Ich glaube eine Sicherheitslücke in dem ansonsten absolut genialen Plugin NF-Downloads entdeckt zu haben.
Ich würde das Plugin gerne genau dafür verwenden wofür es laut Beschreibung gedacht ist: Auf einer Passwortgeschützten Seite in Typo3 sollen pdf-Dokumente zum download stehen. Die soll man wirklich nur da runter laden können, also wenn man sich vorher by typo3 authentifiziert hat. Direkte Links auf die Dokumente von extern sollen nicht möglich sein.
Die pdf-files liegen deshalb in einem Ordner ausserhalb des Dokumentrootes (htdocs), was das Plugin auch großartig managet. Problem ist aber:
Übernimmt man den vom Plugin generierten Link auf das PDF-file in die Bookmarks, kopiert dan die URL in einen anderen frisch geöffneten Browser (sicherheitshalber komplett anderer Browsertyp; mit Mozilla, Opera, Netscape 4.7 etc. bereits getestet; Übertragung von Cookies, bzw. Sessiondata also ausgeschlossen), kommt man direkt auf das pdf!
Man kann also doch wieder von extern direkt auf das Dokument verlinken.
Könnte das daran liegen, dass das Plugin bei der Generierung des Links nicht die aktuellen Sessioncookies berücksichtigt.
Bzw. könnte es die Lösung dieses Problemes sein das SessionCookie in den Link (genauer wohl den Hash (?) Zeichensalat am Ende) zu integrieren. Dann könnte man den Link zwar weiterhin kopieren, würde aber an das pdf - dank inzwischem verfallenem SessionCookie - nicht mehr heran kommen.
Über Lösungsvorschläge würde ich mich sehr sehr freuen. Gerne bin ich auch bereit so weit wie möglich bei der Lösung zu helfen, muss allerdings leider anmerken, dass ich des PHP nicht ganz so mächtig bin, wie es in diesem Fall vermutlich nötig ist.
in Hoffnung auf eine Antwort und mit vielen Grüssen,
Felix.