[FRAGE] PHP Seite in Lightboxstil öffnen?!

[meyersan]

Hallo zusammen,
ich weiß nicht genau in welche Kategorie meine Frage gehört deshalb habe ich mich für Allgemeines entschieden.
Nun aber zu meiner Frage und zwar habe ich 2 PHP Seiten (startseite.php und ueberuns.php).
Auf der startseite.php befindet sich ein button der einen zu der ueberuns.php seite weiterleitet. Nun würde sich ja die Seite ueberuns.php öffnen und die startseite.php wäre nicht mehr Sichtbar. Allerdings würde ich die ueberuns.php Seite gerne so öffnen das die startseite.php quasi im Hintergrund erhalten bleibt. Sich also der Bildschirm abdunkelt und der Inhalt der geöffneten Seite (ueberuns.php) zusehen ist. Quasi wie bei der Lightbox. Versucht zu realisieren habe ich das ganz schon mit php include nur das klappt nicht ganz so wie ich das erhofft hatte, denn dadurch wurde man zu dem Beginn der Seite geleitet und blieb nicht an der Stelle wo man gerade hingescrollt hatte.
Wichtig ist aber auch das in der URL nach dem drücken des Buttons ueberuns.php ist, und nicht noch startseite.php bleibt. Ist das vielleicht mit einem jquery Plugin bzw. Javascript machbar? Ich glaube das ich das mal bei Instagram gesehen habe, also die Desktopseite wenn man ein Bild öffnet das das passiert was ich gerade erklärt habe.
Ich hoffe man kann mir helfen und ich habe mich verständlich ausgedrückt.
Vielen dank schonmal vorab.

 

[j-l-n]

Einige Frameworks unterstützten HTML innerhalb der Lightbox, beispielsweise Fancybox - Fancy jQuery lightbox alternative.
Zum zweiten Punkt: javascript - Modify the URL without reloading the page - Stack Overflow
@all: hat da irgendjemand schon einmal etwas ausprobiert oder weiß näheres dazu? Das schreit mir ja geradezu nach Phishing, wenn man jetzt mit JavaScript die URL ohne Weiterleitung ändern kann...

 

[mikdoe]

In dem Stack Artikel scheint man sich nicht so ganz einig zu sein, was da jetzt geht und was nicht. Scheint sich auf die Manipulation der History List herauszulaufen. Keine Ahnung, müsste man wirklich mal testen.

 

[Sempervivum]

hat da irgendjemand schon einmal etwas ausprobiert

Ja, ich wende es an und habe mich dabei auch an Stackoverflow orientiert, weiß aber nicht genau, ob es derselbe Thread war.

       var u = window.location.href;
        u = u.replace(/\?id=.*$/, '');
        u = u + '?id=' + slide.id;
        var t = '';
        t = t + slide.getAttribute("data-title")
        window.history.pushState("", t, u); ;
        document.title = t;

Ändern der Adresszeile funktioniert, Ändern des Title dagegen nicht.
Manche Lightbox- und Slideshow-Plugins ändern ebenfalls die Adresszeile, aber ich weiß nicht, wie es dort realisiert ist.

 

[j-l-n]

Geht damit dann auch das Ändern der Domain? Das könnte ich dann nämlich irgendwie nicht ganz nachvollziehen, warum das erlaubt ist...
PS: hat es einen Grund, dass du keine aussagekräftigen Variablennamen verwendest?

 

[Sempervivum]

Geht damit dann auch das Ändern der Domain?

Habe ich nicht ausprobiert. Stimme aber zu, dass das ein großes Risiko sein kann und nicht erlaubt sein sollte. Die Frage des TO verstehe ich aber so, dass beide Seiten auf der selben Domain liegen.

 

[kkapsner]

Einige Frameworks unterstützten HTML innerhalb der Lightbox

Hier wäre ein <iframe>, meiner Meinung nach, geschickter.

Geht damit dann auch das Ändern der Domain?

Nein, das wird vom Browser blockiert.

 

[j-l-n]

OK, wenigstens etwas. Wobei ich auch so ein Sicherheitsrisiko sehe - ich nehme als Beispielszenario einmal eine Facebook-Page: dort können Unterseiten mit benutzerdefiniertem HTML, beispielsweise eine Webapp oder ein Gewinnspiel erstellt werden. Nun könnte per JavaScript die URL in facebook.com/login geändert werden und eine Aufforderung angezeigt werden, sich aus irgendeinem Grund neu anzumelden. Die Logindaten werden dann an einen Server geschickt - der Account ist erfolgreich gekapert...

 

[kkapsner]

mit benutzerdefiniertem HTML

Sind da bei FB wirklich auch beliebige <script>-Tags erlaubt? Ich denke mal, dass die da irgendwie filtern/validieren. Sonst könntest du ja auch extrem einfach eine Session übernehmen.

 

[j-l-n]

Sonst könntest du ja auch extrem einfach eine Session übernehmen.

Ich denke mal, dem steht doch die SOP im Weg, da die Inhalte von einer anderen Seite eingebunden werden.
https://apps.facebook.com/static_html_plus/

 

[kkapsner]

Dann kannst du auch die URL nicht in facebook.com/login ändern.

 

[j-l-n]

Ja, ich hatte auch meine Zweifel daran. Nichtsdestotrotz halte ich diese Phishing-Methode für ziemlich gefährlich - denn schließlich befindet man sich dennoch auf Facebook und so ein Anmeldefenster mit entsprechendem Aussehen lässt sich meines Erachtens sehr leicht nachmachen; die meisten Nutzer würden vermutlich darauf hereinfallen...

 

[kkapsner]

denn schließlich befindet man sich dennoch auf Facebook

Das tust du aber auch, wenn du die URL nicht änderst.

 

[j-l-n]

Das tust du aber auch, wenn du die URL nicht änderst.

Ja, das ist hier eigentlich sogar relativ egal - wenn auf Facebook ein Loginfenster erscheint, würde ich vermutlich auch erst mal davon ausgehen, dass es "echt" ist...

 

[kkapsner]

würde ich vermutlich auch erst mal davon ausgehen, dass es "echt" ist...

Aber nur, wenn das alles genauso, wie beim echten Login aussieht. Sonst würde ich da erstmal überprüfen, was da genau nachfragt...