Re: Apache vs PostgreSQL

Am Freitag 04 April 2008 15:06:27 schrieb Robert Müller:
> Am 03.04.08 schrieb Olaf Radicke <olaf_rad(at)gmx(dot)de>:
> > Am Donnerstag 03 April 2008 09:10:51 schrieb Enrico Weigelt:
> > > > - Man kann erzwingen, das der Client sich nur mit ssl und md5
> > > > anmeldet
> > > >
> > > > und jeder weitere Kommunikation abgeschirmt ist.
> > >
> > > Geht beim Apachen auch ;-P
> >
> > Ich wüste nicht. Wenn du ein übel zusamen gestricktes PHP-Skript hast,
> > was Passwörter in Klartext abfragt, kann das Apache kaum verhindern.
>
> Klar, indem der Apache die Daten eben nur per https sendet und empfängt.

Hmmm... Kann ja sein das ich Müll schreibe, aber ich glaube https kann nicht
verhindern, das PHP-Skripten sich veräppeln lassen mit "bösen" URLs, die dann
die selbst gestrickten Limitierungen umgehen. Es ist lustig was für Resultate
man bekommt, wenn man auf blauen Dunst ein bar URLs durch probiert. Das dürft
auch ein https nicht verhindern können. Eine ungeschütztes Verzeichnis mit
sensiblen Daten ist dann meist nur der Anfang vom Ende. Auf was das
PHP-Skript wie antwortet, da hat Apache kein Einfluss.

Gruß

Olaf