Hi,

also meine Seite lädt zum größten Teil ihren Inhalt aus einer MySQL-Datenbank. Für alle "Kategorien" (Home/Profil/Blog/Delphi/NED Plus) habe ich jeweils eine PHP-Datei, auf die die Aufrufe per .htaccess umgeleitet werden. Bei der nächsten Version meiner Seite werde ich diese allerdings vermutlich per Include einbinden, damit ich diese leichter an Menü-Buttons koppeln kann usw.
Ein Template zu bauen ist nicht sonderlich schwer, im einfachsten Fall macht man einfach eine PHP-Datei und gibt den Inhalt einfach per

Code:

<?php echo $variable;?>

aus.
Mein Tipp für URLs: .htaccess - Damit sehen die Adressen erstens besser aus, sind zweitens suchmaschinenfreundlicher, und bieten Dank RegExp auch etwas weniger Manipulationsgefahr. Um die Prfüung der Parameter kommt man natürlich trotzdem nicht herum.

[Matze]

Hallo

Zitat von Progman:

confixx ist ein sehr flexibles CMS und dafür Templates zu machen, ist nicht schwer.
Ich habe das mal im Einsatz gehabt und war damit zufrieden.

Ich kenne Confixx nur als kostenpflichtige Konfigurations-Software für den Webserver, ähnlich wie Plesk.
Bekannte und ganz gute CMS sind zum beispiel Typo3 oder Joomla (ehem. Mambo).

Ein Template-System muss man auch nicht selbst schreiben, Smarty ist ganz nett und leicht zu bedienen. Möchtest du es selbst machen, finden sich zahlreiche Tutorials, wenn du danach suchst. Ob du den Seiteninhalt datei- oder datenbankbasiert gestaltest, bleibt dir überlassen, flexibler bist du jedoch mit der Datenbank. Da kannst du dir ein kleines Admin-Panel schreiben (bsp. per htaccess geschützt) oder du nutzt phpMyAdmin oder andere Tools, um auf die Datenbank zuzugreifen. Je nach dem, wie oft du Dinge ändern musst, ist das wohl die einfachste Möglichkeit.

Wie Lukas erwähnt hat, ist es ganz wichtig, sämtliche Eingaben, die man manipulieren kann, zu überprüfen. SQL-Injection (mysql_real_escape_string() bzw. mysql_escape_string()) natürlich, aber auch Dateien, die du über die Parameter einbindest. Das beste ist es, beim include() den eigenen root-Pfad voranzustellen, oder beispielsweise ein Array zu nutzen, in dem die erlaubten Werte für diese Parameter stehen. ich bevorzuge die erste Methode.

Grüße

Edit: Huch Der rote Kasten scheint seinen Winterschlaf zu halten.

Zitat von NamenLozer:

Mein Tipp für URLs: .htaccess - Damit sehen die Adressen erstens besser aus, sind zweitens suchmaschinenfreundlicher, und bieten Dank RegExp auch etwas weniger Manipulationsgefahr. Um die Prfüung der Parameter kommt man natürlich trotzdem nicht herum.

"modrewrite" wäre das Stichwort. Das wird jedoch nur von einem Apache unterstützt, dieser ist also Voraussetzung. Aber sicherer ist es damit eigentlich nicht, nur ansehnlicher.

[quendolineDD]

Zitat von NamenLozer:

Mein Tipp für URLs: .htaccess - Damit sehen die Adressen erstens besser aus, sind zweitens suchmaschinenfreundlicher, und bieten Dank RegExp auch etwas weniger Manipulationsgefahr. Um die Prfüung der Parameter kommt man natürlich trotzdem nicht herum.

Klar, aber solang das DBS nicht richtig konfiguriert ist, hat er im endefekt auch einen Zappen wenn ich stored Procs aufrufe