Autobackup per Cronjob - wie Missbrauch verhindern?

Hi,

ich hab die aktuelle contao-BackupDB (1.1.0) unter Contao 4.4.4 laufen und wollte, dass ein mal täglich ein Backup erstellt wird. Tolle Erweiterung übrigens - Danke dafür.

Soweit erst mal kein Problem - also wie in der Doku beschrieben einen Cronjob erstellt, der http://www.meineDomain.tld/BackupDB/autobackup aufruft.

Dieser Aufruf funktioniert allerdings von überall. D.h. wenn ich ahne, dass die BackupDB-Erweiterung irgendwo installiert ist, dann kann ich den Website-Betreiber mit Backups fluten.

Gibt es hier schon einen Lösungsansatz, der dass verhindert? Eine Idee wäre, den Aufruf über die URL in der Erweiterung zu unterbinden und statt dessen einen Symfony-Consolen-Aufruf zu implementieren.

Gruß
Franky

Ein fremder Aufruf wäre zwar ärgerlich, der "Angreifer" gelangt aber nicht an die gesicherten Daten.
Das war in BackupDB für Contao 3 auch so, hat also nichts mit Symfony oder Contao 4 zu tun.

Zu Deinem Vorschlag:
Ich kenne Symfony noch nicht besonders gut, aber ein Symfony-Consolen-Aufruf scheint mir (vom Namen her) nicht geeignet für ein automatisches Backup.


Edit:
Ich habe mir mal dazu ein Ticket erstellt: https://github.com/do-while/contao-BackupDB/issues/9

Spontan fällt mir ein, dem Aufruf einen 'Passwort'-Parameter mit zu geben, ohne den nichts passiert. Im Cronjob könnte man den Parameter ja fest eintragen. Ist aber dann für Fremde nicht leicht zu erraten.

Man könnte auch prüfen ob die aufgerufene IP dieselbe ist wie die des Servers (bei internem Cron).
Oder ein Sicherheits Token was mit geschickt werden muss per GET , das per Konfig frei definierbar ist.

Zitat:

---

Zitat von do_while

Zu Deinem Vorschlag:
Ich kenne Symfony noch nicht besonders gut, aber ein Symfony-Consolen-Aufruf scheint mir (vom Namen her) nicht geeignet für ein automatisches Backup.
Edit:
Ich habe mir mal dazu ein Ticket erstellt: https://github.com/do-while/contao-BackupDB/issues/9

---

Wenn man Zugriff auf echte Cronjobs hat, dann wäre ein Consolen-Anruf evtl. besser als der Umweg über den URL-Aufruf. Die Console ist ja auf jeden Fall schon vorhanden "php vendor/bin/contao-console" - da könnte man sich mit drauf hängen. Wenn man allerdings ein Webpaket ohne echte Cronjobs hat - dann bleibt nur die URL-Variante.

Also ein URL-Zugriff mit Token wäre auch ok.

Hallo Franky,

die Aufruf-Kennung ist in Version 1.2.0 eingebaut.
Doku dazu unter https://github.com/do-while/contao-B...tisches-backup

Zitat:

---

Zitat von do_while

Hallo Franky,

die Aufruf-Kennung ist in Version 1.2.0 eingebaut.
Doku dazu unter https://github.com/do-while/contao-B...tisches-backup

---

Danke für die schnelle Reaktion!! Perfekt!!