WBCE CMS Forum

screamindan

Member

Re: Download mit wechselndem Passwort

Gemini ist, meiner Bescheidenen Meinung nach, auch nicht das beste Modell für Vibe Coding.
Ich nutze es nur für Design/Kreative Sachen.
Für Code ist, von den großen bekannten, Claude mein Favorit. Aber auch damit braucht es ein wenig Erfahrung.
@screamindian: Wenn das für dich OK ist, dann setze ich mal Claude Code darauf an das er das wenigstens mal entfehlert und etwas aufräumt. Dann hast du vielleicht eine einfachere Grundlage an der du weiter arbeiten kannst.
Auch solltest du deinen Workflow überdenken. mit dem vielen Hin und herschicken tust du dir keinen Gefallen.

Trotzdem. Laß dich nicht entmutigen. Gemeinsam bekommen wir das hin und du wirst sehen das es Spaß macht wenn man die eigenen Ideen plötzlich verhältnismäßig einfach umsetzen kann.

@florian: Deine Gemini Story... FullACK but mmD

Ich mach heute Abend mal die Sachen fertig. Und wenn es für mich schonmal ok aussieht, häng ich das hier an und Du kannst dann den Franzosen beauftragen. Gemini hat das wohl nochmal komplett neu aufgerollt...

EDIT: Einmal mit Profis...

Auch solltest du deinen Workflow überdenken. mit dem vielen Hin und herschicken tust du dir keinen Gefallen.

Grade gemerkt, dass Gemini Google ist und ich es auch am Rechner hätte bedienen können. Dachte wäre ne App ...   

Last edited by screamindan (10.03.2026 12:27:00)

screamindan

Member

Re: Download mit wechselndem Passwort

"wenn du dann nicht wieder mit dem Hintern alles einreisst, was du vorher mit den Händen mühsam erschaffen hast, kannst du das gerne machen. Danach brauchen wir dann glaube ich beide eine Pause." Kann ich nachfühlen Florian. So weit war ich gestern Abend auch...

screamindan

Member

Re: Download mit wechselndem Passwort

So. Scheint zum Teil zu laufen. Drag and Drop geht, Codes generieren geht. Download selber geht auch.  Erfolgreichseite erscheint nicht nach Download. Sperren / Entsperren / Löschen der einzelnen Codes geht nicht, Sicherheitsverletzung. CSV Download gibt auch nen Fehler...

EDIT
Das Modul erscheint weder im Addon Monitor noch im Addon File Editor.

Last edited by screamindan (10.03.2026 16:47:23)

Slugger

Developer

Re: Download mit wechselndem Passwort

Stichwort index.php Verzeichnisschutz für AFE

Das Modul in der info.php deklarieren Tool, Page, snippet falls nicht geschehen.

Last edited by Slugger (10.03.2026 18:23:27)

---

Hoster: ALL-INKL *** Grundsätzliche WBCE Konfig ***
WBCE: 1.6.5 • BE: 2.1.0 • PHP: 8.x * Alle • BE: Argos
Status Projekt 1-4:  OK

beach

Developer

Re: Download mit wechselndem Passwort

[...]
Ich mach heute Abend mal die Sachen fertig. Und wenn es für mich schonmal ok aussieht, häng ich das hier an und Du kannst dann den Franzosen beauftragen. Gemini hat das wohl nochmal komplett neu aufgerollt...
[...]

Mal schauen was mein Kumpel tun kann. Habs ihm mal gegeben und er arbeitet daran. Hoffe es ist OK wenn ich auch ein paar Grundlegende Sachen ändere falls es nötig erscheinen sollte.

---

--

Tu ich dir was gutes, tu Du uns was gutes

screamindan

Member

Re: Download mit wechselndem Passwort

Tue Dir keinen Zwang an. Solange es macht wozu es gedacht ist.

beach

Developer

Re: Download mit wechselndem Passwort

Nunja. Hat dann doch ein paar Minuten länger gedauert.....
Eine grundlegende Änderung. Es wird nicht mehr User und Passwort gefragt sondern ein 20 stelliger Downloadtoken.

War mir da mit Claude einig das dies die sicherere Variante ist.
Wichtiger Hinweis: Wenn das Modul unter nginX läuft, ist der Media Ordner nicht gegen direkten Zugriff geschützt. Also kann das komplette System umgangen werden. Die Absicherung muß auf Serverebene erfolgen. Bei Apache übernimmt das Modul die Absicherung per .htaccess

Ansonsten ist noch Optisch das eine oder andere aufzuräumen

Feel Free weiter zu machen. Und viel Spaß.

Secure Download Ultimate – Änderungsprotokoll v3.7.0 → v4.0.0

  Bugs & Funktionsfehler

  - modify.php: Absturz wenn add.php nicht ausgeführt wurde → Fallback-INSERT + array_merge mit Defaults
  - modify.php: Doppelter getFTAN()-Aufruf erzeugte HTML-Tag als URL-Parameter → getFTAN(false) für URLs
  - save.php: checkFTAN() prüfte immer POST, auch bei GET-Aktionen (Reset/Löschen) → Modus dynamisch ermittelt
  - save.php: print_success() ohne nachfolgendes print_footer()/exit → HTML blieb offen
  - js/backend.js: Drag & Drop schlug still fehl (fi.files = e.dataTransfer.files ist read-only) → DataTransfer API

  Sicherheit

  - Path Traversal: download.php verwendete Dateinamen unkontrolliert → basename() + realpath() + strncmp()-Check
  - RCE via Upload: Kein Dateitype-Check → Extension-Whitelist + finfo_file() MIME-Prüfung, Upload nur für Admins
  - Race Condition: Download-Zähler war anfällig für TOCTOU → START TRANSACTION + SELECT … FOR UPDATE + COMMIT
  - Statisches Download-Token: SHA-256 des Passworts als dauerhafter URL-Parameter → Einmal-Token (64-Byte Hex, 15 Min.
  TTL) in DB
  - Direktzugriff auf Dateien: Upload-Verzeichnis war web-erreichbar → .htaccess wird bei Install/Upgrade automatisch
  angelegt
  - Dropdown zeigte .htaccess: scandir() ungefiltert → array_filter() mit Extension-Whitelist

  Authentifizierungskonzept

  - Username + Passwort (Klartext in DB) ersetzt durch Einmal-Token im Format XXXXX-YYYYY-ZZZZZ-AAAAA
  - Alphabet ohne verwechselbare Zeichen (0/O, 1/I/L)
  - Kollisionsfreie Generierung per random_int()

  Datenmodell

  - Tabellen-Schema neu aufgebaut (inkompatibles Altschema)
  - download_token + token_expires in Codes-Tabelle für Einmal-Download
  - filename pro Code-Eintrag → jeder Code ist dauerhaft an die Datei gebunden, die beim Generieren aktiv war; Änderung
  der aktiven Datei betrifft Altcodes nicht
  - upgrade.php deckt beide Migrationspfade ab (< 3.8.0 und 3.8.x)

  CSV-Export

  - Neue Spalten: Verlinkte Datei, Limit, Status (aktiv/gesperrt)
  - Dateiname kommt aus dem Code-Eintrag (nicht mehr aus der Sektion)
  - UTF-8 BOM für korrekte Excel-Darstellung

  Codequalität & Konventionen

  - CSS und JS in separate Unterverzeichnisse (css/, js/) ausgelagert
  - Alle PHP-Dateien mit einheitlichem Datei-Header (@module, @version, @author, @license, @platform)
  - Guards vereinheitlicht auf WBCE-Standard: defined('WB_PATH') or die(...)
  - LICENSE.txt (GNU GPL v2) ergänzt
  - Autor:  → WBCE Community

Last edited by beach (10.03.2026 23:19:23)

---

--

Tu ich dir was gutes, tu Du uns was gutes

screamindan

Member

Re: Download mit wechselndem Passwort

Moin. Vielen Dank erstmal dafür! Sieht aus wie vorher, funktioniert aber jetzt! 
Welche Dateiformate sind denn erlaubt?
Und falls einem der 20stellige Token zu... Sicher ist... Weil zB die Karten nicht gross genug sind... Wo könnte man das einstellen?

Aber super Arbeit von Dir und dem Franzosen. Ich hatte es gestern nochmal komplett neu probiert. Glaube ca 20min nur die Anforderungen (diesmal am Rechner) eingetippt. Gemini hat es aber leider auch wieder nicht hinbekommen. Es wurden keine Codes generierr, zwischendurch war die Seite dann grau...
Ich glaube ich geb dem Gemini noch die Chance, weil das ja ne KI erarbeiten sollte, das Styling anzupassen. Muss aber ja nicht wirklich viel getan werden, sieht ja so schon top aus.

Danke 

EDIT
Wenn man nach Ablauf des Token es trotzdem nochmal versucht, steht da nur Zugriff verweigert. Wie kann ich da eine etwas persönlichere Fehlermeldung / Fehlerseite anbauen?

Last edited by screamindan (11.03.2026 08:02:57)

screamindan

Member

Re: Download mit wechselndem Passwort

Stichwort index.php Verzeichnisschutz für AFE

Das Modul in der info.php deklarieren Tool, Page, snippet falls nicht geschehen.

Da weiss ich nicht genau was gemeint ist. Das gefixte Modul taucht auch nicht im AFE auf. Was muss ich denn wo reinschreiben?

Slugger

Developer

Re: Download mit wechselndem Passwort

Jeder Ordner eine index.php mit Inhalt für direktory schutz geben.

Schau zum Vergleich andere Module an in der eine index.php liegt.

Oder Gemini danach fragen

Last edited by Slugger (11.03.2026 11:17:51)

---

Hoster: ALL-INKL *** Grundsätzliche WBCE Konfig ***
WBCE: 1.6.5 • BE: 2.1.0 • PHP: 8.x * Alle • BE: Argos
Status Projekt 1-4:  OK

beach

Developer

Re: Download mit wechselndem Passwort

Ich habs selber noch nicht getestet...
Im Anhang die Version 4.1.0 mit eigener Fehlerseite, variabler Tokenlänge und index.php als Verzeichnisschutz in jedem Verzeichnis

Last edited by beach (11.03.2026 11:22:45)

---

--

Tu ich dir was gutes, tu Du uns was gutes

screamindan

Member

Re: Download mit wechselndem Passwort

Ich habs selber noch nicht getestet...
Im Anhang die Version 4.1.0 mit eigener Fehlerseite, variabler Tokenlänge und index.php als Verzeichnisschutz in jedem Verzeichnis

Soweit alles gut. Bei Angabe einer URL leitet er allerdings bei Datei jetzt herunterladen direkt auf die Fehlerseite und lädt nix runter. Der Zähler im Backend bleibt auch auf 0.

Nehme ich die URL raus kommt Zugriff verweigert.
Downloadseite und Fehlerseite stehen auf versteckt.

Last edited by screamindan (11.03.2026 12:19:05)

beach

Developer

Re: Download mit wechselndem Passwort

Version 4.1.5
Auch die optischen Fehler wurden beseitigt.

Kleine Spende ans Projekt 

---

--

Tu ich dir was gutes, tu Du uns was gutes

screamindan

Member

Re: Download mit wechselndem Passwort

Jetzt klappt fast alles. Wenn ich den Code eingebe und bestätige kommt das nächste Fensterchen. wenn ich auf Datei runterladen klicke wird die Datei auch gespeichert. Danach bleibt das Runterladen Fensterchen stehen. wenn ich nochmal darauf klicke (also nicht den Code eingebe, nur nochmal runterladen will) kommt 404 Not Found.

Rest geht aber super!

Und spende ans Projekt kommt natürlich auch noch. 

Last edited by screamindan (11.03.2026 15:36:43)

beach

Developer

Re: Download mit wechselndem Passwort

Das verhalten ist auch so von Anfang an gewesen.....

● Fertig — 4.1.6 bereit.

  Ablauf nach dem Klick:
  1. Download-Link öffnet download.php in neuem Tab → Datei startet
  2. Nach 2 Sekunden leitet window.location.pathname den ursprünglichen Tab auf dieselbe Seite zurück — ohne POST-Daten,
   also zeigt view.php wieder das Eingabeformular

  window.location.pathname ist bewusst gewählt: es ignoriert eventuelle Query-Parameter und POST-Daten, sodass die Seite
   sauber neu geladen wird.

Last edited by beach (11.03.2026 15:53:50)

---

--

Tu ich dir was gutes, tu Du uns was gutes

screamindan

Member

Re: Download mit wechselndem Passwort

Ja so isses sehr gut. Es springt wieder auf die Codeeingabe Seite. Wenn ich einen abgelaufenen Code eingebe, kommt die selbst eingerichtete Fehlerseite nur bei kompletter URL. Das mit der internen WBCE Seite auswählen scheint nicht zu gehen...

Aber genauso war das gedacht, vielen Dank nochmals dafür! 

Das verhalten ist auch so von Anfang an gewesen.....

War mir nicht aufgefallen, sorry. 

Last edited by screamindan (11.03.2026 16:35:10)

beach

Developer

Re: Download mit wechselndem Passwort

Ups. Wie gesagt. ich habe aktuell wenig Zeit zum Testen. Das mit der Internen Seite war ein Problem des Linkaufbaus. Sollte in der Version behoben sein..

Edit. Achso. Hab noch was einbauen lassen womit mal alle verbrauchten Token auf einmal löschen kann. Könnte nützlich sein
Und hab noch was einbauen lassen.... Hoffe es funktioniert. Hab's noch nicht getestet

Last edited by beach (11.03.2026 19:47:24)

---

--

Tu ich dir was gutes, tu Du uns was gutes

screamindan

Member

Re: Download mit wechselndem Passwort

Klasse. Bin grad unterwegs, aber das probiere ich nachher noch aus. 

Das mit dem mehrfach Löschen hatte ich mich nicht mehr getraut zu fragen. 

Last edited by screamindan (11.03.2026 20:09:37)

screamindan

Member

Re: Download mit wechselndem Passwort

Ne schnelle Möglichkeit zum gezielten Löschen wären auch so Anhakkästchen. Könnte man gucken welche Token schon länger gesperrt sind, sich aber keiner beschwert hat. Dann alle ausgewählten löschen...

screamindan

Member

Re: Download mit wechselndem Passwort

Ne schnelle Möglichkeit zum gezielten Löschen wären auch so Anhakkästchen. Könnte man gucken welche Token schon länger gesperrt sind, sich aber keiner beschwert hat. Dann alle ausgewählten löschen...

Und genau das hatter gemacht. 
Danke danke. Das is besser geworden als ich gedacht hab. Jetzt teste ich das noch ausgiebig...

screamindan

Member

Re: Download mit wechselndem Passwort

Download startet nicht, sondern es kommt direkt die  Fehlerseite. Code ist nicht gesperrt. Zähler steht auf 0/1.

Ich hab in der backend.css .sd_btn_save, .sd_btn_export, .sd_btn_danger ein margin von 19px oben gegeben.

frontend.css hinzugefügt

[== CSS ==]
form input[type="text"] {text-align: center;}

Last edited by screamindan (11.03.2026 21:36:57)

screamindan

Member

Re: Download mit wechselndem Passwort

Gibt es eine Möglichkeit, die IDs der Codes für einen bestimmten Abschnitt auf der Seite auf beginnend ab 1 zurückzusetzen? Wär zum Testen gut. In der Datenbank?

beach

Developer

Re: Download mit wechselndem Passwort

Also bei mir funktioniert der DL korrekt. Aber habe auch nicht alles im Detail getestet.
Du musst mir da schon detailliertere Infos geben um den Fehler nachzuvollziehen. Also was du wie gemacht hast usw...

Was nicht funktioniert: Wenn du 2 er Tokensätze erstellst und danach z.B. 3-er. Dann werden die 2er nicht mehr akzeptiert.
Da musst du dich festlegen was du nutzen willst. Eine Umstellung auf mehr oder weniger ist nur durch einen komplett neuen Satz Token möglich.

Es gibt keine Abschnitte mehr in dem ursprünglichen Sinne. Das hat zu viele Fehler produziert. Alle Token sind mehr oder weniger Separat. Wenn du Token löschen willst, dann markiere diese und lösche die oder jeden Einzeln.

In der DB direkt hast du selbstverständlich andere Möglichkeiten. Aber ........
Ähm... GROUP BY.....
Lass es.. Auch nicht zum Testen. Sorry. es ist besser so

Leg nur max 10 Token an dann sind es auch nicht zu viele die man löschen muß

Sorry. Hatten ein paar Feierabendbier zu viel

---

--

Tu ich dir was gutes, tu Du uns was gutes

screamindan

Member

Re: Download mit wechselndem Passwort

Grade nochmal Modul deinstalliert. Adminer geguckt, keine Einträge drin. Module neu laden lassen. Modul installiert. Nochmal Module neu laden lassen. Abschnitt auf der Seite angelegt. 1 Download / 2 Tokenblöcke. Fehlerseite ausgewählt. Datei ausgewählt. 10 Codes generiert. Alles gespeichert. Ersten Code eingegeben und bestätigt. Vielen Dank Sie können die Datei jetzt herunterladen. Auf Datei jetzt runterladen geklickt. Es öffnet sich ein zweites Fenster mit der Fehlerseite. Das Codeeingabefenster ist noch geöffnet.

Im Backend stehen alle Token noch als 0/1. Hab auch probiert mit Downloadlimit 2. Selbes Ergebnis.
Das war aber bei einer vorherigen Version auch schon so....

screamindan

Member

Re: Download mit wechselndem Passwort

Ich habs selber noch nicht getestet...
Im Anhang die Version 4.1.0 mit eigener Fehlerseite, variabler Tokenlänge und index.php als Verzeichnisschutz in jedem Verzeichnis

Siehe meine Antwort auf diesen Post, ich weiss leider nicht wie man einen direkten Link zu dem Post macht...

Jetzt erstmal wieder gute Nacht.
Ich bin zuversichtlich, dass Du und der Franzose das schon wuppen werden! 

Last edited by screamindan (12.03.2026 00:08:44)