Contao Manager vergisst Passwort

Hallo,

bei mir tritt bei einer neuen 4.4 Installation (Update einer 3.5) das Phänomen auf, dass ich mich trotz diverser Passwortänderurngen nach dem jeweils nächsten Login nicht mehr in den Contao-Manager einloggen kann. Ich muss dann die user-Datei im Contao-Manager-Ordner löschen und wieder alles neu vergeben.

Gibt es eventuell Sonderzeichen, die nicht benutzt werden dürfen?

Oder kann es an einem Verzeichnisschutz liegen? Ich habe in dem dem "web"-Ordner übergeordneten Ordner eine htaccess liegen, die alles mit einem Benutzernamen und Passwort schützt. Der (htaccess-)Login-Dialog poppt eigenartigerweise bei Aufruf des Contao-Manager-Logins auch mehrfach auf, trotz vorheriger Eingabe der korrekten Zugangsdaten. Browser ist der aktuellste Firefox.

Hat jemand von Euch eine Idee, woran das liegen kann?

Danke und viele Grüße
juju

Zitat:

---

Zitat von juju

Oder kann es an einem Verzeichnisschutz liegen? Ich habe in dem dem "web"-Ordner übergeordneten Ordner eine htaccess liegen, die alles mit einem Benutzernamen und Passwort schützt.

---

Kann schon sein, dass dies Probleme macht. Benenne die .htacces doch einfach mal um und schaue ob dann das Problem weg ist.

Nachtrag:
Jetzt raffe ich es erst richtig, das mit dem Verzeichnisschutz solltest Du auf gar keinem Fall machen - weg damit!
Was soll denn der Sinn davon sein? :eek:

Hallo Stefko,

danke für Deine Antwort.

Wie der Name schon sagt soll es einen Verzeichnisschutz bieten - während ich die Seite entwickle. Wie löst Du das?

Danke und Grüße
juju

Das machst du in der .htaccess im web Ordner.

Hallo Spooky,

das hatte ich auch schon versucht und ändert leider gar nichts.

Viele Grüße
juju

Magst Du mal ein paar Infos zu Deinem System nennen? Genaue Version (ja, auch die letzte Stelle zählt), und wie Du das Update gemacht hast. Verzeichnisstruktur wäre auch wichtig, idealerweise mit Berechtigungen.

https://community.contao.org/de/show...pdateproblemen

Hallo PaddySD,

sehr gerne:

• es ist die aktuellste 4.4.35
• Hoster ist cyon (php7.2)
• Update über Contao Manager von 3.5.36
• Erweiterungen: rs_columns und rs_custom_elements
• Ordnerstruktur gemäß Contao Konventionen /contao-ordner/web (web-Ordner alst Zielordner der domain eingestellt)
• Verzeichnisschutz liegt jetzt im web Ordner (htaccess)

Danke und Grüße
juju

Zitat:

---

Zitat von juju

Wie der Name schon sagt soll es einen Verzeichnisschutz bieten - während ich die Seite entwickle. Wie löst Du das?

---

Systemwartung -> Wartungsmodus -> Aktivieren ;)

Hallo Stefko,

wenn ich es richtig sehe, kann ich dann keine externe Preview für meinen Kunden mehr anbieten, oder? Was man natürlich durch einen Mitgliederzugang lösen könnte.

In erster Linie will ich vermeiden, dass die Entwicklungsumgebung von Suchmaschinen gelistet wird (was mir früher einmal ohne htaccess passiert ist) und dass Fehlermeldungen sichtbar sind.

Danke und Grüße
juju

Deine Kunden bekommen einfach die htaccess Daten. Damit lässt sich alles ansehen. Klappt bestens

Hi planepix,

was meinst Du damit?

Die htaccess soll doch gerade vermieden werden. Stehe auf der Leitung.

Danke und Grüße
juju

... oder hast Du evtl. eine Lösung, wie eine htaccess mit Verzeichnisschutz unter einer 4er Installation angelegt werden muss, dass sie keine Probleme mit dem Contao-Manager bereitet. Bei mir zumindest ist dem so.

Nochmaldank
juju

Eigentlich sollte die .htaccess keine Probleme mit dem Contao Manager verursachen.

Zitat:

---

Zitat von juju

... oder hast Du evtl. eine Lösung, wie eine htaccess mit Verzeichnisschutz unter einer 4er Installation angelegt werden muss, dass sie keine Probleme mit dem Contao-Manager bereitet. Bei mir zumindest ist dem so.

Nochmaldank
juju

---

Liegt eine .htaccess im Verzeichnis web und ich rufe den Contao Manager auf, dann muss ich aktuell die Zugangsdaten 2x eingeben; danach kann ich im Contao Manager normal arbeiten.

Ich habe es gerade noch einmal versucht und bei mir ist es eine Dauerschleife. Ich komme bei Aufruf des Contao Managers nie an den Punkt, an dem das Verzeichnisschutz-Login wirkt. Ich drücke die erneuten Dialogfenster dann immer weg bis die Loginseite aufgebaut ist. Mir ist wirklich schleierhaft, warum sich das so verhält.

Im Contao FE oder BE ist das kein Problem: 1x beim Verzeichnisschutz einloggen und dann nie wieder.

Großes Fragezeichen ....

Einfach zum Test: einmal in einem anderen Browser versuchen. Sonst einmal alle Caches und Session löschen

Zitat:

---

Zitat von juju

Ich habe es gerade noch einmal versucht und bei mir ist es eine Dauerschleife. Ich komme bei Aufruf des Contao Managers nie an den Punkt, an dem das Verzeichnisschutz-Login wirkt. Ich drücke die erneuten Dialogfenster dann immer weg bis die Loginseite aufgebaut ist. Mir ist wirklich schleierhaft, warum sich das so verhält.

Im Contao FE oder BE ist das kein Problem: 1x beim Verzeichnisschutz einloggen und dann nie wieder.

Großes Fragezeichen ....

---

Du solltest deine .htaccess so anpassen, dass der Schutz nicht den Contao Manager betrifft.

Ich habe jetzt einmal testweise den Verzeichnisschutz deaktiviert und ich konnte mich tatsächlich wieder in den Contao Manager einloggen.

Dann habe ich im Contao Manager den Wartungsmodus gesucht. Wo soll der einstellbar sein? Habe in den Menüs keinen Eintrag "Wartungsmodus".

Danke und Grüße
juju

Zitat:

---

Zitat von juju

Dann habe ich im Contao Manager den Wartungsmodus gesucht. Wo soll der einstellbar sein? Habe in den Menüs keinen Eintrag "Wartungsmodus".

---

Links in der Spalte auf Systemwartung, und dann oben Wartungsmodus auswählen. Ist das nicht da?

Im Contao Backend, nicht im Contao Manager.

Das ist in Contao im Core und hat nichts mit dem Manager zu tun.

Got it.

Ich dachte das wird jetzt auch über den Contao Manager gesteuert. Macht das noch Sinn, wenn die Updates oder Installationen eh über den Manager bzw. die Console gesteuert werden? Hmm...

Trotzdem Danke für Eure Hilfe, obwohl ich nach wie vor für die Entwicklung gern eine (wie bisher unproblematische) htaccess-Lösung mit Zugang für Kunden hätte.

Viele Grüße
juju

Vielleicht klappt das mit der .htaccess nicht, weil du da eine bestehende Datei von Contao nimmst?

In diesem Fall generierst du dir eine htpassw Datei; zum Beispiel hiermit:
http://www.htaccesstools.com/htpasswd-generator/

/web/.htaccess ganz oben hinzufügen:

Zitat:

---

AuthName "Security"
AuthType Basic
AuthUserFile "/kunden/blabla/.htpasswd"
require valid-user

---

Das Verzeichnis zur .htpasswd ausgehend vom Root Deines Hostings.

Ich fasse mal kurz zusammen:
Entweder .htaccess im web-Ordner oder den Wartungsmodus via Backend. Beides sollte gehen, ich persönlich mache das auch immer mit einer .htaccess. Was weiter oben erwähnt wurde, Du solltest/darfst keine .htaccess im root-Ordner haben (oberhalb web), das war mit vermeiden gemeint.

Warum Deine .htaccess nicht geht? Keine Ahnung aber poste sie doch mal.... Uuuuund, die .htpasswd wäre auch nicht schlecht... :D Beide bitte hier im Forum in [code]-Blöcke einschliessen und natürlich die entsprechenden Stellen unkenntlich machen.

Meine Idee wäre eine andere. Wenn ich Dich richtig verstehe, musst Du die Daten ja mehrfach eingeben, bis Du zum Login kommst. Das würde ich so übersetzen, dass Du offensichtlich je ausgelieferter Datei die Daten neu eingeben musst (jedes Icon, jede css usw.). Das wiederum liesse mich eher mal die Apache und php (php.ini(s)) config prüfen lassen. Das sieht mir eher nach einem "nicht-Contao-Problem" aus.

Mal sehen, was die beiden Dateien so hergeben. :)

Hallo Planepix,

ich verwende bereits eine extern generierte htaccess.

Code:

---

AuthType Basic
AuthName "Geschuetzt"
AuthUserFile "mein/pfad/zur/datei"
require valid-user

---

Sehen Deine Einstellungen genauso aus?

Danke und Gruß
juju

Jupp, gleicher Aufbau.

... und hier noch einmal nachgeliefert er Inhalt der Passwort-Datei:

Code:

---

username:verschluesseltespasswort

---

Ich bekomme den Verzeichnisschutz per htaccess nach wie vor nicht ohne Probleme beim Contao Manager zum Laufen, obwohl ich alles so mache wie seit Jahren und eigentlich auch genau wie hier besprochen.

Contao Frontend und Backend lassen sich wie gesagt ohne Probleme damit schützen und nach einmaligem Login aufrufen, aber der Contao-Manager fragt die Zugangsdaten nach wie vor in einer Dauerschleife ab, obwohl die htaccess im web Ordner liegt wie bei Euch, bei denen es zu funktionieren scheint.

Bin ratlos...

Danke und Grüße
juju

Lass mich raten, username und passwort in der htacces sind nicht die selben wie für den Contao Manager?

Da der CM im web-Ordner gespeichert ist, greift für ihn natürlich auch der Verzeichnisschutz. Ich habe das gerade nochmal getestet in meiner Dev-Installation, wo der CM wunderbar funktioniert und es keine Endlosschleife gibt. Wenn der CM ständig seine Zugangsdaten abfragt, wird die Sitzung nach dem Login wohl immer wieder gleich beendet. Das hat nichts mit dem Verzeichnisschutz zu tun. Aber Du hast ja geschrieben, das der CM ohne Verzeichnisschutz funktioniert...
Also wo ist denn nun die Endlosschleife? Beim CM oder beim Verzeichnisschutz? Hast Du Cache und Cookies im Browser gelöscht? Wie sieht Dein Netzwerk dahinter aus? Wir hatten hier mal einen Fall, wo jemand ständig aus dem Contao-Backend flog, weil der Benutzer nicht wiedererkannt wurde (andere IP-Adresse etc.).

Benutze folgende Anweisungen in der .htaccess, um den Passwortschutz unter gewissen Bedingungen zu entfernen:

Code:

---

SetEnvIfNoCase Request_URI ^/app_dev.php($|/) allow_access
SetEnvIfNoCase Request_URI ^/contao-manager.phar.php($|/) allow_access
AuthUserFile /path/to/.htpasswd
AuthName "My Website"
AuthType Basic
Order Deny,Allow
Deny from all
Satisfy any
Require valid-user
Allow from env=allow_access

---

Danke für Eure Antworten!

@BugBuster: Nein, bei mir haben immer alle Zugänge unterschiedliche Zugangsdaten.

@Samson1964:

• Die Schleife ist beim Verzeichnisschutz, aber eben nur beim Aufruf des Contao Managers - beim Aufruf von Contao FE und BE keine Schleife beim Verzeichnisschutz!
• Cache und Cookies werden bei jedem Browserschließen automatisch gelöscht.
• Die IP-Adresse sollte immer die gleiche sein - zumindest für 24 Stunden von morgens um 2 Uhr an, da immer dann von einer FritzBox neu mit Provider verbunden wird.

@Spooky: Danke für den Code! Werde es asap versuchen und melde mich dann hier.

Danke und Grüße
juju

@Spooky:
Ich habe Dein Snippet nun testweise in die im web-Ordner liegende .htaccess eingefügt, ohne dass es irgendeinen Unterschied machen würde - leider. (ich habe natürlich den bisherigen code auskommentiert!)

Ich habe auch nochmal den Browser-Cache und die Cookies gelöscht.

Es bleibt dabei: Contao FE & BE unproblematisch / CM Verzeichnisschutz-Dialog in Enlosschleife :(

Danke und viele Grüße
juju

eventuell muss der code von Spooky noch an Apache 2.4 Syntax angepasst werden, jenachdem ob Apache 2.4 im Einsatz ist und der die 2.2 Syntax versteht oder nicht.

Ansonsten hast du ja geschrieben das du unterschiedliche Usernamen/Passwörter verwendest. Könntest du mal testen was passiert wenn die identisch sind?
Ich hatte so einen Fall bei htaccess + app_dev.php Zugriff, da mussten die gleich sein, weil der Browser nur einen von beiden übermittelt kann je Zugriff.

@BugBuster:
Wo/wie finde ich die Apache Version heraus?

Über phpinfo() oder den CM habe ich keine Infos dazu finden können.

Auf der cyon-Website habe ich nur folgendes gefunden:

Zitat:

---

Als Webserver setzen wir LiteSpeed ein. Dieser ist vollständig kompatibel zu Apache,[...]

---

Danke und Grüße
juju

Zitat:

---

Zitat von PaddySD

Ich fasse mal kurz zusammen:
Entweder .htaccess im web-Ordner oder den Wartungsmodus via Backend. Beides sollte gehen, ich persönlich mache das auch immer mit einer .htaccess. Was weiter oben erwähnt wurde, Du solltest/darfst keine .htaccess im root-Ordner haben (oberhalb web), das war mit vermeiden gemeint.

Warum Deine .htaccess nicht geht? Keine Ahnung aber poste sie doch mal.... Uuuuund, die .htpasswd wäre auch nicht schlecht... :D Beide bitte hier im Forum in [code]-Blöcke einschliessen und natürlich die entsprechenden Stellen unkenntlich machen.

Meine Idee wäre eine andere. Wenn ich Dich richtig verstehe, musst Du die Daten ja mehrfach eingeben, bis Du zum Login kommst. Das würde ich so übersetzen, dass Du offensichtlich je ausgelieferter Datei die Daten neu eingeben musst (jedes Icon, jede css usw.). Das wiederum liesse mich eher mal die Apache und php (php.ini(s)) config prüfen lassen. Das sieht mir eher nach einem "nicht-Contao-Problem" aus.

Mal sehen, was die beiden Dateien so hergeben. :)

---

Und wir raten weiter, da wir uns lieber auf Vermutungen verlassen, als uns mal den echten, wirklich verwendeten Code anzusehen... Na ja, ich bin die Woche nicht in Ratelaune und daher dann raus... :)

@PaddySD:
Was meinst Du damit? Ich war der Meinung, ich hätte alle Infos zusammen getragen, um die Du mich gebeten hattest, und hier gepostet. Was fehlt DIr?

Danke und Grüße
juju

Hier nochmal meine Posts:

• Infos zu System und Update
• Inhalt htaccess
• Inhalt Passwortdatei

Ist das nicht vollständig?

Danke und Grüße
juju

Zitat:

---

Zitat von juju

• Inhalt htaccess

---

Ist das alles aus deiner web/.htaccess? Da sollte ja noch viel mehr drin stehen.

Der Rest in der htaccess ist das, was die 4.4. mitbringt - unverändert. Ansonsten hätte ich das mit rein geschrieben, sorry.

Poste deine gesamte .htaccess mit den Änderungen aus https://community.contao.org/de/show...l=1#post497254

Code:

---

<IfModule mod_headers.c>
    # Allow access from all domains for webfonts (see contao/core-bundle#528)
    <FilesMatch "\.(ttf|ttc|otf|eot|woff2?|font\.css)$">
        Header set Access-Control-Allow-Origin "*"
    </FilesMatch>
</IfModule>

<IfModule mod_rewrite.c>
    RewriteEngine On

    # Determine the RewriteBase automatically and set it as environment variable.
    # If you are using Apache aliases to do mass virtual hosting or installed the
    # project in a subdirectory, the base path will be prepended to allow proper
    # resolution of the app.php file and to redirect to the correct URI. It will
    # work in environments without path prefix as well, providing a safe, one-size
    # fits all solution. But as you do not need it in this case, you can comment
    # the following 2 lines to eliminate the overhead.
    RewriteCond %{REQUEST_URI}::$1 ^(/.+)/(.*)::\2$
    RewriteRule ^(.*) - [E=BASE:%1]

    # Sets the HTTP_AUTHORIZATION header removed by Apache
    RewriteCond %{HTTP:Authorization} .
    RewriteRule ^ - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization}]

    # Redirect to URI without front controller to prevent duplicate content
    # (with and without `/app.php`). Only do this redirect on the initial
    # rewrite by Apache and not on subsequent cycles. Otherwise we would get an
    # endless redirect loop (request -> rewrite to front controller ->
    # redirect -> request -> ...).
    # So in case you get a "too many redirects" error or you always get redirected
    # to the start page because your Apache does not expose the REDIRECT_STATUS
    # environment variable, you have 2 choices:
    # - disable this feature by commenting the following 2 lines or
    # - use Apache >= 2.3.9 and replace all L flags by END flags and remove the
    #  following RewriteCond (best solution)
    RewriteCond %{ENV:REDIRECT_STATUS} ^$
    RewriteRule ^app\.php(?:/(.*)|$) %{ENV:BASE}/$1 [R=301,L]

    # If the requested filename exists, simply serve it.
    # We only want to let Apache serve files and not directories.
    RewriteCond %{REQUEST_FILENAME} -f
    RewriteRule ^ - [L]

    # Rewrite all other queries to the front controller.
    RewriteRule ^ %{ENV:BASE}/app.php [L]
</IfModule>

<IfModule !mod_rewrite.c>
    <IfModule mod_alias.c>
        # When mod_rewrite is not available, we instruct a temporary redirect of
        # the start page to the front controller explicitly so that the website
        # and the generated links can still be used.
        RedirectMatch 302 ^/$ /app.php/
        # RedirectTemp cannot be used instead
    </IfModule>
</IfModule>

SetEnvIfNoCase Request_URI ^/app_dev.php($|/) allow_access
SetEnvIfNoCase Request_URI ^/contao-manager.phar.php($|/) allow_access
AuthUserFile "/pfad/zu/meiner/passwortdatei"
AuthName "Geschuetzt"
AuthType Basic
Order Deny,Allow
Deny from all
Satisfy any
Require valid-user
Allow from env=allow_access

---

Sollte eigentlich funktionieren, auch in neueren Apache Versionen.