Eine Frage der Sicherheit

[uliverse]

Hi,
ich entwickle eine neue Seite für eine Non-Profit-Organisation, die Zweige und Teams in über 30 Ländern hat. Jeder Zweig soll in einem Profil dargestellt werden und die jeweilige Kontaktperson per E-Mail-Formular angeschrieben werden können.
Mit Calalog habe ich das Grundgerüst bereits gebaut, aber für die Kontaktdaten fehlt mir noch eine gute Lösung. Ich könnte natürlich die E-Mail-Adresse in Klartext reinschreiben, das will ich aber wegen SPAMbots vermeiden.
Nun habe ich folgendes vor: die Verwaltung der Kontaktpersonen soll über das TL-Modul Mitglieder geschehen. Dann kann ich im entsprechenden Katalog die gebrauchten Felder aus tl_mitglieder einbinden.
In der Theorie klappt das, wenn ich mit

<?php print_r($this->entries); ?>

mir die Arrays anzeigen lasse, sehe ich, dass in der Tat die ganze Tabelle tl_mitglieder vorhanden ist. Das ist erfreulich, denn so kann ich ja die Felder auslesen, die ich brauche.
ABER da stellt sich mir die Frage, ob durch meine Konstruktion durch einen PHP-Befehl auch Unbefugte an Mitgliederdaten kommen können, die ich gar nicht bereitstellen will (Passwort, Login-Name etc.), wenn die ja alle in einen Array gelegt werden. Ich habe leider gar keine Ahnung von PHP und von Sicherheitslücken schon gar nicht...
Kann das jemand beantworten?
Vielleicht hat jemand eine bessere Idee, wie ich das mit dem Kontakt-Formular lösen könnte, ohne 30+ Formulare erstellen zu müssen...

Vielen Dank schon mal, wenn sich jemand die Mühe macht, mein Anliegen zu verstehen...

[xchs]

Hallo uliverse,

Vielleicht hat jemand eine bessere Idee, wie ich das mit dem Kontakt-Formular lösen könnte, ohne 30+ Formulare erstellen zu müssen...

Du könntest Dir die beiden folgenden Erweiterungen anschauen:

http://www.contao.org/erweiterungsliste/view/protectedselect.de.html

http://www.contao.org/erweiterungsliste/view/formrecipient.de.html

Möglicherweise kannst Du damit ein Formular mit entsprechendem Empfänger-Auswahlfeld implementieren...

[uliverse]

Aha, das sieht schon sehr gut aus als Alternative. Damit könnte ich es hinkriegen.
Mein erster Einfall gefällt mir allerdings prinzipiell auch noch, weil ich damit mehrere Fliegen mit einer Klappe schlage: die Verwaltung von Kontaktpersonen, die dann auch über Frontend-Editing ihr Profil ändern könnten und die über Newsletter angeschrieben werden können. Und es gibt ein Modul, das Mitglieder auf einer Google Map darstellen kann (noch nicht probiert).

[uliverse]

Eine Entdeckung...

formrecipient habe ich angesehen, aber nicht ganz verstanden, wie ich damit dynamisch und automatisch die richtige E-Mail-Adresse als Empfänger bekommen kann. Soweit ich verstehe, muss das Feld, das ich in dem Insert Tag angebe, ein Feld aus dem Formular sein, und wie bekomme ich dort die E-Mailadresse aus dem Kontext rein? Das scheint nur mit manueller Eingabe zu gehen.

Dafür habe ich eben entdeckt, dass E-Mail-Adressen verschlüsselt werden, wenn man sie mit dem entsprechenden Insert Tag im Catalog-Template einbaut! Das ist super einfach und funktioniert.
Man sieht den Effekt nicht, wenn man sich den Source Code in Firbug o.ä. ansieht, aber im Quellcode schon.
Hier der Thread dazu: http://www.contao.org/forum/topic/123.html
Damit habe ich zwar kein Formular, aber das ist die zweitbeste Lösung.

[uliverse]

Doch noch mal zur ursprünglichen Frage

Ich wollte aber doch noch mal fragen, ob grundsätzlich eine Sicherheitslücke entsteht, wenn ich die Tabelle tl_members über Tags in einen Catalog einbaue. Passwörter stehen zwar verschlüsselt im Array aber schon die Username sollten nicht unbedingt lesbar sein. Könnte ein böser Mensch mittels PHP-Anweisungen den ganzen Array auslesen, auch wenn ich ihn nicht im Frontend ausgebe?
Weiß das jemand?

[xtra]

Wenn ein "boeser Mensch" auf deiner Seite so einfach PHP Code einpflanzen kann, dann hast du ein viel grundlegenderes Problem als dass er die Memberdaten ausgeben kann, dann kann er naemlich alles lesen was er will.

Von daher, solange du deine Templates und Installation "sauber, aktuell und bestmoeglich abgesichert" haelst bist du fein raus.

Gruss
Chris

[uliverse]

Na, wenn ein Profi das sagt...
Danke!

LG
Uli