CatoTH
commented
9 years ago Könntest du vielleicht noch das Account-Löschen-Modal zu einem regulären Form machen? Am besten noch mit diesen zwei Punkten:
- Die URL nicht hart reinkodieren, sondern über Yii::app()->createUrl("index/accountLoeschen") erzeugen? Dann kann man das bei Bedarf später leichter über die config/urls.php umebenennen (und es funktioniert auch auf Umgebungen, die kein URL-Rewriting auf dem Server haben)
- Irgendwo im Form noch ein AntiXSS::createToken("deleteAccount") mit übergeben (z.B als Name des Submit-Buttons) und das dann in der Submit-Funktion überprüfen (AntiXSS::isTokenSet("deleteAccount"))? Weil wenn ich es recht sehe wäre es jetzt möglich, jemanden mit Account der gerade eingeloggt ist dazu zu bringen, seinen Account versehentlich zu löschen, einfach indem ich ihn irgendwie per Link (oder unsichtbarem IFrame, Ajax-Request, eingebettetem Bild oder was auch immer) auf https://www.muenchen-transparent.de/accountLoschen bringe, und der Account wird automatisch gelöscht. Das wird über diese XSS-Sicherung verhindert (weil das Token, das übergeben wird, vom Benutzeraccount und einem geheimen Seed abhängt und damit nur dem jeweiligen Benutzer zugänglich ist).
konstin
Die Lösung ist zwar nicht ideal, aber sie sollte für die offene beta reichen. Die elegantere Lösung (POST vs. URL aufrufen, etc.) mache ich dann irgendwann gegen Ende der Woche.