Serendipity Forums

In einem WP Blog habe ich folgende Funktion entdeckt und finde sie recht praktisch. Wenn man einen Kommentar schreibt und anklickt, dass man weiter benachrichtig werden möchte bekommt man bei einem weiteren Kommentar eine Mail. Soweit so S9y konform Bei der Mail ist aber auch ein Link zu einer Verwaltungsseite (Link hat eine recht lange ID - damit es auch nicht zu Hacks kommt).

Dort gibt es dann (und das finde ich gut) folgende Möglichkeiten:


1.

Abonnements Verwalten
Unter der E-Mail Adresse robert@domain.tld sind folgende, unten angeführten Beiträge abonniert. Um das (die) Abonnement(s) eines oder mehrerer Beiträge zu kündigen, müssen Sie die Checkbox neben dem Beitragstitel aktivieren und anschließend auf den "Ausgewählte(s) Abo(s) kündigen" am Ende der Liste klicken.

Danach folgen alle Beiträge eben mit entsprechenden Checkboxen.

2.

Alle Benachrichtigungen abschalten
Wenn Sie über robert@domain.tld keine Benachrichtigungen mehr von dieser Webseite erhalten wollen, klicken Sie bitte auf den darunter liegenden Button. Bedenken Sie, dass diese Möglichkeit vor allem für Fälle reserviert ist, bei denen Ihre E-Mail Adresse missbraucht wurde.

3.

Änderung der E-Mail Adresse:
Wenn Sie Ihre E-Mail Adresse Ihres Abos ändern möchten, geben Sie die neue Adresse in das Feld ein. Sie müssen diese Änderung bestätigen: Ihnen wird dazu ein Bestätigungs-Link zu Ihrer aktuellen E-Mail Adresse (robert@domain.tld) gesendet.

Wäre das was?

Hi!

Eine sehr coole Idee. Technisch auch nicht schwierig umzusetzen, aber mit einigen Fallstricken verbunden.

Zum einen wird die E-Mail an Kommentatoren, da es Kernfunktionalität von Serendipity ist, innerhalb des Systems erzeugt. Dafür gibt es also keine Plugin-Auslagerung. Es wäre daher am sinnvollsten, die Verwaltung der E-Mails in den Serendipity-Kern zu übernehmen anstelle in ein Plugin. Das ginge zwar auch, wäre aber dann aber auch mit notwendigen Änderungen im Kern verbunden.

Zum anderen muss man die URL individuell sichern, so dass nur der Empfänger der URL die Zielseite aufrufen kann. Denn sonst könnte ja jeder mit Kenntnis meiner Mailadresse für mich Abonnements verändern. Alternativ müsste jede Änderung auf der Seite eine Bestätigungsmail erfordern. Noch eine Alternative wäre, zusammen mit der E-Mail Adresse einen individuellen Hash zu errechnen, der dann immer mitgeschickt wird und den ein Angreifer nicht erraten kann.

Sonst muss halt nur im Serendipity-Frontend eine neue Seite erstellt werden, die die Abos auflistet. Das könnte man analog zur Archiv-Übersicht entwickeln, in dem man ein neues URL-Muster in der index.php aufgreift und ausgibt.

Viele Grüße,
Garvin

Hallo Garvin,
danke für deine Überlegungen. Heißt das, dass du es in Betracht ziehst hier etwas weiterzuentwickeln?

Zum Thema Manipulation. Bösmeinende können ja schon jetzt mit "meiner" (im Sinne des jeweiligen Kommentarschreibers) E-Mail-Adresse, URL und meinem Namen Kommentare hinterlassen und somit auch schon Manipulationen durchführen. D.h. das System ist eigentlich schon jetzt angreifbar. Oder?

Die URL zum ändern der Maileinstellungen ist auch bei der Seite auf der ich es entdeckt habe komplexer:
http://domain.tld/?wp-subscription-mana ... 28546d7b7b

Natürlich habe ich ein paar Änderungen vorgenommen - aber dies nur zur Anschauung
LG Robert

Hi!

danke für deine Überlegungen. Heißt das, dass du es in Betracht ziehst hier etwas weiterzuentwickeln?

Ich habe es mir auf meine Todo-Liste gesetzt, mit den Dingen die ich einmal angehen möchte. Wenn es jemand anders tun möchte, würde ich mich jedoch sehr freuen, wenn meine Todo-Liste hier abzuarbeiten wird aufgrund eines anderen umfangreichen Projekts dieses Jahr vermutlich nichts mehr werden.

Zum Thema Manipulation. Bösmeinende können ja schon jetzt mit "meiner" (im Sinne des jeweiligen Kommentarschreibers) E-Mail-Adresse, URL und meinem Namen Kommentare hinterlassen und somit auch schon Manipulationen durchführen. D.h. das System ist eigentlich schon jetzt angreifbar. Oder?

Jein, das stimmt zwar, aber auf so einer neuen Übersichtsseite könnte man natürlich viel leichter abonnements "faken". Aber grundsätzlich hast Du Recht, dass man das System sowieso besser absichern sollte.

Viele Grüße,
Garvin

Hi Garv,

also was ich mir wünschen würde wäre, das es für die Formatierungen evt. nur 1 Plugin geben würde, was den text richtig und valide formatiert.

Greetz

@deacon
Derzeit kann ich für Formatierungen "Textile" empfehlen. Soweit ausprobiert (und nachgelesen) produziert dieses Markup einen sauberen XHTML-Quellcode.