Adresář pro české SMS brány (diskuse)

[Kníže Ignor]

Bezva nápad, ale lepší by to bylo udělat jako bookmarklet. Sice by to nemělo to hezké roletkové menu, ale zase by to nevyžadovalo Firefox a Greasemonkey.

Představuju si to takhle: Kliknu na ikonu, otevře se mi okno s adresářem, vyberu adresáta (mohlo by to umět vyhledávat pro případ rozsáhlých adresářů), potvrdím a v rodičovském okně se mi vyplní zvolené údaje. To by mohlo v javascriptu jít, ne?

Jo a ještě se mi nelíbí, že je adresář dostupný každému.

[Filip Jirsák]

Nebyl by u bookmarkletu problém s cross-site scripting? A třeba taky s maximální délkou URL, do kterého je nutné ten JavaScript dostat?

Adresář je dostupný každému, kdo zná jeho adresu. A tu přece nemusíš nikde zveřejňovat. Jinak pokud máš ve Firefoxu nastaven automatický výběr klientského certifikátu a na serveru si rozchodíš HTTPS s autorizací klientským certifikátem, můžeš mít adresář i docela slušně zabezpečený

[Kníže Ignor]

Nebyl by u bookmarkletu problém s cross-site scripting? A třeba taky s maximální délkou URL, do kterého je nutné ten JavaScript dostat?

Popravdě nevím, co je x-site scripting. Pouze tuším. Ale než jsem odeslal první příspěvek, zjistil jsem si, že v každé okno má vlastnost window.parent, takže by snad mělo jít nějakým způsobem vyplnit ty formulářové prvky. Ale tohle opravdu nevím. Omezení délky URL by vadit (snad) nemělo. Myslel jsem, že by stačilo, že by ten bookmarklet vytvořil nové okno s adresou stránky, kde je ta "adresářová aplikace".

--

Takováhle forma zabezpečení není zrovna mobilní... Chce to zabezpečení pouze heslem.

[Filip Jirsák]

Popravdě nevím, co je x-site scripting. Pouze tuším. Ale než jsem odeslal první příspěvek, zjistil jsem si, že v každé okno má vlastnost window.parent, takže by snad mělo jít nějakým způsobem vyplnit ty formulářové prvky. Ale tohle opravdu nevím. Omezení délky URL by vadit (snad) nemělo. Myslel jsem, že by stačilo, že by ten bookmarklet vytvořil nové okno s adresou stránky, kde je ta "adresářová aplikace".

Způsob zabezepčení proti x-site scripting je myslím právě to, že skripty z jedné domény nemohou přistupovat ke DOMu a skriptům z jiné domény.

Takováhle forma zabezpečení není zrovna mobilní... Chce to zabezpečení pouze heslem.

Tak si ten adresář schovej třeba pod PHP skript a použij adresu example.com/adresar.php?jmeno=ja&heslo=tajne, to je standardní zabezpečení heslem na webu. Používání hesla, které není jednorázové, je totiž založené na tom, že znám nějaké tajemství, které nikdo jiný nezná. To "tajemství" ale nemusí být heslo, které napíšu do okýnka, ale může to být klidně URL adresa. Ostatně, Google Calendar používá přesně tenhle způsob zabezpečení – prostě je to adresa, kterou dáš jenom tomu, kdo má mít ke kalendáři přístup.

[Kníže Ignor]

Dík za vysvětlení.

Možná mě napadlo jak obejít omezení délky URL. Kód by se (nějak ) uložil do cookie a ta by se vykonala pomocí eval().

Pak by to mohlo fungovat třífázově takto :

- kliknu na ikonku, vygeneruje se stránka s adresářem (data jsou taky v cookie)

- potvrdím - do cookie se uloží data o zvoleném adresátovi, history.go(-1)

- kliknu na jinou ikonku - vyplní se formulář (to jsem si ověřil, že jde) - tahle tafáze je navíc oproti původnímu plánu, ale kdyby se v první fázi podařilo provést window.setInterval(kod, gap), kde kod by kontroloval, zda je už cookie nastavená a pak vyplnil formulář, mohli bychom se fázi 3 vyhnout

No, berte to spíš pro pobavení a ilustraci toho, jaké blbiny může vymyslet neprogramátor.