admin/Smart-Dashboard
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

Geraete-Endpunkte: Anmeldung voraussetzen

Browse Source 
actorDetails.php, sensorDetails.php, fillActorDD.php und fillSensorDD.php
fragten die homeMesh-Datenbank ab und gaben Geraetenamen samt Steuer-URLs
(command_url, command_parameters.url) aus - ohne jede Zugriffspruefung.

Alle vier pruefen jetzt checkLogin(), bevor sie etwas ausgeben. Aufgerufen
werden sie ausschliesslich aus js/solar/autoActionFuncs.js auf der Home-Seite,
also aus einer angemeldeten Sitzung; der Regeleditor funktioniert unveraendert.

Die SQL war bereits sauber (intval), es fehlte nur die Autorisierung.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
This commit is contained in:
admin
2026-08-28 15:37:49 +02:00
co-authored by Claude Opus 5
parent 0075f803d0
commit 768520cedd
4 changed files with 28 additions and 0 deletions
Download Patch File Download Diff File Expand all files Collapse all files
ajax/actorDetails.php
+7
View File
@@ -1,5 +1,12 @@
<?php
require_once("../helper.php");
// Der Endpunkt gibt Geraetenamen und Steuer-URLs aus der homeMesh-
// Datenbank aus und war bisher ohne Anmeldung erreichbar.
if (!checkLogin()) {
http_response_code(403);
exit;
}
if(isset($_GET["actorID"])){
$actorID = intval($_GET["actorID"]);
$qry = "SELECT command_name, command_url, parameter_type, min_value, max_value, possible_values, command_parameters.url AS parameter_url, parameter_name FROM actor_commands LEFT JOIN command_parameters ON actor_commands.id = command_id LEFT JOIN state_types ON parameter_type = state_types.id WHERE actor_id=".$actorID;