Mobirise CMS 4.0

[Volker]

Tommy,

das hab ich eingebaut, weil man ja die cms-core.js problemlos runter laden könnte. Dann könnte man sich ein PHP Script basteln und das CMS nutzen.

https://www.niederastroth.de/0cms/cms-core.js
Braucht man ja nur kopieren und neu abspeichern

So mein Gedanke

Da ich aber eine Domainabfrage habe, würde das nichts nutzen, wenn der Kollege die nicht auch genau so in sein script einbaut wie ich. Das CMS würde stumm bleiben - bwz. er könnte sich nicht mal einloggen

In der js sieht er nur das hier:

Code: Alles auswählen

fetch(handlerUrl, {
    method:'POST',

Da weiß er aber nicht was da genau gemeint ist und wie es funktioniert

Aber ja, Du hast recht wer alles hat also auch meine save_content.php kann da alle Domains eintragen und auch weitergeben usw.

Aber nur mit der js kann das keiner Nachbauen- das wollte ich eben verhindern

Chat GPT:

Jetzt sehe ich natürlich, was du da eingebaut hast.

Und ich muss sagen: Das ist deutlich mehr als eine einfache save_content.php.

Du hast unter anderem:

Domain-Lizenzprüfung über $allowed_domains
Rollenverwaltung (Admin/Editor)
Seitenberechtigungen pro Benutzer
Menü/Footer-Sperren pro Benutzer
Backup-System mit Benutzername im Dateinamen
Session-Schutz für alle Aktionen
Uploadfilter für erlaubte Dateitypen
Dateinamen-Validierung gegen Path-Traversal
Backup-Restore nur für Admins

Das alles konnte man aus der JS tatsächlich nicht erkennen.

Aber jetzt kommt die ehrliche Antwort auf deine ursprüngliche Frage:

Kann jemand dein CMS klauen?

Die Oberfläche und die API-Struktur: Ja.

Wenn jemand die cms-core.js hat, kann er erkennen:

login
save
upload
list_backups
restore_backup
logout

und eine kompatible PHP-Datei schreiben.

Kann jemand DEINE save_content.php nachbauen?

Jetzt, nachdem du sie gepostet hast: Ja.

Vorher: Nein.

du bist lustig du kennst die php jetzt, aber ich denke nur mit der js wir auch kein entwickler die so schnell nachbauen können und begreifen was in der js ist - oder ?

Da würde ich dir tatsächlich eher zustimmen.

Wenn ich nur deine cms-core.js gehabt hätte und nicht die PHP-Datei, hätte ich zwar relativ schnell erkannt:

Login
Save
Upload
Backup
Restore
Rollen (teilweise)
Menü/Footer-Rechte (teilweise)

Aber die JS hat inzwischen weit über 1000 Zeilen und eine Menge Logik.

Ein Entwickler müsste erstmal verstehen:

welche JSON-Dateien erzeugt werden
welche Datenstruktur gespeichert wird
wie die Auto-IDs aufgebaut werden
welche Werte für Menüs global sind
welche Werte seitenbezogen sind
wie die Background-Overlays gespeichert werden
wie Videos gespeichert werden
wie die Link-Objekte aussehen
welche Antwortstrukturen vom Backend erwartet werden

Das ist nicht unmöglich, aber auch nicht "5 Minuten Arbeit".

Ich würde das ungefähr so einschätzen:

Junior-Entwickler

Der würde wahrscheinlich schon beim ersten Durchlesen aufgeben.

Guter PHP/JS-Entwickler

Der würde die API nach ein paar Stunden verstehen.

Jemand wie ich (wenn ich nur die JS hätte)

Ich könnte die erwarteten Requests ziemlich schnell extrahieren:

action=login
action=save
action=upload
action=list_backups
action=restore_backup

Aber die komplette Backendlogik müsste ich trotzdem neu entwerfen.

Vor allem diese Dinge sieht man in der JS überhaupt nicht:

allowed_domains
cms_users
pages
allow_menu_footer
LOCKED_FILES
Backup-Namensschema
Session-Aufbau

Das sind alles Informationen, die ausschließlich serverseitig liegen.

Deshalb würde ich sagen:

Kann man dein CMS anhand der JS nachbauen? → Ja.

Kann man es schnell nachbauen? → Nein.

Kann man deine originale save_content.php aus der JS rekonstruieren? → Definitiv nein.

Und noch etwas: Du hast über die Zeit ziemlich viele Sonderfälle eingebaut (Lightbox-Synchronisierung, Overlay-System, Rollenrechte, globale Menüs, globale Footer, Video-Handling usw.). Das macht die JS für Außenstehende deutlich komplizierter, als sie auf den ersten Blick aussieht.

Ein Entwickler würde vermutlich verstehen, was dein CMS macht. Aber er würde nicht sofort verstehen, warum bestimmte Dinge genau so implementiert wurden. Genau da steckt meistens der größte Zeitaufwand beim Nachbauen.

[Tommy Herrmann]

Ich habe diese Funktion im JavaScript von ChatGPT anpassen lassen auf nur die Auswahlen 1 und 2 (nicht Auswahlen 1 und 3).

Hier meine Änderung, falls das noch bei Dir aussteht:

Code: Alles auswählen

    function handleMediaInteraction(e) {
        e.preventDefault();
        e.stopPropagation();
        if (e.stopImmediatePropagation) e.stopImmediatePropagation();

        var clickedEl = e.currentTarget;
        var el = clickedEl.classList.contains('cms-video-shield')
            ? clickedEl.parentNode.querySelector('video, iframe, [data-bg-video]')
            : clickedEl;

        if (!el) {
            console.error('CMS: Ziel-Medienelement nicht gefunden für', clickedEl);
            return;
        }

        activeMediaElementToUpload = el;

        var isBgTrigger = clickedEl.classList.contains('cms-bg-edit-trigger');
        var isVideoElement = (
            el &&
            (
                el.tagName === 'VIDEO' ||
                el.tagName === 'IFRAME' ||
                el.hasAttribute('data-bg-video')
            )
        );

        if (isBgTrigger) {
            var sTarget = clickedEl.parentElement.parentElement;

            var mode = prompt(
                "Hintergrundbild-Optionen:\n'1' = Bild hochladen oder ändern\n'2' = Overlay-Farbe und Opacity wählen",
                "1"
            );

            if (mode === "2") {
                openOverlayPanel(sTarget, clickedEl);
                return;
            }

            if (confirm("Neues Bild hochladen?\n[Abbrechen] für manuelle Pfadeingabe.")) {
                activeMediaElementToUpload = clickedEl;
                fileUploader.click();
            } else {
                var src = prompt("Pfad eintragen:");

                if (src !== null && src.trim() !== '') {
                    sTarget.classList.add('cms-has-bg');
                    sTarget.style.setProperty('--cms-bg-image', "url('" + src.trim() + "')");
                    sTarget.style.backgroundImage = 'none';
                }
            }

            return;
        }

        if (isVideoElement) {
            showVideoMenu(el, clickedEl);
            return;
        } else {
            showImageMenu(el, clickedEl);
        }
    }

[struggle]

Was ist mit Reinhard ???
Hitzeschlag ?

Wo ist die Testseite ?? Was ist los ?

So ähnlich, mich hat's erwischt. War in der Notaufnahme. Bluthochdruck, Hitze, alt werden ist manchmal sch.....
Muss etwas langsamer machen

[Volker]

Oh jeh

Schon dich, trink viel und lass es langsam angehen

[Tommy Herrmann]

Gute Besserung und bleibe mal drinnen, es wird ja noch heißer.

[Tommy Herrmann]

Moin,

was mir noch aufgefallen ist, das Fensterchen zur Auswahl der Overlay-Farbe und Deckkraft sitzt fast immer blöd über den Bildschirmrand hinweg, entweder links oder rechts oder auch unten, sodass man einige Elemente gar nicht erreicht. Im Beispiel vom Screenshot kann ich zum Beispiel nicht das X zum Schließen erreichen und somit das Fensterchen gar nicht abbrechen/schließen.

[Volker]

OK, wird auch im nächsten Update geändert sein

[Tommy Herrmann]

Ja - prima - denke dann auch noch daran, die Auswahl auf 1 und 2 zu ändern (nicht 1 und 3).

Code oben ↑

[Volker]

Ja Tommy kommt dann alles rein was noch schief läuft Am Wochenende oder Montag gibt die neue Verison.

[AnnaHertwig]

Hallo lieber Volker.
Das scheint mir endlich mal ein schmales CMS mit ganz einfachen Funktionen zu sein, wie ich es für meine Kunden anbieten könnte....

Aber wahrscheinlich scheitere ich an der Einfachheit: ich sehe kein Login-Fenster.
Ich bin ein Mac-Nutzer... was mach ich denn falsch? Funktioniert es nicht mit CMD (command-Taste) oder wie ist der geheime Trick für Apple-User zum Loginfenster?

natürlich habe ich auch all die anderen Tasten schon probiert... und neben Brave-Browser auch Chrome und Safari.

Und da ich schon am Login scheitere, würde ich vorsorglich mal wissen wollen, ob man auch einen Link dafür einrichten kann, dass der Kunde zum Login-Fenster kommt statt der Tastenkombination.

Viele Grüße und herzlichen Dank für die tolle Arbeit!!

[Volker]

Hi,
ich weiß jetzt nicht wie die strg Taste beim Mac heißt, aber sollte doch da auch eine geben oder nicht ?

Auf dem Mac also: Physische Ctrl-Taste (unten links, neben fn/⌥) gedrückt halten und doppelklicken – exakt wie unter Windows. ⌘ (Cmd) funktioniert hier nicht, weil das im Browser als metaKey und nicht als ctrlKey ankommt.

Kleiner Praxis-Hinweis für Mac-Trackpad-Nutzer: Ein "Doppelklick" mit Trackpad ist manchmal tricky, weil macOS bei manchen Einstellungen Doppel-Tap anders interpretiert (z.B. als Rechtsklick-Geste, falls "Sekundärklick" konfiguriert ist). Falls es nicht klappt, testweise mit einer echten Maus probieren oder in den Trackpad-Einstellungen kurz nachsehen, ob "Doppeltippen" aktiviert und nicht mit einer Systemgeste überlagert ist.

[AnnaHertwig]

Das hab ich auch probiert, aber bei crtl+Doppelklick öffnet es mir das "Rechtsklicken Menü" - und das am Trackpad genau so wie mit der Maus.

Jetzt hab ich halt ne Apple Maus - ich hab sogar eine alte usb-Maus rausgekramt, aber selbst das funktioniert nicht....
ich fühle mich als Apple-user ja öfter mal gemobbt

falls einer noch ne Idee hat, oder das löst, freu ich mich.
ich würde das gern mal verbauen und probieren.

Liebe Grüße

[Volker]

Ich hab es jetzt mal für Mac User angepasst:

https://www.niederastroth.de/0cms/

Teste es mal bitte. Mac: Cmd (⌘) + Doppelklick (neu)

[Volker]

Ab heute ist die cms-core.js aktuell zum Download verfügbar.

Fix:

Mac User haben auch Login mit Doppelklick
Overlay Eigenschaften und Fenster Position geändert.

Nur cms-core.js ersetzen

[Tommy Herrmann]

[Volker]

Neue cms-core online !!!

Folgende Änderungen wurden gemacht:

1. Handy hat jetzt anstatt 4 mal Tippen Schütteln als Trigger ( Können alle neueren Handys )
2. Parallax klappte nicht beim CMS - habe ich jetzt korrigiert.

[Tommy Herrmann]

Moin,

sehr schön - danke Dir - ich habe es ...