Holger wrote:Aber was ist denn schlimmer:
Natürlich ist das nicht mehr einloggen können schlimmer -- aber das merkt der Anwender. Eine falsche Meta-Angabe hingegen wird vermutlich nicht auffallen (obwohl ich allerdings nicht weiß, wer author und publisher liest -- Suchmaschinen???).
Holger wrote:Die Zeit für den BOM-Support und die Sinnhaftigkeit von UTF-8 Markern wäre besser beim programmieren / diskutieren eines ordentlichen Sicherheitskonzeptes aufgehoben.
Die Zeit für den BOM-Support hat ja auch etwas gutes: zumindest der ein oder andere Anwender weiß dann auch für die Zukunft, dass er allgemein darauf achten sollte. Ein BOM in einer Plugin-Sprachdatei führt zwar nicht zum "Rauswurf", aber das könnte ganz klammheimlich andere Header unterbinden...
Richtig: auf jeden Fall muss für 1.6 ein gutes Sicherheitskonzept her.
Eine Idee für 1.5.3: zurück zu "test", und dann im Willkommenstext ein dicker Link zum Wiki, wo aber nicht gleich das Password angegeben wird, sondern sich der Anwender erst mal durch andere wichtige Hinweise lesen muss. Das sollte vorbei surfende "Spaßvögel" abhalten, sich mal eben schnell in eine solche Installation einzuloggen, und die Anwender lesen dann auch andere wichtige Dinge.
Christoph

