Bundesstaaten - Dropdown abhängig von Country

[webald]

Sehe ich das richtig, dass es für die Bundesstaaten nur im Installer ein vom Dropdown-Feld "Country" abhängiges Dropdown-Feld gibt? In allen anderen Bereichen des Shops ist das nur ein Textfeld?

1. Richtig?
2. Sollte man das nicht als Ajax-Lösung anbieten und dann statt den selben Code immer wieder zu schreiben auf eine feste Shop-Url zugreifen? Etwa shoproot/callback/ajax/getStates.php?

Linkback: https://www.modified-shop.org/forum/index.php?topic=35468.0

[h-h-h]

Dann aktiviere die Funktion im Admin einfach.

/modified-2.00/ajax.php?ext=get_states&country=81&speed=1

[webald]

aber...

sollte man in ajax.php nicht eine Prüfung der aufrufenden Seite einbauen?

Im Laufe der Zeit könnten in includes/extra/ajax/ etliche Erweiterungen liegen, die nicht unbedingt von fremden Url's aufgerufen werden sollten. Ich denke der Ajax-Aufruf hier sollte auf den Shop selber beschränkt sein.

[h-h-h]

Ich denke der Ajax-Aufruf hier sollte auf den Shop selber beschränkt sein.

Wenn du da eine zuverlässige Lösung kennst, bin ich sehr interessiert, so wie viele andere Entwickler im Netz. 

[webald]

Wir schicken noch ein zufälliges Token mit, welches in der Tabelle Session gespeichert wird. Passt das Token nicht zur Session, dann gibt es auch keine Daten.

[h-h-h]

Ja, das ist eine Möglichkeit, die aber auch recht einfach umgangen werden kann.

[webald]

OK, stimmt.

Aber eine kleine Absicherung habt ihr ja in template/tpl_modified/javascript/get_states.js.php eingebaut:

Code: PHP  [Auswählen]

$state_pages = array(
  'address_book_process.php',
  'create_account.php',
  'create_guest_account.php',
  'checkout_shipping_address.php',
  'checkout_payment_address.php'
);
if (ACCOUNT_STATE == 'true' && in_array(basename($PHP_SELF), $state_pages)) {
...

Das verhindert aber nur, dass der Javascript-Code geladen wird, nicht aber den Aufruf von ajax.php bzw. get_states.php.

1. Konnte man das o. g. nicht in ein config-Array im BE packen? Dann wäre das aus dem Admin administrierbar.

2. Könnte man eine ähnliche (explizite Freigabelösung) nicht auch in ajax.php und/oder get_states.php einbauen?

3. get_states.php akzeptiert nur GET-Werte. Warum nicht auch POST? ajax.php akzeptiert auch beides

[h-h-h]

Hallo webald!
1. das verstehe ich nicht
2. nicht wirklich, außer du möchtest du Referer, welcher vom Brower gesendet wird prüfen
3. Das ist ein Fehler von mir, gestern wollte ich das schon auf REQUEST umstellen und jetzt würde ich das gerne auf POST only umstellen, damit der Link mit Parametern nicht direkt aufgerufen werden kann.

Gruß,
h-h-h

[webald]

zu 1.

momentan müssen berechtigte Seiten in $state_pages im passenden Template eingetragen werden. Man könnte auch in Tabelle configuration einen Key "STATE_PAGES" anlegen und dort speichern. Das gilt dann (theoretisch, wenn im Template vorgesehen) auch nach Umstellung eines Templates und ist übers BE administrierbar.