Načtení souboru do zdrojového kodu z localu

Ten kód je na klientském počítači a aplikovat se má na serveru? Problém je v tom, že (naštěstí) není možné, aby si server bez vědomí uživatele načetl soubor z jeho počítače. Musel by se vytvořit mechanismus, který tohle vyřeší.
Nebylo by rozumnější udělat normální přihlašování a uživatelská práva ukládat na serveru?

Jestli má být klíč na pracovní stanici, kombinoval bych ho s příhlášením. Uživatel by ho poprvé musel uploadovat.

Smekac:
„Asi udělám skrytý formulář kde bude natvrdo zadaná cesta třeba C:\licence\licence.txt“
Webová stránka si naozaj nemôže len tak, bez dovolenia, čítať súbory z počítača návštevníka. A ak to aj bude cez formulár s výberom súboru, tak nejde ani nastaviť zložka v počítači, z ktorej sa bude vyberať súbor, návštevník musí ten súbor vo svojom počítači sám nájsť.

Smekac:
Neviem, ako to má KB, možno cez nejaké pluginy prehliadača a pod., ale čo ak návštevník disk c: nemá?

„aby se cesta sama vyplnila do formuláře ?“
To by predsa bola bezpečnostná diera ak by to šlo. To by sa potom dal odoslať obsah hocijakého súboru z návštevníkovho počítača bez jeho vedomia.

Smekac:
Můžeš použít buď Javu, Flash, nebo využít správy certifikátů a při pronajmutí licence uložit do uživatelova prohlížeče certifikát, kterým se on pak identifikuje. Má to spoustu výhod - snadno se dá nastavit platnost, spolehlivě se ověří identita a je to bezpečné i z pohledu uživatele - může si certifikát zálohovat nebo i zaheslovat. Nevýhoda Javy a Flashe je v tom, že je potřeba externí plugin v prohlížeči, a Java obvykle startuje docela pomalu. Mohl bys taky mít jen nějaký záznam v localStorage, ale ten není tak "permanentní" jako certifikát. Na druhou stranu certifikáty si zase musíš sám generovat, a jejich implementace je celkově složitější.

Smekac:
„Co jsem si všiml tak bankovnictví u KB to má tak udělané, že cesta k souboru je již zadaná.“

Len taká menšia side-note:
Internet Banking u KB to mal donedávna riešené pomocou Javy (čo bolo príšerne otravné a keby nejde o môj účet a peniažky tak sa im na celý IB vďaka tomu vyprdnem), ktorá z disku ťahala certifikát. Dnes už to majú riešené pomocou nejakého pluginu priamo v browseri (aspoň tak to písali v informáciach, zrejme ide o ten vyššie spomínaný certifikát priamo v prehliadači).

Smekac:
Dáta v localStorage môžu byť zmazané pri mazaní diskovej cache prehliadača.

Smekac:
Ale má to několik háčků:
- localStorage si může uživatel snadno i omylem smazat, nebo může mít zakázané jeho ukládání
- může si ho libovolně měnit, takže to musíš mít nějak zašifrované
- i zašifrované si to může zkopírovat do jiného libovolného zařízení nebo prohlížeče velmi snadno (ale to není nevýhoda, tohle si nějak musíš řešit ty, to za tebe nevyřeší ani certifikát) - co když uživatel běžně používá dva počítače (třeba i naráz), nebo dva prohlížeče? V jednom mu aplikace půjde, a pro jiný prohlížeč by si musel kupovat novou licenci?

Co ti vlastně brání mít obyčejné přihlášení na heslo? Ono to ve výsledku prakticky nic jiného nebude - jen takové fancy přihlášení.

Smekac:
Teoreticky by to nejako šlo, keď by sa stránka načítala z disku prehliadača, priamo v tej stránke by boli tie „certifikátne dáta“ a na základe nich by sa presmerovalo na webovú stránku. No je zase problém s tým, ak by sa na tej východzej stránke chcelo niečo zmeniť. Taká stránka by mala mať prístup aj k súborom v tej istej zložke (len na čítanie).

Smekac:
Pokud ti skutečně jde o bezpečnost, bude nejlepší, když implementuješ ty certifikáty v prohlížeči. Asi to nebude úplně snadné, ale je to pro ten účel dělané a je to bezpečné a ozkoušené. Pochopitelně pokud někdo dokáže napadnout přímo počítač vedoucího, nic nepomůže (proto je dobré mít krom certifikátu i heslo); ikdyž se domnnívám, že certifikáty jako takové jdou v některých prohlížečích zamknout. Jistý si ovšem nejsem.

S původním dotazem vám moc neporadím, ale dodám pár souvisejících myšlenek. Vy mluvíte o prolamování hesla, jako by to byla samozřejmost, která nikoho nezastaví. Nasaďte SSL ať to nejde odchytávat na síti, při několika chybných pokusech o přihlášení zablokovat. Případně pracovníky s vyšším oprávněním donutit používat složitější hesla apod. Můžete kontrolovat IP, zobrazovat pracovníkům pro kontrolu časy posledních příhlášení. Jestli jsou to fakt supertajná data, můžete posílat autorizační kódy pomocí SMS, vyžadovat pravidelné změny hesla.
Veškerou aktivitu logovat a pracovníky o tom informovat, ať je jim jasné, že jestli si heslo napíší někam na papírek vedle monitoru a někdo se tam nabourá, bude to jejich problém.

Smekac:
Tak hlavně používejte SSL ať se to nedá odchytit a mějte to nějakým způsobem zamčené na konkrétní počítač, aby vám to nemohl jen tak někdo zkopírovat.