florian.wilde
b14bb75af0
Das Token wird zwar immer nach data/ geschrieben und ist dort durch eine eigene .htaccess geschuetzt. Landet es aber aus irgendeinem Grund im Projektstamm, griff bisher keine Regel: die .htaccess dort sperrt Verzeichnisse und bestimmte Dateinamen, .txt gehoerte nicht dazu. Bei der Variante ohne eigenen Webroot waere es damit unter https://domain/setup-token.txt abrufbar gewesen - und das Token ist der Schluessel zur Ersteinrichtung. Beide .htaccess-Dateien verweigern den Namen jetzt ausdruecklich, mit und ohne mod_rewrite. Zusaetzlich ist build-release.sh gesperrt. .gitignore schliesst setup-token.txt in jedem Verzeichnis aus, nicht nur unter data/.
16 lines
270 B
Plaintext
16 lines
270 B
Plaintext
/.env
|
|
/data/*
|
|
!/data/.gitkeep
|
|
# Schutzdatei muss mit ausgeliefert werden
|
|
!/data/.htaccess
|
|
# Das Einrichtungs-Token gehoert nirgendwo ins Repository.
|
|
setup-token.txt
|
|
/public/uploads/*
|
|
!/public/uploads/.gitkeep
|
|
/vendor/
|
|
/.phpunit.cache/
|
|
/build/
|
|
/dist/
|
|
.DS_Store
|
|
Thumbs.db
|