Eine Shoutbox als Twitter-Lösung
0 
dedlfix
Eine Shoutbox als Twitter-Lösung
Hi,
um es kurz zu machen: Ich habe mal ein bisschen codiert und programmiert, seither sind aber schon einige Tage ins Land gezogen. Ich bin jetzt im Praktikum und möchte Lehrer werden, zu einem (unbenoteten) Unterrichtsbesuch ist meine Idee die folgende:
Ich möchte die tagesaktuellen Nachrichten in Politik von den Schülerinnen und Schülern auf 140 Zeichen zusammenfassen lassen. Es geht ja hier nur um die grobe Darstellung meines Vorhabens, nicht ums Detail.
Ich möchte dafür nicht Twitter direkt bedienen - ich bin da auch nicht richtig fit. Ich dachte an eine Shoutbox mit Anmeldung und bin im Netz auf diese gestoßen:
https://www.script-tutorials.com/how-to-easily-make-shoutbox-application/
Allerdings ist die schon von 2010. Ich kenne mich mit Sicherheitslücken in Php etc nicht mehr aus. Auf der anderen Seite wird die Shoutbox eh nur temporär benutzt. Trotzdem meine Frage: Kann ich das Ding unbedenklich installieren?
Falls jemand generell Tipps hat für den Unterricht und/oder Twitter, gerne her damit. So oder so:
Vielen Dank für Eure Hilfe!
-
Tach!
https://www.script-tutorials.com/how-to-easily-make-shoutbox-application/
Allerdings ist die schon von 2010. Ich kenne mich mit Sicherheitslücken in Php etc nicht mehr aus. Auf der anderen Seite wird die Shoutbox eh nur temporär benutzt. Trotzdem meine Frage: Kann ich das Ding unbedenklich installieren?
Ja, solange es in einer kontrollierten Umgebung ohne Internetzugang läuft. Eine anderslautende Unbedenklichkeitsbestätigung ist sehr aufwendig zu erstellen, da muss auch die Laufzeitumgebung betrachtet werden.
Aber wenn man mal nach den meistgemachten Fehlern Ausschau hält, findet man da (mindestens) einen im PHP-Teil in Zeile 88. In Zeile 89 hat der Autor noch gewusst, dass man Werte kontextspezifisch behandeln muss. Oder vielleicht hat er nicht das notwendige Inhalts/Kontext-Denken sondern bewertet die Daten nach ihrer Herkunft. Sowas ist fatal. Der POST-Wert ist eine direkte Eingabe, der Cookie-Wert scheinbar nur vom Script aus setzbar. Dabei wird er ebenso vom Client aus gesendet und unterliegt damit allen erdenklichen Manipulationsmöglichkeiten. Und somit hat man da eine SQL-Injection-Lücke.
Ansonsten ist mir beim Drüberschauen nichts aufgefallen, aber das ist auch keine Unbedenklichkeitsbestätigung meinerseits.
dedlfix.