WebsiteBaker 2.8.2 RC - Tests und Vorschläge

[HANS 0]

Wie so oft laberst Du  am Thema vorbei, anscheinend ganz mit Absicht. So doof kann man nicht wirklich sein.

Die früheren, wie die jetzt gemeldeten möglichen Fehler, beziehen sich auf die aktuelle Version von SM2 und auf WB 2.8.2
Wir befinden uns doch in "WebsiteBaker 2.8.2 RC - Tests und Vorschläge", oder?

Außerdem wird die aktuelle SM2-Version in WB 2.8.2 UND 2.9 verwendet und mitgeliefert.
Die Laberei um "...99,5% aller Anwender wie am Schnürchen" ist auch ein sich wiederholendes Beispiel Deiner etwas kruden Wahrnehmung. Erst mit der Entwicklung von WB 2.8.2 hin zu WB 2.9dev wurden die neue SM2-Versionen herausgegeben. Dieses SM2  existiert somit überhaupt nicht in den aktuell  laufenden WB 2.8.1-Installationen, außer man hat sich eines -wegen des xhtml-Flags- aus 2.9.dev gezogen. Die neuen Flags wurden von diesen "99,5%" also überhaupt nicht getestet. Die gemeldeten Ungereimtheiten bzw. Fehler bezogen sich aber ausschließlich auf die neuen Flags.

Nur ein oder zwei Optionen/Flags des SM2 werden in WB 2.8.2 (gegenüber 2.9dev) genutzt, so zumindest mein momentaner Wissensstand, die man nutzen könnte. Diese scheinen nach Aussagen im Forum oder auch anderen Rückmeldungen aber nicht "wie gewünscht" zu funktionieren. Ob nun Fehler oder "nur" Kommunikationsbedar f, für eine Klärung war bisher das Forum da und nicht der Bugtracker.

Man könnte es also beim "alten SM2" aus WB2.8.1 belassen, oder den Kommunikationsbedar f bzgl. der neuen Version decken, wenn denn überhaupt noch jemand daran interessiert ist. Der Eindruck vom Störenfried User kommt mttlerweile -auch bei mir- sehr gelegen her.

Alternative, falls SM2 nicht wie gewünscht funktioniert: Eine eigene leicht abgeänderte Version für WB 2.8.2 verwenden.

Den Kommentar zum Rest Deiner Nachricht erspare ich mir, da Du selbst beim aktuellen Chaos von zig Threads zu WB2.8.2 ff involviert bist. Einen Dialog mit Dir führen zu wollen, ist längst abgeschrieben. Erzähl es Deinem Friseur un jut is.

[testör]

Laut meinem Wissensstand lautet die Changelog der 2.9.5er Show_menu2

4.9.5 (28 Dec 2010, 2.8 Rev. 1360)
Added [tooltip].
4.9.3 (23 Jul 2010, 2.8 Rev. 1313)
Adding install.php, upgrade.php for manual installion of show_menu2.
4.9.2 (23 Jul 2010)
Introducing SM2_XHTML_STRICT and SM2_NO_TITLE. Adding [menu_icon_0], [menu_icon_1 and [page_icon]. New conditional replacement "target".
4.9.1 (11 Apr 2010, 2.8 Rev. 1313)
Remove unneeded code for WB < 2.7
4.9 (10 Aug 2009)
Partially redacted the change introduced in 4.8. Now hidden pages are shown when active only if the SM2_SHOWHIDDEN flag is supplied. The default behaviour should be the same as 4.7

(Es war nicht einfach, das zusammenzusuchen, aber kommt ja in den nächsten Tagen auf die offizielle Webseite).
Wo kann man also SM2_XHTML_STRICT, SM2_NO_TITLE, [menu_icon_0] usw. nicht benutzen? Wer es einbaut in den PHP-Code kann es doch - wie gehabt - benutzen, oder irre ich da? Und für neue Felder in den Seitenoptionen hab ich schon genug ausführliches im 2.9er Forum geschrieben, da ich den Gang "mehr ist mehr" für grundsätzlich falsch halte.

[HANS 0]

Dank für die erarbeitete Liste
Aus der Erinnerung der PM mit DEV:
Einige Flags sind erst in WB 2.9 nutzbar, sollen aber die Nutzung unter WB2.8.1/2 nicht stören (abwärtskompatibel)
Ab 4.9.2 (23 Jul 2010) waren die entsprechenden Flags über die wir hier reden verfügbar.


SM2_XHTML_STRICT/SM2_NO_TITLE soll in WB2.8.1/2 nutzbar sein, wobei hier (WB-Versionsabhängig 2.8.0-2.8.1 [inkl. 2.8.2r1468]) Fehler/Konflikte/Ungereimtheiten auftreten sollen.
Da nicht nur ich selbst sondern auch andere User auf diese (ich selbst habe es nur mit einer einzigen WB-Version getestet) gestoßen sind, wäre das ausgiebige Testen (Kombinationen) wünschenswert.

Da aber SM2 zu den nicht gerade geliebten Testobjekten zählt, wird es wohl schwierig.
Leider geht bei mir z.Z. gar nix mehr; keine Sec.Audits, keine Modul-Checks, absolut nix.
Erst im Februar wird es wieder ein Zeitfenster geben -ja wir sind im All

[susigross]

Leider geht bei mir z.Z. gar nix mehr; keine Sec.Audits, keine Modul-Checks, absolut nix.
Erst im Februar wird es wieder ein Zeitfenster geben

Das ist aber schade 
Ich habe nun erst mal alle gemeldeten Sicherheitslücken gefixt, und es wird nicht lange dauern, bis es die RC6 gibt, die dann auch wirklich ein echter Release Candidate ist. Da werden natürlich jede Menge engagierter Tester gebraucht.

[Stefek]

Ein User meldete mir noch einen schwerwiegenden Bug.

Wenn man im Medien Ordner einen Ordner löscht und kurz darauf (oder während dessen?) den Back-Button des Browsers betätigt, wird der nächste Ordner in der Reihe gelöscht.

Ich habe es aus Zeitmangel nicht geprüft.
Vielleicht hat jemand ein paar Ordner, an denen er es ausprobieren will 

Gruß,
Stefek

[DarkViper]

Ein User meldete mir noch einen schwerwiegenden Bug.

Wenn man im Medien Ordner einen Ordner löscht und kurz darauf (oder während dessen?) den Back-Button des Browsers betätigt, wird der nächste Ordner in der Reihe gelöscht.

das sollte sich mit dem Einbau der FTAN erledigt haben, da die u.A. auch Kommandowiederholun gen verhindert.

[Stefek]

Ich verstehe.
Danke für die schnelle Erklärung.

Gruß,
Stefek

[HANS 0]

Das ist aber schade

Bis Februar is ja nicht mehr lang hin, und "so zwischendurch" gab es immer wieder mal 'nen Abend oder Kaffeenachmittag, der sich nutzen ließ. Einen möglicherweise letzten RC im Schnelldurchlauf zu verabschieden kann es aber auch nicht sein, auch wenn's juckt  
Bei derartigen Verlautbarungen/Versuchungen regt sich das gesunde Mißtrauen  

So'n Sec.Audit kann übrigens nicht die Sicherheitslücken aufdecken, die sich mit der Verwendung irgend eines Moduls ergeben. Die Teile prüfen auf externe Einflußmöglichkeite n inkl. unter maroder Serverumgebung, aber nicht auf hausgemachte Türöffner oder Nachschlüssel.

Eine Codeanalyse wäre der Hit, die aber kaum jemand wird bezahlen können, wobei sowas auch ein rein akademisches Anliegen sein kann und der Praxis dann nix bringt. Ist bei IT'lern wohl kaum anders als in anderen Fachbereichen. Möglich ist auch, daß jemand meint, der Fußboden im Elfenbeinturm müßte mal wieder gefegt werden.  

[testör]

Ein echter Audit vom Profi kostet halb so viel wie der neue A1 - natürlich die Vergünstigungen für OpenSource usw. eingerechnet.
Wie schon mal gesagt - wenn es eine "echte" RC gibt kurz vorher anhalten, wirkliche Statements raushauen so viel es gibt und dann wirklich herangehen "es wird nichts mehr geändert, außer ein fundamentaler Fehler ist vorhanden". Dafür natürlich mind. 7 Tage, besser 10 warten.
Ganz sinnvoll wäre hierfür ein Plan wie ihn z.B. Mozilla hat: https://wiki.mozilla.org/Releases/Firefox_4.0b8 (Ich gebe zu, dass die viel reden und ihn alle zwei Jahre mal einhalten, aber das muss man dann ja nicht kopieren).

[maverik]

, dass die viel reden ..., aber das muss man dann ja nicht kopieren.

der ist richtig gut...you make my day

[Luisehahne]

So wie im Moment Stand der Dinge ist, wird die kommende RC6 die letzte vor stable sein, wenn nicht noch fundamentale Fehler festgestellt werden. Wir prüfen gerade nochmal, ob die Liste von Secunia durchgearbeitet ist.

Bis zur RC6 dürfte es nicht mehr lange dauern. Wir halten euch auf dem Laufenden.

Dietmar

[susigross]

Eine Codeanalyse wäre der Hit, die aber kaum jemand wird bezahlen können,

Ja bezahlt wir hier nichts, aber deswegen habe ich mir den Code trotzdem angeschaut und auf diesem Wege auch eine ganze Reihe Löcher gefunden, die keiner gemeldet hat. Wobei ich mir sicher bin, daß da noch welche sein können, weil ich auch nicht jede Zeile angesehen habe.

[testör]

Was noch fehlt sind upgedatete Sprachdateien (Norwegisch, Russisch und Deutsch).
Zudem gibt's in der DE.php auch noch

Code: [Select]

$MESSAGE['GENERIC_WEBSITE_LOCKED'] = 'Diese Seite ist für Wartungsarbeiten vorübergehend geschlossen';
Das "ü" sollte bestimmt ein HTML-Charakter sein - sonst gibt's nur Probleme.

Zudem würde ich vorschlagen, vor einer "letzten" RC den Bugtracker komplett auf 0 herunterzubringen.
Dafür gibt's eine neue Resolution "booked for 2.9" - vorgemerkt für 2.9.

Ganz nebenbei gibt's übrigens auch neue Sprachdateien wie z.B. Romanian (Rumänisch) im Sprachen-Unterforum. Es muss nur gesagt werden, dass Interesse besteht an den Sachen (das Gegenteil wäre auch töricht), dann kann man die gerne testen und anpassen.

Und zu guter Letzt denke ich ist es ja "beschlossen", dass die Installation und das Argos-Theme noch etwas angepasst wird, oder? Nur halt als Vormerkung.

[testör]

Nachtrag:
Macht es Sinn, die Werte " " und "/ " bei WB-Optionen -> Medienverzeichnis auszuschließen?
Auch mit der Revision 1409, die ja die Medien-Sicherungen von hal9000 beinhaltet kann man wieder alles löschen von WB.
Ich würde vorschlagen, dass man die Ordner
- "Gar keinen" (also leer und /)
- "/modules"
- "/templates"
- "wb_pages" (also per Standard eben /pages)
- "/framework"
- "/admin"
- "/account"
- "/include"
nicht erlaubt als Werte - ebenso nicht ../, sollte das möglich sein (auf meinem Testserver gibt's Errors, aber man weiß ja nie).

[DarkViper]

Zudem würde ich vorschlagen, vor einer "letzten" RC den Bugtracker komplett auf 0 herunterzubringen.
Dafür gibt's eine neue Resolution "booked for 2.9" - vorgemerkt für 2.9.

dazu sollte(n) ich/wir erst mal vorhandene Tickets ändern können:
1 von 1 ausgewählten Tickets konnte(n) nicht gespeichert werden: #nnnn

zumal da >50% dieser Tickets als Bug eingetragen wurden, obwohl es eindeutig Features sind.
auch ist eine ganze Reihe längst erledigt, kann von mir/uns nur nicht geschlossen werden  (wegen genau dem Speicherfehler im System)

Solang der Fehler nicht behoben ist, taugt der Bugtracker maximal als besserer Schmierzettel aber nicht als Arbeitswerkzeug und wird deshalb höchstens als kleine Merkhilfe gewertet und hat keinerlei Aussagekraft über den Zustand des SVN.

 

[testör]

Also ich weiß nicht so wirklich, wo dieser Bug bisher auftritt - bislang ist das die Fehlermeldungskateg orie "Hilfe ich hab PHP 5.2 aber ins admin komm ich net rein, bitte helfen!" Daher sollte es schon ein paar mehr Angaben (woanders) geben. Redmine ist auch nur von Menschen gemacht & eingerichtet, wir warten noch auf E.T.  
Wobei es der hier http://www.question-defense.com/2010/04/16/redmine-error-moving-issue-between-projects-failed-to-save-1-issue-on-1-selected sein könnte.

[susigross]

Der Bug tritt auch auf, wenn man einen alten Eintrag bearbeiten will.
Dann sagt er, daß das Feld Autor Pflichtfeld wäre, das gibt es aber gar nicht 

[testör]

Der Bug tritt auch auf, wenn man einen alten Eintrag bearbeiten will.
Dann sagt er, daß das Feld Autor Pflichtfeld wäre, das gibt es aber gar nicht  

Danke - wird gerade behoben. Leider ist beim Umzug von trac auf Redmine einiges zum Vorschein getreten (Unmengen von Spam z.B.), sodass hier nur rigoroses Löschen geholfen hat, die Datenbank auf ein Erträgliches Maß zu reduzieren. Darunter fielen auch viele Autoren-IDs - da aber trac kein wirkliches Benutzermanagement hatte, sind die wild herumgefolgen und teilweise hatte ein Autor auch 20 Accounts. Nun werden einfach alle offenen Tickets dem "admin" User zugeschrieben - geht nicht großartig anders, und geht auch nur in PHPMyAdmin.  

Noch ein kleiner Kniff für Redmine: Schreibt man #1077 wird zum Ticket verlinkt, schreibt man r1077 wird zur Revision verlinkt. Klein, aber oft durchaus hilfreich (sollte auch im SVN-Kommentar klappen).

So - der Tracker sollte nun wieder klappen. Wenn nicht bitte (am Besten per PM oder so) genau das Ticket / URL angeben wo Fehler sind angeben.

[HANS 0]

@FrankH

Ja bezahlt wir hier nichts, aber deswegen habe ich mir den Code trotzdem angeschaut

<offtopic>
1.) Ich darf -kostenlos- die Testumgebung einer Firma nutzen -aber eben nicht alles. Codeanalyse ist ein Brocken, bei dem es dann auch Kompetenz in PHP bedarf. die weit über das Vermögen Sequenzen etc sortieren und einordnen zu können hinausgeht; die besitze ich nicht, weshalb es dann teuer werden dürfte.
2.) Code anschauen und auf Sicherheitsanforder ungen hin zu überprüfen war schon lange überfällig. Dass es endlich jemand gemacht und koordiniert hat ist "werri prima" und mehr als das....
</offtopic>

[testör]

So - Bugtracker ist in Bereinigung und bislang sollte auch kein Fehler aufgetreten sein.

Kann jemand mal bitte wie in einem vorherigen Thread gewünscht erklären, was genau /include/idna_convert ist und warum man das braucht und wie es funktioniert, obwohl es nirgends aufgerufen wird?

[DarkViper]

Kann jemand mal bitte wie in einem vorherigen Thread gewünscht erklären, was genau /include/idna_convert ist und warum man das braucht und wie es funktioniert, obwohl es nirgends aufgerufen wird?

IDNA-Convert wird in wb::validate_email($email) benötigt, um auch Umlautdomains erfassen zu können. Wird auch explizit nur in dieser Funktion nachgeladen um das System nicht unnötig zu belasten.

[testör]

Kann jemand mal bitte wie in einem vorherigen Thread gewünscht erklären, was genau /include/idna_convert ist und warum man das braucht und wie es funktioniert, obwohl es nirgends aufgerufen wird?

IDNA-Convert wird in wb::validate_email($email) benötigt, um auch Umlautdomains erfassen zu können. Wird auch explizit nur in dieser Funktion nachgeladen um das System nicht unnötig zu belasten.

Ah ok, da ist sie... Aber ist das nicht ein wenig stark mit Kanonen auf Spatzen geschossen? Na gut... Dann wäre die Frage, ob man nicht generell URLs / Domains (also auch www.meineümläutdömain.xyz) damit abfängt. Gerade wurde ein Issue http://project.websitebaker2.org/issues/937 nämlich geschlossen.

[susigross]

Ach du meinst er meinte das?
Ich dachte eher an so was: http://www.viart.com/what_are_friendly_urls.html

[DarkViper]

Ah ok, da ist sie... Aber ist das nicht ein wenig stark mit Kanonen auf Spatzen geschossen? Na gut... Dann wäre die Frage, ob man nicht generell URLs / Domains (also auch www.meineümläutdömain.xyz) damit abfängt. Gerade wurde ein Issue http://project.websitebaker2.org/issues/937 nämlich geschlossen.

Das ganze hat absolut nichts mit SEO oder sonstigen 'Modeerscheinungen' zu tun.

die Klasse soll einfach aus einer Unicode-Emailadresse wie z.B. günter.möller@русски.ru
den entsprechenden Punycode ( xn--gnter-kva.xn--mller-jua@xn--h1adreak.ru ) erzeugen , der dann relativ einfach(da keine nationalen Sonderzeichen mehr, sondern nur noch pures ASCII) mit einer Regexpression auf Gültigkeit überprüft werden kann.
Das ist auch die gleiche Technik, die Browser anwenden, da das Internet in der Adressierung (DNS-Server im speziellen) keine nationalen Sonderzeichen kennt, sondern nur Punicode. (ganz grob beschrieben)

[testör]

Ehm - Domainnamen mit nicht englischen lateinischen Zeichen haben erstmal rein gar nichts mit SEO zu tun, sondern halt mit vorhanden sein oder nicht (irgendeiner kam halt mal auf die glänzende Idee, dass man das einführen sollte, und leider ist das sogar offiziell - aber wie man sieht, macht das ja nichtmal vor E-Mails halt). Auch Domainnamen werden doch irgendwie überprüft, oder? Denn Domainnamen / URLs sind ja zwingend Teil der E-Mail-Adresse.