Потому что тому Оптимизайке, что я знал ранее, не нужно было рассказывать про такие элементарные вещи как AddType и AddHandler.
Не, я понимаю - все могут ошибаться, не все всё знают. Это нормально. Но вот способность признавать свои ошибки - это может быть важнее знаний. И дано только воистину грамотным людям.
Mobiaaa: Но ведь это разные вещи Взлом сайта и взлом ПК посетителя
Вещи разные, но это не значит, что не возможно ни то ни другое.
Mobiaaa: В данном случае ТС спрашивает про взлом сайта/сервера, и через шрифты это невозможно Т.к. шрифты на сервере не исполняются, а отдаются посетителю "как есть"
Если говорить о сервере, то можно взломать, через ЛЮБОЙ, абсолютно любой доступный снаружи файл. Хоть через jpg, хоть через eot, хоть через doc, хоть через css.
Да, для этого нужно подготовить и сервер и файлы, но всё можно. Просто с бинарными (картинки-шрифты) это несколько сложнее, но и не так заметно как с php. Именно поэтому умные люди запрещают исполнение php в специально выделенных каталогах для загрузки графики и др. пользовательских файлов.
---------- Добавлено 14.09.2018 в 17:31 ----------
splish: Т.е. по Вашему в файлы шрифтов можно что-то загрузить со стороны сервера? Не верю.
С верой - это в церковь. А случаев изменений файлов на сервере фиксируется тысячами ежедневно. Это даже подтвердят те небалоболы, кто гарантировал тебе безопасность.
Заметь, я говорю НЕ о запросе в старпосте (там действительно корявость какая-то, с которой нужно разобраться), а о потенциально опасных локальных файлах. В частности твоих локальных файлах шрифтов. Или выдающих себя за них.
burunduk: то что рандомный набор цифр хуже для пользователя чем осмысленная информация - да они так решили
Ну тут-то я согласен. Я не понял причём тут "опыт" и как/чем его можно ухудшить.
burunduk: пользовательский опыт взаимодействия с документом - меньше переходов, больше отказов...
Это не опыт, а юзабилити в самом широком понимании этого неопределённого термина.
Опыт - это накопленные знания в совокупностями с обстоятельствами, когда они был получены и когда/как их можно применить. "Ухудшить опыт юзера" это какая-то бредовая формулировка.
burunduk: начнём с того что про адрес/имя js файла я ничего не писал, будь внимательнее
Да ладно! А это про что?:
burunduk: указание расширения у файла помогает избежать кучи технических проблем, при обработке url js скриптами на стороне клиента
Только не надо говорить, что "расширение" никак не относиться к адресу и ты не имел ввиду получение файла (а то и документа) для его обработки. :)
Я помню, что ты категоричный сторонник указывать расширение в урлах. И как технарь-олдскульщик я прекрасно это понимаю. Однако нонешняя реальность уже этого не только этого не требует, но даже протестует против рудименнтов.
Подготовить?
Оптимизайка что ли сдал акк неучу?
Потому что тому Оптимизайке, что я знал ранее, не нужно было рассказывать про такие элементарные вещи как AddType и AddHandler.
Не, я понимаю - все могут ошибаться, не все всё знают. Это нормально. Но вот способность признавать свои ошибки - это может быть важнее знаний. И дано только воистину грамотным людям.
Но ведь это разные вещи
Взлом сайта и взлом ПК посетителя
Вещи разные, но это не значит, что не возможно ни то ни другое.
В данном случае ТС спрашивает про взлом сайта/сервера, и через шрифты это невозможно
Т.к. шрифты на сервере не исполняются, а отдаются посетителю "как есть"
Если говорить о сервере, то можно взломать, через ЛЮБОЙ, абсолютно любой доступный снаружи файл. Хоть через jpg, хоть через eot, хоть через doc, хоть через css.
Да, для этого нужно подготовить и сервер и файлы, но всё можно. Просто с бинарными (картинки-шрифты) это несколько сложнее, но и не так заметно как с php. Именно поэтому умные люди запрещают исполнение php в специально выделенных каталогах для загрузки графики и др. пользовательских файлов.
---------- Добавлено 14.09.2018 в 17:31 ----------
Т.е. по Вашему в файлы шрифтов можно что-то загрузить со стороны сервера? Не верю.
С верой - это в церковь. А случаев изменений файлов на сервере фиксируется тысячами ежедневно. Это даже подтвердят те небалоболы, кто гарантировал тебе безопасность.
Заметь, я говорю НЕ о запросе в старпосте (там действительно корявость какая-то, с которой нужно разобраться), а о потенциально опасных локальных файлах. В частности твоих локальных файлах шрифтов. Или выдающих себя за них.
Нажимайте "Отписаться".
И подтвердить спаммерам расчесть мыла ? Да щас! Восемь раз.
Если я ЯВНО не подписывался на рассылку - всё фтопку в спам.
---------- Добавлено 14.09.2018 в 17:14 ----------
В том то и дело, что спамом помечают письмо-подтверждение регистрации.
Подтверждение реги - это другое. В нём не может быть никаких ссылок на "отписаться".
А раз так - спамом может помечать не юзер, а сам сервис. Маилру в данном случае. Мб его онлайн или др. клиент.
Просто проверяю, балабол или дезинформатор?
Пока что тебе удалось убедить меня то ты хамло, причём не такое грамотное, как я считал до сегодня.
Давайте пример, продемонстрируйте в современных условиях.
Сколько платишь?🍿
Вот я не верю, что ты не знаешь что можно внедрить шелл в абсолютно любой файл, а тем более в исполняемый клиентом.
miketomlin, про какое "второе"? Что приписал?
Отследи диалог с самого начала.
Но не "js-файл"!
Ок. Вижу, имеет место быть недопонимание :)
Тогда поясню. Из
указание расширения у файла помогает избежать кучи технических проблем, при обработке url js скриптами на стороне клиента
я понял "js-файл" = любой документ(!) с js-кодом". А "расширение" относилось к документу. Может даже другому.
Отсюда: "обработка url js скриптами на стороне клиента" никакого влияния на "проблему" ТСа не имеет.
Так аяксом и не грузить...
Аякс - это УЖЕ на клиенте. Можно им ДОГРУЗИТЬ, а не "не грузить". Уже ПОСЛЕ формирования страницы.
Так можно подгрузить КОНТЕНТ. А вот КОД для формирования страницы - уже не всё так однозначно.
«обработка js-скриптами урлов» != «обработка (js-)скриптами урлов с расширением .js»
Совершено в дырочку! «обработка js-скриптами урлов» = «обработка js-скриптами документов» :)
А burunduk совершено чётко сказал слово "файл".
На данный момент нет ни единого станарта дающего серверной стороне однозначное и правдивое определение параметров клиента
Конечно такого нет и быть не может. К счастью.
Я говорю про требования к браузерам. Только к "честным" UA.
Что-то такое есть точно. Я просто не помню что именно/конкретно и чьи это предписания. Ну и на сколько строги.
---------- Добавлено 14.09.2018 в 14:09 ----------
Пусть объясняет тогда, зачем ему заранее
Он ещё в старпосте объяснил:
если он моб не грузить ему большой кусок кода
то что рандомный набор цифр хуже для пользователя чем осмысленная информация - да они так решили
Ну тут-то я согласен. Я не понял причём тут "опыт" и как/чем его можно ухудшить.
пользовательский опыт взаимодействия с документом - меньше переходов, больше отказов...
Это не опыт, а юзабилити в самом широком понимании этого неопределённого термина.
Опыт - это накопленные знания в совокупностями с обстоятельствами, когда они был получены и когда/как их можно применить. "Ухудшить опыт юзера" это какая-то бредовая формулировка.
начнём с того что про адрес/имя js файла я ничего не писал, будь внимательнее
Да ладно! А это про что?:
указание расширения у файла помогает избежать кучи технических проблем, при обработке url js скриптами на стороне клиента
Только не надо говорить, что "расширение" никак не относиться к адресу и ты не имел ввиду получение файла (а то и документа) для его обработки. :)
Я помню, что ты категоричный сторонник указывать расширение в урлах. И как технарь-олдскульщик я прекрасно это понимаю. Однако нонешняя реальность уже этого не только этого не требует, но даже протестует против рудименнтов.