$TCA['ext_key'] = Array (
   ‘ctrl’ => Array (
      …
      ‘iconfile’ => t3lib_extMgm::extRelPath($_EXTKEY).”res/icon.gif”,
      …
   )
   …
);

Mit dieser Zeile kann man aber zunächst mal nur ein einziges Icon definieren. Man kennt es aber von TYPO3, im Icon bereits einen Hinweis auf die Eigenschaften des Record-Eintrags zu geben. So erkennt man bereits am Icon, ob der Datensatz versteckt ist, wegen der Start-Stop-Zeit nicht gezeigt wird oder sogar wegen beiden Einstellungen nicht im Frontend zu sehen ist. Anschaulich kann man das bei normalen Seiten im Seitenbaum (und normalen Seiten in der Listenansicht) verfolgen.

Diese Statusicons sind auch bei eigenen Extensions möglich. TYPO3 handhabt das ganz einfach über den Dateinamen. Dabei gelten die folgenden Konventionen für den Dateinamen:

icon__[$flags].gif

Um zu erfahren, wie die Flags aussehen, auf den Mehr-Link klicken.

Aufbau des Flags-Strings um Icon-Zustände zu kodieren

Wie folgt wird der Flags-String aufgebaut:

d: Deleted
Also muss für einen gelöschten Datensatz der Dateiname icon__d.gif lauten. Da in den meisten Fällen die gelöschten Datensätze nicht angezeigt werden, ist diese Datei meist nicht nötig.

h: Hidden
Also muss für einen versteckten Datensatz der Dateiname icon__h.gif lauten.

Genau so verhält es sich auch für die folgenden weiteren Eigenschaften:
t: Timing - Datensatz ist zwar zeitgesteuert, wird aber grad angezeigt
f: Futuretiming - Start-Zeit noch nicht erreicht oder Stop-Zeit überschritten
u: User - Ob der Zugriff auf den Datensatz durch ein Login geschützt ist.
s: Shaded - Das Icon wird ausgegraut angezeigt.

Aber als wäre das alles noch nicht genug, lassen sich die Flags auch in beliebiger Art kombinieren. So wäre also das Flag für einen Datensatz, der nur für eingeloggte Benutzer (User) ab morgen (Timing) sichtbar ist “fu”. Ist er dazu noch ausgegraut (shaded) , muss das Flag “fus” lauten. Um das ganze von den Kombinationsmöglichkeiten bzw. Anzahl der Symboldateien noch einigermaßen überschaubar zu halten, ist beim kombinieren der Flags die Reihenfolge entscheidend. Diese ist wie folgt:

1. h - Hidden
2. t - Timing
3. f - Futuretiming
4. u - User
5. s - Shaded

Das oben erwähnte d (Deleted) wird allerdings nie kombiniert und steht immer allein.

Dennoch muss man, wenn man alle Fälle abdecken möchte, ziemlich viele Icons erzeugen (Wenn mich nicht alles täuscht sind es 35 Kombinationen). Weil das ziemlich zeitraubend sein kann, kann man noch das Flag “x” (icon_x.gif) definieren, welches immer dann angezeigt wird, wenn eine Flag-Kombination zutreffend wäre, für die keine Datei hinterlegt ist.

x: Icon not defined

Icons automatisch generieren

Und wem das mit dem Fallback auf icon_x.gif nicht reicht bzw. wer bei vielen Extensions immer alle Icons abdecken möchte ohne für jeden im TCA definierten Datensatz 35 Icons erzeugen zu müssen - der muss die GDLib installiert haben. Durch eine einfache Einstellung in der localconf kann man die Icons vom Gifbuilder automatisch generieren lassen, wenn man nur ein einziges Icon “icon.gif” in die Extension legt. Dazu folgende Eigenschaft in die localconf.php bzw. in das Installtool eintragen:

$GLOBALS['TYPO3_CONF_VARS']['GFX']['noIconProc'] = ‘0′;

• 4.0.0 to 4.0.9
• 4.1.0 to 4.1.7
• 4.2.0 to 4.2.3

Im Zuge dessen sind auch gleich neue Versionen (4.0.10, 4.1.8, 4.2.4) veröffentlicht worden, da im Gegensatz zu Sicherheitslücken in Extensions in diesem Fall die TYPO3-Core betroffen ist und somit jede TYPO3-Seite angreifbar ist. Zwei der insgesamt 5 Sicherheitslücken sind als “schwerwiegend” einzustufen und einem Update wird dringend angeraten.

Nach dem mehr-Link kann man die komplette Meldung des TYPO3-Security-Teams lesen, wo die betroffenen Pakete und deren Schwachstellen beschrieben sind und wie man diese updatet (englisch).

Component Type: TYPO3 Core

Affected Versions: TYPO3 versions 4.0.0 to 4.0.9, 4.1.0 to 4.1.7, 4.2.0 to 4.2.3

Vulnerability Types: Broken Authentication and Session Management, Cross-Site Scripting, Insecure Randomness and Remote Command Execution

Overall Severity: High

Vulnerable subcomponent #1: System extension Install tool (install)

Vulnerability Types: Insecure Randomness

Severity: High

Problem Description: TYPO3-wide used encryption key is created with an insufficiently random seed which results in a low entropy.

Solution: Update to the TYPO3 versions 4.0.10, 4.1.8 or 4.2.4 that fix the problem described.

You will need to create a new encryption key! Therefore upgrade to the new TYPO3 version, clear the configuration cache, open the install tool and choose menu 1 (”Basic Configuration”). Scroll to the bottom of the page and click on the button “Generate random key”. Submit the form by clicking on “Update localconf.php”.

Afterwards, clear the configuration and page cache again!

Credits: Credits go to Chris John Riley (Raiffeisen Informatik, CERT Security Competence Center Zwettl, Austria) who discovered and reported the issue.

Vulnerable subcomponent #2: Authentication library

Vulnerability Types: Broken Authentication and Session Management

Severity: High

Problem Description: TYPO3 authenticates frontend and backend users without invalidating a supplied session identifier. Therefore, TYPO3 is open for session fixation, making an attacker able to hijack a victim’s session.

Solution: Update to the TYPO3 versions 4.0.10, 4.1.8 or 4.2.4 that fix the issue described.

Credits: Credits go to TYPO3 Security Team member Marcus Krause who discovered and reported the issue.

Vulnerable subcomponent #3: System extension Indexed Search Engine (indexed_search)

Vulnerability Types: Cross-Site Scripting, Remote Command Execution

Severity: Medium

Problem Description: Passed arguments to command-line indexer are not sanitized making this system extension susceptible to Remote Command Execution. Furthermore, the according backend module fails to sanitize user supplied input (name and content of to be indexed files) making this system extension susceptible to Cross-Site Scripting.

Solution: Update to the TYPO3 versions 4.0.10, 4.1.8 or 4.2.4 that fix the issues described.

Credits: Credits go to Mads Olesen who discovered and reported the issues.

Vulnerable subcomponent #4: System extension ADOdb (adodb)

Vulnerability Types: Cross-Site Scripting

Severity: Medium

Problem Description: Test scripts fail to sanitize user supplied input making this system extension susceptible to Cross-Site Scripting.

Solution: Update to the TYPO3 versions 4.0.10, 4.1.8 or 4.2.4 that fix the issues described.

Credits: Credits go to Mads Olesen who discovered and reported the issue.

Vulnerable subcomponent #5: Workspace module

Vulnerability Types: Cross-Site Scripting

Severity: Medium

Problem Description: The module fails to sanitize user supplied input making this module susceptible to Cross-Site Scripting.

Solution: Update to the TYPO3 versions 4.0.10, 4.1.8 or 4.2.4 that fix the issue described.

Credits: Credits go to Daniel Fabian (SEC Consult, Austria) who discovered and reported the issue.

Note on TYPO3 Lifecycle Policy:

The following TYPO3 versions are currently (as of January 2009) officially supported:

• TYPO3 4.2 (current stable; updates and security fixes)
• TYPO3 4.1 (old stable; updates and security fixes)
• TYPO3 4.0 (old old stable; security fixes only)

page.10 = USER
page.10.userFunc = tx_templavoila_pi1->main_page
page.10.disableExplosivePreview = 1

Will man auch noch das von TYPO3 angezeigte kleine rote Schild “Preview” deaktivieren, kann man folgende Eigenschaft in TYPOScript setzen:

config {

    # Disable Preview Message in FE

    #message_preview = <!-- -->

}

Auch an anderer Stelle kann über TypoScript einfach mit diesem Navigationstitel gearbeitet werden. Ein kleines Beispiel ist:

10 = TEXT
10.data = field:nav_title // field:title

Durch dieses TypoScript-Konstrukt wird das cObject-Element 10 immer dann mit dem Feld Title gefüllt, wenn nav_title leer ist. Andernfalls wird der Inhalt von nav_title genommen.

Im Backend gab es lange Zeit jedoch nicht die Möglichkeit, im Pagetree den nav_title zu verwenden. Seit der Version 4.2 hat sich das geändert und man kann über eine UserTS-Option eine entsprechende Konfiguration vornehmen:

options.pageTree.showNavTitle = 1

Leider ist es zurzeit nicht möglich, diese Option auch global einzustellen so dass sie für alle Backend-Benutzer gilt, beispielsweise über die TSConfig-Einstellungen in der Seite. Aber vielleicht kommt das noch.
UPDATE: Mit folgendem Eintrag in der localconf.php kann man die Einstellung für alle User der TYPO3-Instanz einstellen:

t3lib_extMgm::addUserTSConfig(’options.pageTree.showNavTitle = 1′);

Vielen Dank an Rankone für den Kommentar.

Das Framework vereint hierbei viele Vorgehensweisen aus anderen Frameworks (wie dem Zend Framework oder Rails) mit Ideen aus der Java-Welt und dem bekannten Java-Framework Spring. Hierbei kommen auch Konzepte zum Einsatz, die bisher noch nicht in der PHP-Welt zu finden waren. Einige Beispiele werden im Folgenden kurz vorgestellt:

• Als ein gutes Beispiel kann hier Aspect Oriented Programming (AOP) genannt werden. Hierbei werden alle Klassen einer FLOW3-Anwendung automatisch über Reflection analysiert und bei Bedarf um verschiedene Funktionen erweitert. Au-ßerdem ist es Entwicklern in sogenannten Aspects möglich, die Abläufe an bestimmten Stellen der Programmausführung dynamisch zu verändern. Diese Stellen, sogenannte „cross-cutting concerns“, können beispielsweise genutzt werden, um während der Laufzeit zu prüfen, ob der jeweilige Benutzer überhaupt berechtigt ist, die aktuelle Aktion auszuführen.
• Ein weiteres Prinzip, das den meisten PHP-Entwicklern bisher noch neu vorkommen sollte, ist Domain Driven Design. Hierbei soll es den Entwicklern ermöglicht werden, sich auf die Umsetzung der jeweiligen Geschäftslogik zu konzentrieren. Nebenschauplätze wie Persistenz oder Sicherheit werden entweder automatisch von FLOW3 oder über AOP adressiert.
• Um die Speicherung von Objekten kümmert sich das eigens entwickelte Content Repository nach JSR-283 Standard. Hierbei erstellt der Entwickler ausschließlich PHP-Objekte mit entsprechender PHP-Dokumentation, ohne über XML oder YAML eine Konfiguration erstellen zu müssen. FLOW3 erkennt anhand der Klassenkonfiguration, den Attributen und Methoden sowie den dazugehörigen Dokumentationen automatisch alle zu speichernden Werte. Die Persistenz soll in Kürze in einem eigenem Beitrag genauer erläutert werden. Bereits vor seiner endgültigen Fertigstellung schlägt das TYPO3 Content Repository jedoch bereits Wellen: TYPO3 5.0 Core Entwickler Karsten Dambelkans wurde als Mitglied zum JSR-283-Standard-Ausschuss berufen – eine Ehre, die nur den Größten der Software-Szene zuteil wird.
• Während in herkömmlichen Anwendungen alle Abhängigkeiten innerhalb der Objekte selbst festgelegt werden, kann Dependency Injection dafür sorgen, dass starre Abhängigkeiten reduziert werden. FLOW3-Komponenten lassen sich so flexibel je nach Laufzeitumgebung und Konfiguration austauschen und so auf die situativen Umstände der Anwendung anpassen.

Um das Framework prinzipiell nutzen zu können, ist PHP Version 5.3 Pflicht. Dies liegt nicht zuletzt daran, dass FLOW3 bereits jetzt Namespaces nutzt, um seine Klassen zu ordnen. Zum jetzigen Zeitpunkt liegt diese Entscheidung Entwicklern noch relativ schwer im Magen, da noch keine Entwicklungsumgebungen existieren, die Namespaces direkt unterstützen.

Oben genannte Operationen sind jedoch relativ rechenintensiv, so dass ein zentrales Prinzip auch in FLOW3 und TYPO3 5.0 erhalten geblieben ist: das Caching. So werden alle Ergebnisse der Klassenanalyse und –erweiterung in einem Datenordner zwischengespeichert und so auf Performance optimiert. Trotzdem versprechen die Core-Entwickler auch in der ungecachten Verarbeitung noch deutliche Geschwindigkeitsverbesserungen. In diesem Zusammenhang konnte Robert Lemke jedoch gleich allen Zuhörern fünf Tipps auf den Weg geben, die bereits für TYPO3 4.x oftmals Geltung hatten:
1.    Immer die aktuellste Version !!!
2.    Cache leeren !!!
3.    Dokumentation lesen !!!
4.    Newsgroups durchsuchen !!!
5.    Es ist kein Fehler, sondern ein fehlendes Feature !!!

Insgesamt sieht FLOW3 (wie übrigens schon im vergangenen Jahr) sehr vielversprechend aus. Die Resonanz, die verschiedene Universitäten und sonstige Organisatoren zeigen, bestätigt dies. Bestehen bleiben jedoch einige Zweifel, ob es je zu einem Abschluss der Arbeiten kommt. Doch hier konnte Robert Entwarnung geben: Bereits Ende des Jahres sei mit einer stabilen Beta-Version oder gar einer ersten finalen Version des Frameworks zu rechnen. So dieser Zeitpunkt eingehalten werden kann, ist davon auszugehen, dass mit FLOW3 dann das wohl mächtigste PHP Anwendungs-Framework seiner Zeit auch aus dem Hause TYPO3 stammt.

morgen beginnt die Typo3 Convention 2008 in Berlin offiziell und bereits heute gibt es einiges zu sehen, denn heute stehen die Tutorials auf dem Plan. Wir sind mit zwei Personen auf der T3Con unterwegs und werden hier unsere Eindrücke und den einen oder anderen Beitrag kommentieren.

Am morgigen Freitag sind wir dann direkt selbst dran mit unserem Beitrag zum Thema Integration von Magento und TYPO3. Doch hierzu wird man später mehr lesen können.

Bis dahin - viele Grüße an alle Leser aus Berlin!

config {
  simulateStaticDocuments = 0
  baseURL = http://www.typo3-scout.de/
  tx_realurl_enable = 1
}

Nun hat man aber ein Problem, wenn man zeitgleich lokale Anker verwenden möchte. Die funktionieren nun nicht mehr korrekt. Eine einfache Konfiguration in TypoScript behebt aber auch dieses Problem. Man setzt einfach zusätzlich noch

prefixLocalAnchors = all

Eine dieser Funktionen ist substituteMarkerArrayCached. Sie dient dem vereinfachten Austausch von Markern, Subparts und sogenannten Wrapped Subparts. Marker lassen sich zugegebenermaßen auch über substituteMarkerArray, Subparts über substituteSubparts austauschen. Auf die Vorteile dieser Funktion werde ich im Nachfolgenden kurz eingehen.

Zunächst vermag sie, wie bereits angedeutet Wrapped Subparts auszutauschen (soweit ich das bisher gesehen habe, ist es überhaupt die einzige). Mit solchen Wrapped Subparts ist es möglich, Elemente im Template in durch PHP zu umrahmen, was sich inbesondere bei Verlinkungen auszahlen kann. Was das bedeutet, sollen folgende Codeschnipsel andeuten:

Nun lässt sich mit nachfolgendem Code bequem ein Link um das “Weitere Informationen” setzen:

Wie gezeigt werden im Gegensatz zu normalen Markern und Subparts nicht einzelne Inhalte, sondern jeweils zwei übergeben, die vor bzw. hinter dem Elemente eingefügt werden. Da substituteMarkerArrayCached nicht allzu verbreitet ist, wurde diese Funktionalität bisher relativ oft über die Kombination von getSubpart und substituteSubpart realisiert. Dies führt nicht zuletzt auch zu deutlich unübersichtlicherem und unlesbarerem Code.

Außerdem hilft die Funktion auch punktuell die Performance der Verarbeitung der Strings zu verbessern. Dies wird über Überprüfung und Caching des übergebenen Template-Code und den Daten-Arrays vor der Verarbeitung gewährleistet. Dies sollte sicher nicht überbewertet werden, kann sich bei konsequenter Anwendung aller Caching-Mechanismen jedoch auch positiv auswirken.

Insgesamt wird mit substituteMarkerArrayCached ein Werkzeug an die Entwicklerhand gegeben, die das Leben durchaus erleichtern kann. Ein genauerer Blick kann sich also durchaus lohnen!

PS: Wir sind durchaus offen für weitere vorstellungswürdige Funktionen, die in TYPO3 versteckt schlummern und auf ihre Nutzung warten.

Für ein einfaches An- bzw. Abschalten der runden Ecken bedienen wir uns des kaum genutzen (und in TYPO3 4.2 standardmässig deaktivierten) Rahmen-Feldes des ‘Text mit Bild’-Inhaltselements. Hierfür überschreiben wir nicht das tt_content.image Objekt direkt, sondern die Objekte tt_content.image.20.image_frames und tt_content.textpic.20.image_frames. Mit wenigen Zeilen TSConfig aktivieren wir schließlich das Feld und fügen einen neuen Eintrag hinzu.

TypoScript Setup:

TypoScript Constants:

TSConfig: