Předvyplněné políčko typu file (diskuse)

[Leoš Literák]

ted me napadlo, ze to chovani ma asi bezpecnostni duvody, treba by se tak dal krast /etc/passwd apod

[Christof]

přesně tak

[Filip Jirsák]

Ano, je to tak. A v případě přidávání příloh ke komentářům není čeho litovat, protože kdyby se jméno souboru předvyplnilo (nebo ho uživatel vybral znovu), odešle se ta příloha také znovu na server. Takže při základním způsobu použití – náhled a odeslat – by se soubor poslal dvakrát. Pokud by někdo komentář ještě upravoval a náhled posílal opakovaně, poslal by se soubor o to vícekrát.

Řešením by bylo udělat to podobně, jako má Gmail s přikládáním příloh k souboru – při odeslání formuláře odeslat přílohu na server a tam jí uložit. Při dalším zobrazení formuláře se zobrazí název přílohy, velikost a třeba typ a možnost tuhle přílohu smazat (např. checkbox vedle přílohy s textem „smazat tuto přílohu“), a pod tím se zobrazí políčko na přidání nové přílohy. Otázka je, zda se povolí více příloh, a pokud ne, co když uživatel vybere soubor a zároveň předchozí nesmaže (dá se udělat např. tak, že poslední vybraný soubor má přednost). Uložení na serveru bude jednoduché – přiřadí se mu nějaký jednoznačný název, ten se pak pošle zpět ve formuláři ve skrytém poli, takže při dalším odeslání bude server vědět, která příloha k němu patří. Akorát je potřeba vyřešit mazání příloh po nějaké době, když nebyly použity (uživatel odešle náhled se souborem, ale komentář už pak neodešle).

[xkucf03]

Z těchto důvodů má třeba Konqueror upozornění: před odesláním formuláře se zobrazí dialogové okno se seznamem odesílaných souborů a zeptá se, jestli je uživatel chce opravdu odeslat. Celkem se divím, že jiné prohlížeče tohle nemají.

[Filip Jirsák]

Jiné prohlížeče to řeší tak, že nikdo jiný než uživatel nemá možnost soubor k odeslání ve formuláři vybrat. Tj. není možné cestu k souboru zadat ani v HTML, ani ji není možné nastavit JavaScriptem (ani žádnou podobnou metodou).

[Leoš Literák]

Mozna i proto neni mozne tlacitko pro vyber souboru nastylovat. Pak ale casto pusobi jako pest na oko

[Michal Kubeček]

Už zase? Tak po padesáté: krást /etc/passwd nemá (z bezpečnostního hlediska) žádný praktický smysl. Žádné tajné údaje tam nejsou. Proč nemůžete (a to není jen o vás osobně, to je obecný povzdech) napsat "získat obsah jakéhokoli souboru (který má daný uživatel právo číst)"? Nezní to dost strašidelně? A proč, když už to mermomocí chcete demonstrovat na konkrétním příkladu, použijete zrovna soubor, u kterého to ani trochu nevadí?

[David Jaša]

Třeba ~/.gnupg/secring.gpg nebo nějaký ten .p12 soubor by byly zajímavější.

[Filip Jirsák]

Kolik uživatelů má takový soubor? Když už, tak C:\Documents and Settings\Administrator\user.dat, to by byla sázka na jistotu

[Leoš Literák]

Co se cilis? Byl to jen priklad. Slovo bezpecnost bylo pouzito spravne, protoze kradez libovolneho souboru z uzivatelova pocitace je bezpecnostni problem, nezavisle na tom, zda je k necemu uzitecny. Dale bych jeste polemizoval, protoze seznam loginu je zneuzitelny. Minimalne to silne zjednodusuje problem pruniku, protoze utocnik nemusi hadat login.

[xkucf03]

Nebo je to použitelné pro sociální inženýrství - víme, na které lidi zatlačit a vytáhnout z nich hesla (to se týká spíš uživatelů na serveru).

[Zdeněk Štěpánek]

Jsem asi trochu mimo, pouzivam to vyjimecne, ale neni to policko pro souboir jako pole promennych? Takze zase zapsat zpet do ty spravny promenny.

To se ma vkladat jako text ze souboru? Tak to bych z kompu stahnul hned pri nahledu a pak uz ukazoval primo text na vebovy schrance. Pri zruseni dotazu by se ze serveru ten uploadovany text smazal.

Zdenek

[Messa]

Políčko typu file by z bezpečnostních důvodů nemělo jít nastavit. A i kdyby ano, neustále uploadovat stejný soubor je nesmysl. Také si myslím, že nejlepší (a už jsem to několikrát viděl) je soubor nechat uploadovat jednou a při dalším zobrazení formuláře jen napsat, že už byl uploadovaný (s možností uploadovat jiný).

[David Jaša]

Natáhnout soubor už při kliknutí na náhled, dočasně ho někam uložit a ukázat. Nejsu si ale jistý, jestli to "dočasné uložení" není podobně reálné jako "a toto mi prosím zvětšete a doostřete" z amerických detektivek.

[Věroš]

Dočasné uložení je reálné (a asi jediné řešení).

Otázkou zůstává, jak velký opruz to bude v Javě implementovat. (Ne, tohle opravdu NENÍ pokus o flame)

[Josef Kufner]

Jde to celkem bez probémů vrámci session (pár desítek KB určitě). Tedy aspoň v php jsem takto řešil import nějakých souborů, kdy se načetly soubory v prvním kroku a v druhém se takto načtená data zpracovávala (uživatel naklikal druhý formulář generovaný z těchto dat). Stejný způsob by měl jít i tady. Při náhledu si podržet na serveru soubor a při dokončení dotazu jej uložit trvale. Je nutné ale držet ve formuláři informaci o tom, že soubor byl uploadnut, aby při případném zdržení (vypršení session) nebyl ztracen bez varování.

[r]

mam rad ajax, takze nahled bych resil pomoci nej a soubor nahral na srv az pri odesilani, ale neco mne rika, ze praktictejsi bude pri nahledu nahrat soubor do "temp" a pri odeslani ho finalne ulozit (a asi nejlepsi by byl kompromis, udelat druhou moznost pomoci ajaxu, aspon by se nemusela nacitat cela stranka pri nahledu)

[Honza Balák]

Na diskuzním serveru K-report.net je to vyřešený takto:

1) u formuláře, kam se píše příspšvek, je tlačítko Přidat přílohu

2) otevře se okno, kde se vybere soubor a uloží se na server a přitom se mu přiřadí jedinečný identifikátor, který es vloží tam, kam chceš ten objekt mít (asi irelevantní)

3) pokud měníš text (respektive znovu přes Náhled edituješ výsledek), tak se nic neděje, identifikátory tam jsou pořád...

4) Při finálním uložení výsledku se též nic neděje (soubory tam vlastně už dávno jsou)

Srozumitelný to asi nebylo, tak se kdyžtak ptejte, nebo si to vyzkoušejte

[David Watzke]

Uložilo by se to při náhledu někam do tempu s ID toho threadu na začátku názvu souboru. Pak po zmáčknutí "Náhled" by se ty uploadnutý soubory zobrazily v nějaký tabulce a člověk mohl ještě mazat a přidávat další přílohy. Po odeslání by se případný další přílohy uložily k těm ostatním do tempu a pak by se vše přesunulo jinam a temp by se mohl jednou za čas pročistit cronem (starý soubory).

Je v plánu možnost přidávání/mazání příloh i po odeslání dotazu, jako je to třeba v bugzille?

[Leoš Literák]

Defaultne ma prava mazat prilohy jen clovek se spravnym pravem. Kdyz nekdo udela chybu, muze vyuzit vzkazy spravcum v menu Portal.

[Marian Krucina]

Udělal bych to podobně, jako u emailů. U akce Náhled a Dokonči by bylo možné soubor uloadovat. Pokud by už byl soubor uploadován, tak by se zobrazil checkbox s popiskem "vložit přílohu ...". Bude možné uložit více příloh? Pokud ano, pak by se seznamem příloh zobrazilo i políčko typu file na další přílohu.

PS: Díky za vývoj abíčka.