Zugriff nur mit URL-Parameter

Hallo zusammen,

ich würde den Joomla-Zugriff gerne nur mit einem URL-Token erlauben.

Es geht um eine Intranet-Seite, die nur ausgewählten Besuchern zugänglich sein soll. Eine Passwortabfrage würde ich den Kollegen nach Möglichkeit somit gerne ersparen wollen.

Reicht es, den folgenden Code zu Beginn der root-index.php einzufügen um so auch jede Unterseite abzufangen?

<?php

// Abfrage GET-Perameter
$hash = isset($_GET['id']) ? $_GET['id'] : '';
$hash = filter_var($hash, FILTER_SANITIZE_STRING);
if ($hash !== "testid") {
    die();
}

/**
 * @package    Joomla.Site
 *
 * @copyright  (C) 2005 Open Source Matters, Inc. <https://www.joomla.org>
 * @license    GNU General Public License version 2 or later; see LICENSE.txt
 */

// NOTE: This file should remain compatible with PHP 5.2 to allow us to run our PHP minimum check and show a friendly error message

// Define the application's minimum supported PHP version as a constant so it can be referenced within the application.
define('JOOMLA_MINIMUM_PHP', '7.2.5');

if (version_compare(PHP_VERSION, JOOMLA_MINIMUM_PHP, '<')) {
    die(
        str_replace(
            '{{phpversion}}',
            JOOMLA_MINIMUM_PHP,
            file_get_contents(dirname(__FILE__) . '/templates/system/incompatible.html')
        )
    );
}

/**
 * Constant that is checked in included files to prevent direct access.
 * define() is used rather than "const" to not error for PHP 5.2 and lower
 */
define('_JEXEC', 1);

// Run the application - All executable code should be triggered through this file
require_once dirname(__FILE__) . '/includes/app.php';

Über einen Tipp würde ich mich sehr freuen.

Vielen Dank und viele Grüße

bibeg

Hallo JoomlaWunder: Vielen Dank für deine Antwort!

Leider ist der Eingriff in Software oder Hardware der Firmen-PC's nicht möglich. Wir arbeiten mit sehr abgespeckten Thin-Clients und virtualisierten Desktops.

Bisher war das Intranet frei im www zugänglich. Wir haben mit dem bisherigen VM-Anbieter alle die gleiche feste IP-Adresse und nur diese war per .htaccess freigeschaltet.

Nun steigen wir aber auf einen anderen VM-Anbieter um und nutzen in Zukunft verschiedene, wechselnde IP-Adressen, weshalb die bisherige Methode nicht mehr funktioniert.

Mir ist absolut bewusst, dass ich mit der Authentifizierung via URL-Parameter das Sicherheitsniveau herabsetzt, aber das wäre die einzige Möglichkeit den Kollegen eine weitere Passwortabfrage zu ersparen.

In unserem Intranet sind mit Ausnahme der Mitarbeiternamen keine personenbezogenen Daten hinterlegt. Es gibt dort u.a. die Möglichkeit mit Visforms z.B. Büromaterial zu bestellen, den Hausmeister zu beauftragen oder den aktuellen Speiseplan einzusehen.

Viele Grüße

bibeg

Hallo zusammen,

besten Dank für eure Antworten!

Genau - der Token soll auch für das Frontend gelten.

Das Backend schütze ich wie bisher per .htaccess.

Der entspechende Link wird den Kollegen automatisiert auf dem Desktop abgelegt.

Mir ist natürlich klar, das sie den Link auch weitergeben können - das können Sie ihr Passwort aber auch.

Zitat von Re:Later

Es hängt schlicht davon ab in Post #1, wen du abhalten willst. Der Token muss ja auch von irgendwem/irgendwas vergeben werden, bekannt sein.

Und natürlich schützt das nicht vor Abrufen von sonstigen Dateien wie Bilder, PDF und Kram. Aber das würde eine ähnliche "Sperre" in Joomla selbst auch nicht unbedingt schaffen.

Dateien haben wir bis auf PDF-Speisepläne keine hinterlegt. Diese sind aber weder sonderlich geheim noch interessant.

Viele Grüße

bibeg

Hallo bembelimen: Danke für deinen Tipp!

Ich habe festgestellt, dass die Verwendung von URL-Parametern immer wieder zu Fehlern führt.

Wahrscheinlich muss ich doch für alle Kollegen einen Joomla-Nutzer anlegen.

Ich würde vorher aber gerne noch deinen Tipp versuchen.

Das Verzeichnis mit dem "geheimen Namen" muss ja innerhalb des Joomla-Roots liegen.

Würdest du mir erklären, wie ich diesen Ordner explizit freigebe?

Vielen Dank und viele Grüße

bibeg