[PHP] Einbinden von Dateien ohne include

[Luckie]

Ich habe gerade eine Mail von meinem Weboster bekommen:

Zitat:

im Zuge des Ausbaus unseres Sicherheitskonzeptes werden wir das direkte
Einbinden von Internetadressen in PHP 4 ab dem 5.3.2007 sperren.

Konkret wird es, wie bereits standardmäßig in PHP 5.2, nicht
mehr möglich sein, Internetadressen über die Funktionen include(),
include_once(), require() und require_once() aufzurufen und einzubinden.

Wie löse ich denn folgendes Problem:

Code:

include $_SERVER['DOCUMENT_ROOT'].'/php/dirhelpers.php';
include $_SERVER['DOCUMENT_ROOT'].'/includes/nav.shtml';

In dirhelpers.php stehen ein paar Hilfsfunktionen, die ich weiter unten brauche und in nav.shtml steht die Navigation, die an der Stelle auch angezeigt wird.

Das tritt übrigens ab dem 5.3. in Kraft. Und ich habe keine Ahnung, wo ich so was überall benutzt habe. Etwas rechtzeitiger wäre schön gewesen.

[mkinzler]

Du bindest ja nichts über das Internetprotokoll ein.

[Luckie]

Ach so. Gut, wenn das so ist, dann hat sich das erledigt.

[yankee]

und wenn es dochmal über's Internet sein muss, dann so:
eval(file_get_contents('http://...'));

Wobei ganz klar anzumerken ist, dass sowas vermieden werden sollte, wo es möglich ist. Und es ist normalerweise möglich.

[DGL-luke]

per file_get_contents bekommst du aber im normalfall keinen quellcode, per include schon, oder?!

[Luckie]

Es sind ja zwei Fälle: Zum einem wird Quellcode direkt ausgegeben und zum anderen wird auf Quellcode in einer Datei zugegriffen.

[yankee]

Zitat von DGL-luke:

per file_get_contents bekommst du aber im normalfall keinen quellcode, per include schon, oder?!

Zitat von Luckie:

Es sind ja zwei Fälle: Zum einem wird Quellcode direkt ausgegeben und zum anderen wird auf Quellcode in einer Datei zugegriffen.

Ich glaube wir reden aneinander vor, denn sonst kann ich mir aus euren Aussagen keinen Sinn machen...

Es geht mir darum, dass diese zwei Befehle:

include('http://www.delphipraxis.net');
eval(file_get_contents('http://www.delphipraxis.net'));

den identischen Effekt haben. (include dürfte performancetechnisch die Nase vorn haben, aber sonst...).

[DGL-luke]

Das heißt, beide greifen per fopen-Wrapper über das HTTP-Protokoll auf den Webserver der Gegenseite zu? D.h. werden nur eine bereits ausinterpretierte php-Datei laden, falls der Webserver die referenzierte Datei standardmäßig interpretiert?

Ich hab mir mal sagen lassen, beim include sei das nicht der Fall...

[yankee]

Zitat von DGL-luke:

Das heißt, beide greifen per fopen-Wrapper über das HTTP-Protokoll auf den Webserver der Gegenseite zu? D.h. werden nur eine bereits ausinterpretierte php-Datei laden, falls der Webserver die referenzierte Datei standardmäßig interpretiert?

Ja

Zitat von DGL-luke:

Ich hab mir mal sagen lassen, beim include sei das nicht der Fall...

Dann sag' dem, der dir das gesagt hat, dass er keine Ahnung hat.
Ich habe dies schon relativ häufig gehört und konnte noch nie nachvollziehen, wie man das nachvollziehen kann.

Was soll include denn anders machen? Dem gegenüberliegenden Webserver mal mitteilen, dass du gerne den Quelltext hättest statt die geparste Ausgabe? Das wäre ja DIE Sicherheitslücke, wenn das ginge *gg*. So kann man sich den Quelltext von jeder beliegbigen Webseite heruntzerladen .
Aber nein. Auch die include-Funktion mit url-Wrapper macht eine ganz normale http-Anfrage, die auch das gleiche Ergebnis liefert wie jede andere http-Anfrage..

Also wenn dir das nächste mal jemand sowas sagt, dann farg ihn mal, was der für einen coolen Webserver hat, der mekrt, dass die http-Anfrage von einer include-Funktion kommt und den Quelltext ausgibt.

[DGL-luke]

Danke. Ich hatte das auch nie ganz geglaubt