Composer und Phar Problem[gelößt]

[tschero]

Hi Leute,

meine erste Begegnung mit Composer ist heut Abend erst mal gründlich in die Hose gegangen .

Im Forum hab ich leider nichts zu meinem Problem gefunden und muss gestehen, dass die Posts teilweise, für mich als nicht Entwickler, ziemlich schräg waren und ich da nicht alles verstanden habe.

Folgende Fehlermeldung im Browser (FF 30):

Warning: putenv(): Safe Mode warning: Cannot set environment variable 'COMPOSER_HOME' - it's not in the allowed list in system/modules/!composer/ContaoCommunityAlliance/Contao/Composer/Runtime.php on line 138

#0 [internal function]: __error(2, 'putenv(): Safe ...', '/home/www/web30...', 138, Array)
#1 system/modules/!composer/ContaoCommunityAlliance/Contao/Composer/Runtime.php(138): putenv('COMPOSER_HOME=/...')
#2 system/modules/!composer/ContaoCommunityAlliance/Contao/Composer/ClientBackend.php(80): ContaoCommunityAlliance\Contao\Composer\Runtime::s etUp()
#3 system/modules/core/classes/Backend.php(272): ContaoCommunityAlliance\Contao\Composer\ClientBack end->generate()
#4 contao/main.php(142): Contao\Backend->getBackendModule('composer')
#5 contao/main.php(293): Main->run()
#6 {main}

Folgende Anzeige im Backend:

Suhosin ist aktiviert.
Suhosin verhindert den Einsatz von Phar, bitte deaktiviere Suhosin.

Muss das mein Hoster deaktivieren oder kann ich da selbst was machen?

Ziel war Composer und dann MetaModels via Composer zu installieren.

Contao V.: 3.2.12

Über nen Tipp würde ich mich freuen.

Viele Grüße
tschero

[MacKP]

Hallo tschero,
an sich stehts ja da.. Suhosin muss aus. Ob du das selber machen kannst oder ob das nur dein Hoster kann, wenn er das dann überhaupt will, wirst du nur bei deinem Hoster erfahren können.
Also kontaktier einfach den Support von dem und frag mal nach ;-)

Viele Grüße

[MacKP]

Kann das sein, das du auch noch den Safe Mode Hack da brauchst???
Dann kannst Composer eh vergessen. Von daher brauchst du dir dann keine Mühe mehr geben ;-)
Installier dir dann MM einfach von Hand.

Viele Grüße

[lucina]

Naja, der muss nicht unbedingt aus - es muss nur .phar auf die Whitelist. Bei manchen Hostern kann man das (selbst) einstellen. Bei manchen halt nicht ...


Sent from my iPad using Tapatalk

[tschero]

Hi Leute,

vielen Dank für die Antworten.
Mein Hoster meinte das ohne suhosin eine große Sicherheitslücke entsteht, er das aber durchaus für einzelne Domains abschalten kann wenn ich das möchte.

@MackP
SafeMode brauche ich dort nicht, läuft alles wunderbar.

@Lucina
Das mit der Whitelist werde ich Ihm vorschlagen, das sollte keine Probleme geben.
Dann ist es auch, denke ich, keine Sicherheitslücke mehr;oder?

Gruß und nochmals vielen Dank,

tschero

[lucina]

Aus meiner Sicht ist es die Frage, ob Suhosin ernsthaft zur Sicherheit beiträgt - einige Mechanismen finde ich sinnvoll andere nicht unbedingt, und über die Ausführung kann man sich dann auch noch streiten. Das ist letztlich eine Frage der persönlichen Sicherheitsphilosophie.

So beschränkt der Suhosin-Patch beispielsweise die Länge von Requests. Da kann man jetzt der Meinung sein, dass man damit die Übergabe von umfangreichen Scriptfragmenten an PHP verhindern kann und das das eine gute Idee ist. Allerdings kann ich ja auch in kleineren Codefragmenten meinen Schadcode unterbringen - und dann ist die Härtung durch Suhosin eben nur scheinbar, die eineN im Gefühl falscher Sicherheit wiegt.

Phar-Dateien sind im Grunde genommen gepackte Dateiarchive mit einigen netteren Features (unter anderem können die manipulationssicher signiert werden), und die sind auch für sich genommen weder gut noch böse. Ob ich nun eine Phar-Datei mit eingebundenem Schadcode oder 500 kleine fiese Dateien hochlade läuft ja letztlich aufs selbe hinaus. Verbiete ich jedoch Phar, dann verschenke ich die Möglichkeit der Signaturprüfung, mache mit Einzeldateien eine höhere Serverlast und verschenke einige andere Dinge mehr.

Das Problem bei Suhosin ist aus meiner Sicht, dass es bestimmte Annahmen macht, die aber nicht zutreffen müssen, und (was ich nicht schön finde) nicht transparent ist, d.H. mit dem Sicherheitsargument keine oder kaum Statusmeldungen zurückgibt. Das trifft beispielsweise die Größe des erlaubten PHP-Requests, da wird halt alles kommentarlos verworfen was zu groß ist. Das macht Freude bei der Fehlersuche ...

Worauf es ankommt ist letztlich, was ich damit mache, wem ich vertraue und wie ich mit meinem Wissen umgehe. Ich fahre auf einem meiner Server eine gemischte Policy, bei dem bestimmte Operationen von Suhosin geschützt sind, andere nicht. Man kann das ja einigermaßen einstellen - aber das eigene Nachdenken ist viel wichtiger.

Just my 2 Cents.

[tschero]

Hi Leute,

ich möchte mal hier wieder anknüpfen.

Folgende Fehlermeldung bekomme ich weiterhin beim installieren von Composer.

Warning: putenv(): Safe Mode warning: Cannot set environment variable 'COMPOSER_HOME' - it's not in the allowed list in system/modules/!composer/ContaoCommunityAlliance/Contao/Composer/Runtime.php on line 138

#0 [internal function]: __error(2, 'putenv(): Safe ...', '/home/www/web35...', 138, Array)
#1 system/modules/!composer/ContaoCommunityAlliance/Contao/Composer/Runtime.php(138): putenv('COMPOSER_HOME=/...')
#2 system/modules/!composer/ContaoCommunityAlliance/Contao/Composer/ClientBackend.php(80): ContaoCommunityAlliance\Contao\Composer\Runtime::setUp()
#3 system/modules/core/classes/Backend.php(272): ContaoCommunityAlliance\Contao\Composer\ClientBackend->generate()
#4 contao/main.php(142): Contao\Backend->getBackendModule('composer')
#5 contao/main.php(293): Main->run()
#6 {main}


Fatal error: Uncaught exception RuntimeException with message The HOME or COMPOSER_HOME environment variable must be set for composer to run correctly thrown in phar://composer/composer.phar/src/Composer/Factory.php on line 53

#0 phar://composer/composer.phar/src/Composer/Factory.php(90): Composer\Factory::getHomeDir()
#1 phar://composer/composer.phar/src/Composer/Factory.php(215): Composer\Factory::createConfig(Object(Composer\IO\BufferIO))
#2 system/modules/!composer/ContaoCommunityAlliance/Contao/Composer/Runtime.php(476): Composer\Factory->createComposer(Object(Composer\IO\BufferIO))
#3 system/modules/!composer/ContaoCommunityAlliance/Contao/Composer/ClientBackend.php(305): ContaoCommunityAlliance\Contao\Composer\Runtime::createComposer(Object(Composer\IO\BufferIO))
#4 system/modules/!composer/ContaoCommunityAlliance/Contao/Composer/ClientBackend.php(122): ContaoCommunityAlliance\Contao\Composer\ClientBackend->loadComposer()
#5 system/modules/core/classes/Backend.php(272): ContaoCommunityAlliance\Contao\Composer\ClientBackend->generate()
#6 contao/main.php(142): Contao\Backend->getBackendModule('composer')
#7 contao/main.php(293): Main->run()
#8 {main}

- Mein Hoster hat die Ausführung von *.phar Dateien erlaubt; stehe auf der Whitelist.
- Ich brauche keinen Safe Mode Hack. Habe auf dem gleichen Webspace mehrere Contao installationen problemlos zum Laufen gebracht
- Die Version mit der Fehlermeldung ist ein frische Contao Version 3.2.12

Über weitere Tipp´s würde ich mich freuen.

Viele Grüße
tschero

[tril]

- Ich brauche keinen Safe Mode Hack. Habe auf dem gleichen Webspace mehrere Contao installationen problemlos zum Laufen gebracht

Das Problem ist nicht der "Contao Safe Mode Hack", sondern der "PHP Safe Mode" der sich da quer stellt.

Warning: putenv(): Safe Mode warning: Cannot set environment variable 'COMPOSER_HOME' - it's not in the allowed list...

http://www.techdilate.com/php-putenv...-allowed-list/
Da können wir leider nichts machen, da muss sich auch dein Hoster drum kümmern.

[tschero]

Hi tril,

da werde ich ihn morgen mal drauf ansprechen.
Vielen dank für den Hinweis, das konnte ich aus der Fehlermeldung leider nicht rauslesen.

Gruß
tschero

[tschero]

Hi Leute,

es klappt immer noch nicht!

Dieses Bild trifft auch auf meinen Webspace zu:
php_info.gif

Nach Rücksprache mit meinem Hoster sagte dieser sinngemäß, dass dieser Wert nicht geändert wird, da sonst andere Kunden auf dem gleichen Server ihrer Installation überprüfen müssten und durch diesen Umstand die Umstellung leider nicht durchgeführt werden würde. Mit einem eigenen Server wäre dies durchaus machbar.

Wir haben dann versucht in der Datei

system/modules/!composer/ContaoCommunityAlliance/Contao/Composer/Runtime.php

die Zeile 138 anzupassen.

Vorher:

if (!getenv('COMPOSER_HOME')) {
			putenv('COMPOSER_HOME=' . COMPOSER_DIR_ABSOULTE);
		}

Nachher:

if (!getenv('COMPOSER_HOME')) {
			putenv('PHP_COMPOSER_HOME=' . COMPOSER_DIR_ABSOULTE);
		}

- dann das Installtool aufgerufen; alles in Ordnung
- dann Anmeldung im Backend; auch alles in Ordnung
- dann Klick auf Paketverwaltung und folgende Fehlermeldung:

Fatal error: Uncaught exception RuntimeException with message The HOME or COMPOSER_HOME environment variable must be set for composer to run correctly thrown in phar://composer/composer.phar/src/Composer/Factory.php on line 53

#0 phar://composer/composer.phar/src/Composer/Factory.php(90): Composer\Factory::getHomeDir()
#1 phar://composer/composer.phar/src/Composer/Factory.php(215): Composer\Factory::createConfig(Object(Composer\IO\BufferIO))
#2 system/modules/!composer/ContaoCommunityAlliance/Contao/Composer/Runtime.php(476): Composer\Factory->createComposer(Object(Composer\IO\BufferIO))
#3 system/modules/!composer/ContaoCommunityAlliance/Contao/Composer/ClientBackend.php(305): ContaoCommunityAlliance\Contao\Composer\Runtime::createComposer(Object(Composer\IO\BufferIO))
#4 system/modules/!composer/ContaoCommunityAlliance/Contao/Composer/ClientBackend.php(122): ContaoCommunityAlliance\Contao\Composer\ClientBackend->loadComposer()
#5 system/modules/core/classes/Backend.php(410): ContaoCommunityAlliance\Contao\Composer\ClientBackend->generate()
#6 contao/main.php(142): Contao\Backend->getBackendModule('composer')
#7 contao/main.php(293): Main->run()
#8 {main}

Um es abzukürzen;

ist es zwingend nortwendig, dass mein Hoster bei derVariable

save_mode_allowed_env_vars

das "PHP_" wegnimmt oder gibt es noch eine andere Lösung?

Gruß und vielen Dank für Eure Geduld,

tschero

[tschero]

Hi Leute,

hat evtl. noch jemand ´nen Tipp für mich?

Würde mich riesig freuen.

Gruß
tschero

[webstar]

Alternative 1 wäre ein update auf PHP 5.4 - da entfällt diese Beschränkung ohnehin.

Plan B wäre die von Composer benötigten Umgebungsvariablen mit in die Liste aufzunehmen:

http://php.net/manual/de/ini.sect.sa...lowed-env-vars

[tschero]

Hi webstar,

da werde ich mal mit meinem Hoster sprechen.

Vielen Dank für den Tipp.
Ich melde mich hier wieder wenn ein Ergebnis da ist.

Gruß
tschero

[KlausGrenoble]

Hi Leute, hat evtl. noch jemand ´nen Tipp für mich?

Ich hab' zufällig gesehen, dass der für Version 4 vorgesehene Check hilfreiche Aussagen über eine eventuelle Composer-Installation macht.
Das kann sicherlich weiterhelfen.

[tschero]

Hallo Klaus,

ja da gibt's einige gute Informationen --> siehe hier.

Etwas weiter oben wird ja beschrieben, dass mit PHP 5.4 einige Problemchen beseitigt sein sollten.

Ich hab meinem Hoster auch mal einen Link zum Contao Check und zu diesem Thread hier gesendet. Mal sehen was dabei herauskommt.

Vielen Dank für den Tipp mit dem Conato Check; den hatte ich irgendwie nicht mehr auf dem Schirm.

Gruß
tschero

[tschero]

Hi Leute,

mit PHP 5.4 läuft jetzt alles ohne Probleme und auch der Check zeigt keine Fehler mehr.
Schein also tatsächlich erst mal nur an der PHP Version gelegen zu haben.

virtueller Strato Server
PHP 5.4
Contao 3.2.12
Composer über das Extension Rep. installiert
MetaModels über Composer installiert.

Über die Hilfe von allen beteiligten bedanke ich mich an dieser Stelle noch mal ganz herzlich.

Gruß
tschero

[dragon]

Hallo,

teste auch gerade und hatte die gleichen Fehlermeldungen.

Nach Umstellung auf PHP-Version 5.5.14 läufts vorerst alles prima.