Die Arbeit mit TYPO3 sollte nun deutlich performanter werden, da das Caching-Framework nun per default in der neuen TYPO3-Instanz aktiviert ist und für mehr Leistung sorgt. Dies geschieht durch unmittelbaren Zugriff des TYPO3-Cores auf den Cache. Diese Standardisierung ermöglicht Entwicklern einfachere Optimierungsvorgänge. Die Systemextensions Extbase und Fluid wurden aktualisiert und verbessert, der neue XLIFF-Standard soll die Übersetzungsarbeit deutlich erleichtern. Interessant für Redakteure wird auch die Arbeit mit dem neuen Formular Inhaltselement. Dieses soll eine Formularerstellung mittels Drag & Drop sowie WYSIWYG-Editor ermöglichen und somit die Arbeit im Backend weiter erleichtern.

Trotz der gewohnten Betonung auf Rückwärtskompatibilität wird empfohlen die standardmäßig installierten Extensions saltedpasswords und rsaauth bei Updates manuell zu installieren, da sonst Komplikationen auftreten könnten. Ebenso sollte beachtet werden, dass mit dem Erscheinen von TYPO3 4.6 auch der Support zu TYPO3 4.3 beendet wird.

Für weitere Informationen sollten wie immer die Release Notes beachtet werden.

Neben den Ankündigungen, dass typo3.org bald in einem neuen Gewand präsentiert wird und eine neue Version von TYPO3 4.6 erscheint, stand natürlich vor allem die Bekanntmachung des Startes von FLOW3 für den 20.Oktober diesen Jahres durch Chefentwickler Robert Lemke im Mittelpunkt. Flagbit konnte sich auf einer FLOW3-Schulung in Zürich vor kurzem über die Möglichkeiten des mächtigen Frameworks informieren, daher sind wir sehr auf den Start von FLOW3 gespannt. Dies war dementsprechend das meistdiskutierte Thema bei den vielen Gesprächen mit Fachleuten aus der CMS-Welt im Rahmen der T3CON. Ebenso wurde das unter dem Codenamen “Phoenix” entwickelte und auf FLOW3 basierende TYPO3 5.0 von vielen Speakern aufgegriffen und anschließend unter den Teilnehmern kontrovers besprochen. Doch auch sonst gab es wieder einige nette Gelegenheiten mit anderen Entwicklern und TYPO3-Interessierten ins Gespräch zu kommen und sich mit Gleichgesinnten auszutauschen.

In der entspannten Atmosphäre des Social Events sorgte dann passenderweise “Phoenix Disco” für die musikalische Untermalung, die bereits letztes Jahr auf der T3CON11 vertreten waren. Wir danken den Organisatoren für ein tolles Event für das wir im Verhältnis gar nicht so weit fahren mussten und freuen uns bereits auf nächstes Jahr!

• Installationstool sichern: Das Installationstool sollte nach Gebrauch entweder deaktiviert oder gleich das ganze Verzeichnis entfernt werden. Alternativ kann man auch den Zugriff per .htacess auf bestimmte Hosts, Netzwerke oder Domains beschränken.
• Admin Password/Namen: Was auch für andere Netzwerke gilt, sollte auch bei der Verwaltung von TYPO3-Instanzen gelten: Das Admin-Password sollte sofort nach der Einrichtung geändert werden. Noch sicherer wird das ganz natürlich, wenn der default-Admin durch neue, personalisierte Admin-Nutzer ersetzt wird.
• Keine Demo Packages für Live-Systeme nutzen: Diese Packages sind wie der Name eigentlich schon sagt nur zum Testen gedacht.
• Rechtevergabe im Datei System: Beachten, wer welche Rechte bekommt, lieber sparsam verteilen. Auf jeden Fall User Accounts kein Schreibrecht auf Webservern geben.
• Unnötigen Code und Extensions entfernen: Wirklich nur das lassen, was wirklich gebraucht wird, um keine unnötige Angriffsfläche zu bieten.
• Sicherheitsoptionen: TYPO3 bietet einige Sicherheitsoptionen. Hier sind nur wenige allgemeingültige Aussagen möglich (bspw sollte in jedem Falle der der EncryptionKey gesetzt werden), je nach System sind aber unterschiedliche Parameter hilfreich.

Mit rechtzeitigen Updates halten Sie Ihr TYPO3 vor Angriffen verschlossen.

Das Kochbuch hält noch weitere Tipps parat, aber die hier genannten sind auf jeden Fall die wichtigsten, um für ausreichende Sicherheit im TYPO3-System zu sorgen.

Um auf eventuelle Angriffe reagieren zu können ist es des Weiteren natürlich wichtig, immer Backups zu erstellen, am besten vom kompletten System, aber zumindest von allen Dateien im root. Ebenso sollten die Logs gespeichert werden, um eventuelle Schwachstellen zu erkennen und den oder die Angreifer ausfindig machen zu können.

Sofern es tatsächlich mal zu einem Angriff kommt und Sie erkennen diesen, sollten die betroffenen Webseiten oder gar die ganzen Server vom Netz genommen werden, bevor sich Viren und Co. noch weiter verbreiten. Danach kann in Ruhe eine saubere Version eingespielt werden. Mit den mitgespeicherten Logs kann man den Angriff analysieren. Viel wichtiger als das Erkennen der Angreifer ist dabei das Erkennen der Schwachstellen. Liegt diese im TYPO3 Core oder bei Extensions, sollte in jedem Falle das TYPO3 Security Team informiert werden.

Umso mehr freut es uns, dass Steffen Heim ein positives Fazit für die Projekte gezogen hat. Vor allem Übserichtlichkeit und Bedienbarkeit hebt er als gelungen hervor. Allerdings zeigt er auch noch 1,2 Verbesserungsmöglichkeiten gerade im Bereich mobile Seiten auf, die wir für dieses und weitere Projekte in der Zukunft natürlich im Hinterkopf behalten werden.

Der Grund für den nun auftretenden Fehler ist ein deutlich vorgezogenes Starten der PHP-Session, wenn ein Benutzer eingeloggt ist. Dieses vorgezogene Starten der Session war für das Beheben der Sicherheitslücke entscheidend. Die Fehlermeldung, welche ein Webseiten-Besucher zu sehen bekommt ist die Folgende:

Fatal error: Mage_Core_Model_Session_Abstract::getMessages() [mage-core-model-session-abstract.getmessages]: The script tried to execute a method or access a property of an incomplete object. Please ensure that the class definition "Mage_Core_Model_Message_Collection" of the object you are trying to operate on was loaded _before_ unserialize() gets called or provide a __autoload() function to load the class definition in /.../magento/app/code/core/Mage/Core/Model/Session/Abstract.php on line 215

Der Fehler tritt auf, weil TypoGento für das Laden von Magento-Klassen den Magento-Autoloader entfernt und gegen einen eigenen Autoloader ersetzt. Dass passiert bei Rendern des Plugin-Codes.

TypoGento- Logo

Magento speichert PHP-Objekte serialisiert in der Session. Wenn die Session gestartet wird, werden diese Objekte wieder deserialisiert. Das klappt aber nur, wenn der Autoloader von TypoGento bereits registriert ist. Bisher war das der Fall. In den neueren TYPO3-Versionen wird die Session aber deutlich früher wieder hergestellt und der Autoloader ist noch nicht ausgetauscht bzw. registriert. Somit kommt es zu der o.g. Fehlermeldung.

Um mit dem geändertem Session-Handling umgehen zu können, haben wir einige Punkte in TypoGento refactored. Allerdings wird TypoGento nun nur noch mit TYPO3 4.3 und neuer funktionieren. Wer einen ersten Entwicklungsstand ausprobieren möchte, kann sich auf GitHub (https://github.com/Flagbit/TypoGento) den Branch “beta” downloaden. Für Feedback sind wir selbstverständlich dankbar.

Betroffen sind im Übrigen die TYPO3-Versionenen 4.3.12 und neuer, 4.4.9 und neuer sowie 4.5.4 und neuer. Somit sind also auch alle aktuellen TYPO3-Versionen betroffen.

Es wird also höchste Zeit, sich mit den Neuerungen dieser Version zu beschäftigen. Nachdem die aktuelle Version TYPO3 4.5 unter dem Fokus größtmöglicher Kompatibilität entwickelt wurde, wird mit der Version 4.6 eine Vielzahl dieser Altlasten aufgegeben und somit der Prozess für die Entwicklung neuer Features vereinfacht. Auf die geplanten Änderungen für die Version 4.6 bin ich bereits in einem älterem Artikel eingegangen.

Nun ist die Entwicklung schon viel weiter und man kann Bilanz ziehen, welche Änderungen uns nun wirklich in der neuen Version erwarten:

PHP >5.3 benötigt

Für die meisten wird die einschneidenste Änderung wohl die Aufgabe der Unterstützung von PHP-Versionen kleiner 5.3 und den damit ebenfalls aufgegebenen Support für Safe Mode sein. Wer noch eine ältere Version von PHP einsetzt, wird somit nicht auf TYPO3 4.6 updaten können.

Ebenso wurde der Support für ältere Image Magick Versionen aufgegeben. TYPO3 rendert nun nur noch Bilder mit der aktuellen ImageMagick Version 6 oder mit GraphicsMagick.

XLIFF

Weiterhin wurde das locallang-Konstrukt für die Lokalisierungen im Core abgelöst. In TYPO3 4.6 kommt nun XML Localization Interchange File Format, kurz XLIFF, zum Einsatz. XLIFF ist ein unabhängig von TYPO3 entwickelter Standard zur Darstellung hierarchisch strukturierter Daten von Übersetzungsprogrammen. In FLOW3 werden die Übersetzungen bereits mit XLIFF gehandhabt, so dass die Implementierung von dort nun als Backport im TYPO3 4.x Core zu finden ist.

Selbstverständlich kann und sollte XLIFF nun auch in TYPO3 Extensions verwendet werden, obgleich die alten Techniken vorerst schon noch funktionieren. Für den einfachen Umstieg auf das neue Format ist ein Converter in Planung.

Neues Form Content Object

Eine weitere auffällige Neuerung ist das neue FORM-cObject. Es ermöglicht auf möglichst einfache Weise unter Verwendung vielfältiger JavaScript-Funktionen sich ein Formular per Drag-n-Drop zusammen zu stellen. Dabei sieht der Redakteur sofort, wie sein Formular später aussehen wird. Somit lassen sich auch von Redakteuren relativ komplexe Formulare einfach realisieren.

Performance-Verbesserungen

Zusätzlich werden einige Performance-Verbesserungen Einzug in TYPO3 4.6 halten. So werden nun Fluid-Templates in PHP-Dateien kompiliert. Außerdem ist das neue Caching-Framework, welches mit TYPO3 4.3 eingeführt wurde, nun immer aktiviert. Früher musste dieses noch explizit aktiviert werden.

Aber auch im Backend sollen verschiedene Neuerungen die Performance optimieren. So sind z.B. nun alle JavaScript und CSS-Dateien zu einer großen Datei zusammengefügt, was die Anzahl der Page-Requests im Backend stark reduziert. Fürs Frontend kann eine entsprechende Mergefunktion nun ebenfalls aktiviert werden.

Sonstiges

Letzlich gibt es wie immer noch viele kleine Gimmicks, welche das Leben mit TYPO3 einfacher machen. So muss nun der Administrator nun nicht mehr die Datei “ENABLE_INSTALL_TOOL” anlegen, wenn er das Install-Tool aus dem Backend heraus aufruft. Dies erledigt nun das Backend-Modul vollkommen automatisch.

Außerdem wird nun beim Berechnen der Zeit, bis wann eine Seite im Cache landen soll, die Start- und Stop-Zeit von Inhaltslementen beachtet. Dies lässt Extensions wie Cache Expire überflüssig werden.

Und zu guter letzt gibt es auch noch ein paar neue Features für stdWrap. So steht nun zum Beispiel .round zu verfügung, um Zahlen zu runden. Und mit .hash lassen sich nun mit TypoScript Hashes berechnen.

Wer eine komplette Liste der Änderungen einsehen möchte, kann auch noch einmal im Wiki und auf der Projekt-Webseite nachlesen.

Acht lange Monate waren seit dem letzten offiziellen Alpha Release vergangen, doch die Zeit wurde wohl gut genutzt. Knapp 1500 Überarbeitungen hat das 17-köpfigen Entwicklerteam in dieser Zeit umgesetzt. Neben einer stabilen API stehen hauptsächlich die neu entwickelten Features im Mittelpunkt. Dabei wird vor allem die Fähigkeit, Proxy-Klassen aus dem Quelltext zu erstellen, das ORM-System Doctrine 2 sowie die verbesserte Kommandozeile hervorgehoben. Viele der Änderungen wurden aufgrund der zahlreichen Rückmeldungen vieler Entwickler umgesetzt, die das Framework bereits einsetzten.

Mit einer überarbeiteten Doku und einem neuen Tutorial soll die Anzahl an aktiven FLOW3-Instanzen deutlich gesteigert werden. Abwärtskompatibilität sowie ständige Aktualisierung, rücken nun ebenfalls in den Fokus, womit talentierten Entwicklern „das Basteln“ mit FLOW3 auch für größere Projekte schmackhaft gemacht werden soll. Die Funktionalität ist bereits auf einem sehr hohen Stand, doch die Leistungsfähigkeit muss natürlich ebenso noch verbessert wie auch zahlreiche Fehler aus dem Code entfernt werden.

Die Beta 2 wurde auch gleich angekündigt und soll bereits in zwei Wochen vorgestellt werden. Doch die Beta  1 sollte ja auch schon ein bisschen früher das Licht der Welt erblicken.

Downlad der Beta-Version.

Bei den auf pibase basierenden Extensions ist eine Einbindung über TypoScript einfach:

lib.myMarker < plugin.tx_extensionkey_piX

Bei Extensions, die auf Extbase basieren, ist die Einbindung nicht ganz so simpel möglich. Wer die Ausgabe einer Extbase-Extension über TypoScript einbinden möchte, muss dies über eine user function machen, welche aber nicht selbst geschrieben werden muss. Extbase liefert die entsprechende Funktion bereits mit. Die userFunc ist “tx_extbase_core_bootstrap->run”.
Dieser UserFunc muss man dann noch über entsprechende Parameter mitgeben, welchen Controller und welche Action aus welcher Extension ausgegeben werden sollen. Das komplette Code-Snipped schaut dann wie folgt aus: (Wichtig: Groß-/Kleinschreibung beachten.)

10 = USER
10 {
    userFunc = tx_extbase_core_bootstrap->run
    pluginName = PiX
    extensionName = ExtKeyInCamelCase
    controller = Controllername
    action = actionname
    switchableControllerActions {
        Controllername {
            1 = actionname
        }
    }

    settings =< plugin.tx_ffndbn.settings
    persistence =< plugin.tx_ffndbn.persistence
    view =< plugin.tx_ffndbn.view
}

Natürlich funktioniert das ganze nur, wenn in der ext_localconf.php der Extension die Konfiguration über “Tx_Extbase_Utility_Extension::configurePlugin” korrekt und vollständig erfogt ist.

Unser Eindruck von dem Programm wurde durch die Schulung bestätigt, XOVI ist ein sehr interessantes Tool mit einigen netten Features. Die umfassende Ranking- und Backlink-Analyse steht dabei im Vordergrund, auch der OnPage-Bereich kann mittlerweile gut untersucht werden, so wirdbeispielsweise schnell und übersichtlich die für SEO grundlegende HTML-Programmierung auf etwaige Fehler untersucht. Auch sollte man erwähnen, dass die Übersichtlichkeit für ein Programm mit einer so großen Anzahl von Features sehr gut ist, auch die Usability ist mehr als passabel. Als Herstück des Programmes ist der OVI-Sichtbarkeitsindex konzipiert, der in Konkurrenz zum ungleich bekannteren Sistrix Sichtbarkeitsindex treten soll.

Dennoch benötigt XOVI wohl noch einige Entwicklungsarbeit, bis man diesen Effekt erreichen kann. Auch im Rahmen der Schulung wurde klar, dass einige Features noch nicht wirklich valide Aussagen geben und andere wiederum auch noch ein paar kleine Kinderkrankheiten ausheilen müssen. Doch wie Alexander Unsöld ankündigte, gibt es einen klaren Plan, diese Fehler nach und nach zu verbessern.
Wir werden auch in Zukunft XOVI einsetzen, um einen schnellen und aussagekräftigen Überblick über die SEO-/SEM-Daten der für uns relvanten Seiten zu gewinnen und können seit gestern nun noch den ein oder anderen Aspekt umfangreicher beleuchten. Zudem sind wir gespannt auf die weitere Entwicklung des Programmes und hoffen, dass sich dieses weiterhin stetig verbessert.