CMS / CRM entwickelt

[bncms]

Hallo zusammen

Eure Meinungen? Danke!

https://hu.de1.biz/
bncms ist ein neuartiges Inhaltsverwaltungssystem (CMS) für MySQL Datenbanken. Es ist ein Allround-Backend, ein Administrationsbereich, der sich auf jede Datenbank anwenden lässt. Entwickelt von Damian Hunziker.


https://hu.de1.biz/bncms/admin DEMO (Admin-Login: admin/admin, Redakteur-Login: redakteur/test)

Anleitung

Herunterladen Version 0.4



Was ist bncms?


Mit bncms kann jede Datenbank schnell in benutzerfreundlicher Form dargestellt werden. Die Datenbankrelationen werden visualisiert und den Datenbank-Feldern können CMS Typen zugewiesen werden wie HTML-Editor, Datum, Bildupload, Textarea, Passwort usw. Den Benutzern können Bereiche zugewiesen werden. Es vereinheitlicht und vereinfacht den Entwicklungsprozess und erlaubt es günstiger und schneller zu produzieren. Die Backendprogrammierung fällt bei Spezialprogrammierungen nahezu weg und man kann sich auf das Frontend konzentrieren. Geeignet für CRM, CMS, DBMS, Spezialprogrammierungen, überall wo rasch einige MySQL-Tabellen bearbeitbar gemacht werden müssen.



Vorteile


- Formulargenerierung, - validierung, -speicherung und -sicherheit sind zentralisiert. Codeänderungen betreffen automatisch alle Formulare. Dasselbe ist mit den CRUD Abläufen von Tabellen möglich. Konfiguriert wird die Darstellung der Felder durch die Feldtypen, die den Tabellen bei der Erstellung im Administrationsbereich mitgegeben werden.


- Relationierte Daten können in die Formulare und Tabellen miteingefügt werden und können auch gleich bearbeitet werden. Dies ermöglicht es theoretisch jede Datenstruktur bearbeiten und visualisieren zu können. Bloss durch Konfiguration und Funktionsaufrufe.


- Der Code ist sehr simpel, leichtgewichtig und schnell (ca. 100 kB pro Seitenaufruf). Die Programmierung ist minimalistisch und pragmatisch. Die Einfachheit des Codes ist ein weiterer Pluspunkt der schnelle und kostengünstige Entwicklung ermöglicht.



Wieso bncms?


Die Programmierprozesse und Anforderungen sind im Webbereich im Grunde technisch gesehen immer die selben. Inhalte aus Tabellen müssen dargestellt werden und müssen auch in einem Administrationsbereich zugänglich gemacht werden (CRUD, Create Read Update Delete). Diese Daten sind in der Datenbank mit Relationen verbunden. bncms stellt einfach die Relationen (n zu 1 und n zu m Relationen) dar und bietet dann die CMS Funktionen für die Felder. Somit kann man jede Datenbank rasch und übersichtlich anzeigen und in bearbeitbarer Form bereitstellen, unabhängig von Datenbankstruktur und involvierten Skripts. Es kann bestimmt werden wieviel Benutzer sehen und so können zugeschnittene Mini-Backends in hoher und einheitlicher Qualität bereitgestellt werden, für jede erdenkliche Konstellation von Feldern und Tabellen.

[daniel5959]

Hallo,

ich lade doch keine ZIP von einem unbekannten Anbieter (Name muss ja nicht stimmen) über eine Subdomain von de1.biz, siehe

Diese Domain und ihre Subdomains sind Bestandteil eines Subdomaindienst für Kunden der domainfactory GmbH. Für die unter den Subdomains hinterlegten Inhalte sind ausschließlich die jeweiligen Kunden verantwortlich. ...

Das CMS wurde am 27.08.2015, also vor über 1,5 Jahren, im Forum von webmasterpro.de vorgestellt, ohne dass eine Antwort kam.

Und es wurde am 10.10.2016 von einem "Thorsten..." im homepage-forum.de vorgestellt, dazu der Senior Moderator:

Deine unbelehrbare Unkenntnis ist wirklich bemerkenswert...

daniel5959

[bncms]

Der hat doch nur an irgendwelchen Details rumgenörgelt. Ich versuche ja nur das Konzept zu erklären ich erhebe ja nicht den Anspruch, dass die Software "fertig" oder komplett wäre.

Also mit den Funtionen von bncms kann eben z.B. jetzt dies hier machen mit egal welcher Tabelle die in der Datenbank existiert.

Code: Alles auswählen

displayTable("Tabellenname","nameDerPrimärenId");

Und es zeigt die Tabelle mit Paging, Suchfilter als readonly an.

Code: Alles auswählen

displayRow("id","nameDerPrimärenId","Tabellenname");

Und es zeigt das Formular zur Eingabe eines Eintrags in die Tabelle an.

Damit kann man das CRUD innerhalb von 2 Sekunden erledigen. Man kann dann mit der Grundkonfigruation (Adminbereich Weboberfläche) oder dem Manuelle-Feldeigenschaften-Array dutzende zusätzliche Dinge konfigurieren wie die Tabellen, Felder und Relationen dargestellt werden. Damit kann man innert kürzester Zeit Dinge machen im CRM Bereich für die man mit herkömmlichen PHP Frameworks Wochen braucht mit hochspezialisiertem Personal und am Ende wird es weniger sicher sein als wenn alles mit der Standartisierung der Formulare in bncms durchgeführt wird. Wenn die Logik beachtet wird bei der Anwendungsentwicklung wage ich einmal zu sagen kann man so 100% sichere Webanwendungen erstellen. Und der Code ist extrem simpel.

Zudem können eben die Administratoren die Anwendungen grösstenteils selbst über die Benutzeroberfläche konfigurieren und brauchen abgesehn von der Frontend Erstellung gar keine Programmierer und auch nicht mal ftp. Also Tabellen hinzufügen, Felder konfigureren, Relationen usw.

So kann man für jede Software und Datenbank mit einigen Klicks einen Adminbereich erstellen.

[bncms]

Man muss es sich doch von der praktischen Seite ansehen: Wenn man zB ein Jobportal Skript erstellen will. In das Skript sind vielleicht mit Meilensteinen, Rückmeldungen, Chat, und all den Prozessen 15-20 Formulare involviert. Zusätzlich vielleicht noch 10 Auflistungen Transaktionen usw. Jetzt wenn man das mit herkömmlichen PHP-Frameworks erstellen will, jedes Formular mit eigenem Template, Adminbereich wo alles noch einmal abgebildet werden muss. Kostet das minderstens 5000-10000 Euro, diverse Programmierer involviert, zusätzlich wird Security Testing aller Formulare notwendig. Und es braucht hochspezialisiertes Personal um es auch zu betreuen und upzudaten. Mit dem bncms kann man das alles mit einigen Funktionsaufrufen erledigen. Das kann eine einzelne Person dann ohne grösseres Budjet realisieren. Ich habe das eben gemacht hier https://jobbrett.net/?rc=dcf8f583

Die Programmierung des Backends / Adminbereics fällt mit bncms beinahe weg, weil es ja im Adminbereich die konfigurierten Tabellen gerade darstellt. Wenn alle Tabellen richtig konfiguriert sind kann man so normalerweise den Grossteil der Backendapplikationen abdecken. Den Rest muss man halt kurz Hardcoden und es gibt Spezialfunktionen und Benutzerfunktionen.

[nerd]

Jetzt wenn man das mit herkömmlichen PHP-Frameworks erstellen will, jedes Formular mit eigenem Template kostet das minderstens 5000-10000 Euro, diverse Programmierer involviert, zusätzlich wird Security Testing aller Formulare notwendig.

Oehm, nein.

Man schreibt mehrere verschiedene filterqueries (z.b. "liste alle jobs in #ort# auf", "liste alle jobs mit #jobtitle# in #ort# auf", "gib job mit ID #X# zurueck" usw.) und uebergibt diese recordsets dann an das entsprechende template, wo sie dann je nach template entweder als liste, als einzelnes jobangebot mit allen feldern und kontaktform usw. als detailseite angezeigt werden.
Sobald du alle filterqueries und alle templates beisammen hast, kannst diese beliebig kombinieren und musst nichts mehr neu schreiben.

Dann schreibst du auf deiner seite:

- SQL Injection. Zeichen in Benutzerdaten, die SQL Anfragen manipulieren können müssen mit Slashes escaped werden. Geschieht meist durch den Befehl mysql_real_escape_string.

Sorry, das ist einfach nur falsch. mysql_real_escape_string schuetzt *NICHT* vor sql injections:
https://stackoverflow.com/questions/574 ... ape-string

Was du brauchst sind prepared statements. Egal was der user eingibt, die eingaben werden dabei alle als parameter an die abfrage uebergeben, und nicht interpretiert und ausgefuehrt!

Dann ist das design auf deinen seiten auch ziehmlich micky-maus. <center> tags sind schon seit netscape-zeiten veraltet, bei dir ist alles ein <p> selbst wenn es eine liste oder definition liste sein muss, inline-styles ueberall im quellcode als waere es amateur-stunde. Die ganzen elemente absichtlich mit css-rotate schief zu haengen sieht auch alles andere als professionell aus...

[bncms]

Schief...

Ach weisst du ich mache schon so lange rechtwinklige geradlinige Webseiten, dass es mir schlicht langweilig wurde. https://www.jobbrett.net Dies ist die einzige Webseite im Internet wo daher alles rund, schief und zentriert ist. Das ist nur innovativ, starr du noch 20 Jahre Quadrate an, dann weisst du was ich meine.

Ja, ich habe das gerade gelesen wegen Injection und Prepared Statements und ich muss das unbedingt machen... Ist besser Danke.

Aber eben wenn man es mit mysql_real_escape_string macht ist es auch total sicher. Es ist bloss, dass die Leute es vergessen zu verwenden...

so dass das Ergebnis ohne Probleme in mysql_query() verwendet werden kann

Maskiert spezielle Zeichen im unescaped_string unter Berücksichtigung des aktuellen Zeichensatzes der Verbindung, so dass das Ergebnis ohne Probleme in mysql_query() verwendet werden kann. Wenn Sie Binärdaten einfügen wollen, müssen Sie die Funktion auf jeden Fall verwenden.

mysql_real_escape_string() ruft die Funktion mysql_real_escape_string der MySQL-Bibliothek auf, die folgende Zeichen mit einem Backslash ('\') versieht: \x00, \n, \r, \, ', " und \x1a.

Die Funktion muss immer (mit wenigen Ausnahmen) verwendet werden, um Daten abzusichern, bevor sie per Query an MySQL übermittelt werden.

Ausserdem das ist verantwortung der Herausgeber von mysql/php, dass dieser Befehl sauber läuft und nicht die des Programmierers. Steht auch so in dem Link den du gesendet hast.

If you Use Modern Versions of MySQL (late 5.1, all 5.5, 5.6, etc) AND mysql_set_charset() / $mysqli->set_charset() / PDO's DSN charset parameter (in PHP &#8805; 5.3.6)

OR

Don't use a vulnerable character set for connection encoding (you only use utf8 / latin1 / ascii / etc)

You're 100% safe.

Otherwise, you're vulnerable even though you're using mysql_real_escape_string()...

Wegen der Templates: Mir ist das klar aber ich hatte schlichtweg nicht die Zeit dazu. Aber wenn du willst können wir zusammensitzen und es integrieren oder du kannst mir deine Vorschläge schicken usw. Eventuell wäre Smarty ganz interessant.

[Maturn]

Nicht böse sein aber man merkt das ein Techniker niemals auch ein Designer ist. Das ganze kommt mir vor wie aus der Frontpage Zeit.

Und in Zeiten von Frameworks wie Laravel und dem Composer ist es Blödsinn so etwas noch selbst zu bauen. Es gibt fertige Sachen für alles was du dir vorstellen kannst.
Die Idee das man etwas besser oder schneller baut als es tausend andere können ist reichlich vermessen


Es gibt nur noch einen einzigen Grund sowas zu machen und das wäre wenn man die Grundsätzliche n Sachen mal lernen will.

[bncms]

Es ist immer am besten wenn man mit seinem eigenen Code arbeiten kann.

Es geht bei bncms darum ein Set von Standartfunktionen zu bieten für die wichtigsten Aufgabenstellungen bei der Darstellung von Datenbanken, CRUD Datatables. Eigentlich gehts um CRM und es geht im Kern darum die Relationen darzustellen genauso wie die Formulare und Tabellen in der Darstellung soweit aufzuwerten, dass sie vom Personal verstanden werden. Also die Suche in den Tabellen muss benutzerfreundlich sein nicht wie in einer phpMyAdmin Tabelle und die Felder in den Formularen müssen umgewandelt werden in die richtigen Inputs / Selects wie Passwort, Bild upload, Kalender usw. Wenn das damit kombiniert wird, dass die Relationen dargestellt werden kann man CRMs extrem schnell und unkomliziert erstellen und erweitern. Der Code ist auch sehr einfach und es sind bloss Funktionen.

Die Verwendung dieser Funktionen für CRUD ist äusserst simpel und es gibt im Grunde keine Lernkurve. Wer PHP/MySQL kann kann sofort damit arbeiten.

Ausserdem kann man den Adminbereich über eine Benutzeroberfläche konfigurieren wie und welche Tabellen darstellt werden sollen usw.

Ich habe einen total anderen Ansatz als Laravel usw.

[bncms]

Ja ich weiss das Design ist einfach genial.

Feldtypen:
Die momentan verfügbaren Feldtypen sind:
- textfield
- textarea
- tinymce
- dropdown
- file
- image
- number
- password
- checkbox
- date
- price
- nto1
- url
- ip

Demonstriert werden diese hier: https://hu.de1.biz/index.php#beispielcms



Zur Sicherheit:

Sicherheit


Auf dem momentanen Stand des Skripts besteht die Sicherheit aus 4 Säulen. Diese decken die 4 Punkte ab, die relevant sind für die Anwendungsentwicklung von Webprojekten. Alle anderen sicherheitstechnischen Anforderungen betreffen nicht die Anwendungsentwicklung sondern sind systembedingt / anwenderbedingt und betreffen also die Computersysteme und die Anwender (zb Pishing, SSL, Sicherheit der Computer, die Adminzugrif haben usw). Es gibt noch einige andere Dinge die Sicherheitslücken öffnen können, diese kommen aber nur zur Geltung wenn sie explizit geöffnet werden durch falsche Handhabung / falsche Codierung wie beispielsweise über Get-Parameter Dateinamen weitergeben, die dann ausgeführt werden. Diese Dinge müssen selbstverständlich trotzdem noch beachtet werden.



Die 4 für die Anwendungsentwicklung relevanten Punkte sind:

- Cross Site Scripting (CSS). Benutzerdaten müssen von Tags gesäubert werden, geschieht meist durch den Befehl striptags.

- SQL Injection. Zeichen in Benutzerdaten, die SQL Anfragen manipulieren können müssen mit Slashes escaped werden. Geschieht meist durch den Befehl mysql_real_escape_string.

- Cross Site Request Forgery (CSRF). Dass eingeloggten Benutzern keine Anfragen untergeschoben werden können, welche sensible Aktionen auf der Webseite ausführen, wie zB Löschungen, Geld senden usw. Beispielsweise wäre dies der Fall, wenn ein Angreifer einem in der Anwendung eingeloggten Benutzer einen Link per Email zuschickt welcher mit Get-Parametern eine Aktion in der Anwendung durchführt wie zb index.php?userid=123&deleteprofile=1. Wenn alle anderen sicherheitsrelevanten Punkte abgedeckt sind, also vorallem die Logik, wäre es ohne CSRF-Absicherung für den Angreifer trotzdem möglich auf der Seite sensible Aktionen durchzuführen. Er schickt dem Opfer den Link per Email und wenn es darauf klickt würde die Seite im Browser geöffnet und da es eingeloggt ist würde die Aktion ausgeführt in dem Fall das Profil gelöscht. Es ist daher notwendig, dass alle sensiblen Aktionen dagegen abgesichert werden. Es geschieht dadurch, dass die Anfragen mit Tokens versehen werden und, dass sie über Post ablaufen. Das Token würde bei der Generierung des Links auf der Webseite generiert und da der Angreifer den Link selbst generiert kennt er die Tokens nicht. Zudem sollten diese Aktionen mit einer Benutzerbestätigung versehen werden, wie "Wollen Sie ihr Profil wirklich löschen?" Dies verunmöglicht CSRF effektiv. Dieser Punkt ist am aufwändigsten zu intergrieren und wird bei den meisten Anwendungen vernachlässigt.

- Die Logik, dass Benutzer nicht durch Manipulation von Get/Post-Parametern auf Daten zugreifen können für die sie keine Berechtigung besitzen. Das bedeutet, dass bevor sensible Aktionen durchgeführt werden gegengecheckt werden muss ob die betreffenden Daten dem Benutzer gehören, der auf sie zugreifen will.



Formulare, die mit bncms generiert werden, sind standartmässig gegen die ersten 3. Punkte abgesichtert. Die Logik muss aber bei der Entwicklung von Frontend-Bereichen trotzdem immer beachtet werden. Beispielsweise darf es den Benutzer nicht möglich sein durch Manipulation von Parametern Daten anderer Benutzer anzusehen oder ändern. Es benötigt aber zusätzlich eigentlich kein weiteres Eingreifen, es sei denn, dass die Anwendung wirklich hohen sicherheitstechnischen Anforderungen gerecht werden muss. Allerdings ist dann aller relevante Code vereinheitlicht, einfach und an einer Stelle zentriert zu finden und es wird die Absicherung stark vereinfachen.

Praktisch unhackbare Webanwendung
Wenn das beachtet wird, wenn alle Formulare mit bncms generiert werden und die Logik überall beachtet wird wird es einen sehr hohen Grad an Websicherheit erreichen und das alles lässt sich einfach und schnell konfigurieren und einrichten. Vieles kann man über eine Webbenutzeroberfläche erledigen (Adminbereich > Konfiguration). Im Grunde kann man so Anwendungen erstellen die praktisch unmöglich zu hacken sind (was die Anwendung betrifft und Verwantwortung der Webproduzenten. Pishing usw betrifft den Anwender und dagegen kann man eine Webanwendung generell nicht absichern, da alle relevanten Dinge des Angriffs ausserhalb der Anwendung ablaufen). Wenn ein Angreifer es nicht schafft ein Formular zu hacken wird er kein anderes hacken können, weil alle gleich sind. Es ist ja immer der selbe Code und der ist stark optimiert.



Get-Links gegen CSRF absichern

Oft sind Anwendungen so aufgebaut, dass Links verwendet werden, die sensible Aktionen ausführen aber aus Get-Parametern bestehen. Zum Beispiel der genannte Link index.php?userid=123&deleteprofile=1. Wenn es viele solche Links in einer Anwendung gibt wird es richtig aufwändig diese alle in Post Formulare umzuwandeln. bncms bietet dazu ein Konzept von Get-Tokens um gegen CSRF abzusichern. Die Tokens werden den Get-Links durch die Funktion h() mitgegeben (Beispiel href='".h("?userid=1&deleteprofile=1").'" und der PHP Code der die Aktion durchführt wird mit checkGetToken() validiert. Die Tokens laufen ab und werden bei jedem Seitenaufruf neu generiert. Dies bietet hohen Schutz gegen CSRF, besser ist es allerdings mit POST-Formularen und Benutzerbestätigung, dies ist weil es theoretisch möglich ist Tokens per Javascript abzugreifen (Voraussetzung gleichzeitige CSS-Sicherheitslücke). Man könnte aber alle derartigen Get-Aktionen kurzerhand standartmässig mit einer Benutzerbestätigung versehen und es würde so sehr effektiv gegen CSRF absichern. Dies ist momentan nicht integriert aber es wäre in kurzer Zeit umzusetzen durch Änderung der checkGetToken() Funktion.

https://hu.de1.biz/index.php#sicherheit

bncms wurde von Damian L. Hunziker (17.11.1981, First Good Company Damian Hunziker IK, Latvia) entwickelt und ist als quellcodeoffen veröffentlicht.

Download: https://hu.de1.biz/index.php#start

[e-fee]

Ich kenne nur Michelle Hunziker.

Und die Herren Dunning und Kruger.

[arnego2]

Wie dem auch sei. Mir ist absolut unverständlich warum alle CMS Entwickler denken sie müssten jeden Befähigen vernünftige Webseiten zu "bauen"

Allein das

Wenn alle Tabellen richtig konfiguriert sind...

lässt auf enorme Probleme schließen wenn die Allgemeinheit auf das System losgelassen wird.

Was passiert denn wenn die Tabellen nicht richtig konfiguriert sind?

[bncms]

Wenn es nicht richtig konfiguriert ist wird es nicht richtig funktionieren.

[e-fee]

Ich glaub, ich bleib einfach bei Drupal ... und meiner Liebe zu CCK (mittlerweile Field) und Views!

Was mir dieses System jetzt mehr und in einfacherer Form bieten soll, verstehe ich bis jetzt noch nicht.

[bncms]

Du hast denn ein lustiger Name! Ja es ist eigentlich kein CMS sondern ein Framework für CRM. Das ist die Kernkompetenz. Es ist aber auch ein Allround-Adminbereich und eine Art dbms. Man könnte es beispielsweise verwenden um die Datenbank von Drupal anzuzeigen und die Darstellung soweit aufzuwerten, dass man die Daten benutzerfreundlich bearbeiten kann (im phpMyAdmn direkt könnte man zB nur schwer Bilder updaten / hochladen usw). Dies durch die Darstellung der Verbindungen in der Datenbank und die Umwandlung der Felder in die entsprechenden HTML Felder (inputs / selects usw). Ausserdem könnte man alle nicht benötigten Felder in den Tabellen ausblenden und würde so einen sehr gut aussehenden und benutzerfreundlichen Adminbereich erhalten.

[nerd]

Man könnte es beispielsweise verwenden um die Datenbank von Drupal anzuzeigen und die Darstellung soweit aufzuwerten, dass man die Daten benutzerfreundlich bearbeiten kann (im phpMyAdmn direkt könnte man zB nur schwer Bilder updaten / hochladen usw).

MODEDIT

Im ernst, dein html code ist zum gruseln (tables sind KEINE layout-hilfen!), deine farbwahl wurde wohl per wuerfel entschieden, UI ist unter aller sau (keine labels, kein hinweis aufrequired fields, keine hilfstexte zu passwort anforderungen, animationen unnoetig und zu langsam) oberflaeche nicht UTF-8 und hat probleme mit umlauten usw. usf.
Ich glaube nicht, dass der PHP code dahinter irgendwie besser ist...