# allow\_url\_fopen - Sinnvoll?

**URL:** <https://forum.shopware.com/t/allow-url-fopen-sinnvoll/29185>\
**Category:** Installation/Einstieg\
**Created:** [28. Juli 2015 um 09:15 UTC](https://forum.shopware.com/t/allow-url-fopen-sinnvoll/29185 "2015-07-28T09:15:05Z")\
**Posts on this page:** 5\
**Page:** 1

<div class="post-metadata">

**Author:** ![mwhardware](https://avatars.discourse-cdn.com/v4/letter/m/b5ac83/32.png) [@mwhardware](https://forum.shopware.com/u/mwhardware)\
**Post date:** [28. Juli 2015 um 09:15 UTC](https://forum.shopware.com/t/allow-url-fopen-sinnvoll/29185/1 "2015-07-28T09:15:05Z")

</div>

Hallo zusammen, ich möchte mal wissen, in wie weit Shopware allow\_url\_fopen verwendet, da ich da gewisse Sicherheitsbedenken habe, diese Option auf dem Server zu aktivieren. Snd meine Bedenken unbegründet? Viele Grüße

---

<div class="post-metadata">

**Author:** ![Shopwareianer](https://avatars.discourse-cdn.com/v4/letter/s/b4bc9f/32.png) [@Shopwareianer](https://forum.shopware.com/u/Shopwareianer)\
**Post date:** [28. Juli 2015 um 10:47 UTC](https://forum.shopware.com/t/allow-url-fopen-sinnvoll/29185/2 "2015-07-28T10:47:44Z")

</div>

Wenn man entsprechende Input Filter korrekt einsetzt, gibt es eigentlich so erst einmal keinerlei Bedenken. Aber jeder User mit entsprechenden allow\_url\_fopen kann eben Dateien über sein Skript per remote abrufen/downloaden und Schadecode und/oder Schaden hinzufügen. Wenn du allerdings URLs holen möchtest sollte man hier auch anstatt allow\_url\_fopen curl verwenden. Somit kann man eigentlich allow\_url\_fopen deaktivieren und das Sicherheitsrisiko minimieren. Wofür brauchst du es?

---

<div class="post-metadata">

**Author:** ![mwhardware](https://avatars.discourse-cdn.com/v4/letter/m/b5ac83/32.png) [@mwhardware](https://forum.shopware.com/u/mwhardware)\
**Post date:** [28. Juli 2015 um 12:15 UTC](https://forum.shopware.com/t/allow-url-fopen-sinnvoll/29185/3 "2015-07-28T12:15:23Z")

</div>

Habe es standardmäßig deaktiviert. Shopware will es aktiviert haben, läuft aber auch ohne.

---

<div class="post-metadata">

**Author:** ![Shopwareianer](https://avatars.discourse-cdn.com/v4/letter/s/b4bc9f/32.png) [@Shopwareianer](https://forum.shopware.com/u/Shopwareianer)\
**Post date:** [28. Juli 2015 um 12:16 UTC](https://forum.shopware.com/t/allow-url-fopen-sinnvoll/29185/4 "2015-07-28T12:16:33Z")

</div>

[quote=“mwhardware”]Habe es standardmäßig deaktiviert. Shopware will es aktiviert haben, läuft aber auch ohne.[/quote] Kann sein, dass Shopware es für das automatische Update oder ähnl. benötigt. Bin mir da aber gerade nicht sicher.

---

<div class="post-metadata">

**Author:** ![DanielNogel](https://avatars.discourse-cdn.com/v4/letter/d/96bed5/32.png) [@DanielNogel](https://forum.shopware.com/u/DanielNogel)\
**Post date:** [29. Juli 2015 um 08:02 UTC](https://forum.shopware.com/t/allow-url-fopen-sinnvoll/29185/5 "2015-07-29T08:02:53Z")

</div>

Hi, in der Vergangenheit war es mit allow\_url\_fopen auch möglich, remote Skripte zu includen. Seit PHP 5.2.0 kann das über allow\_url\_include zusätzlich gesteuert werden (ist im Standard auch deaktiviert, also alles gut), so dass das davon unabhängig ist. [quote]Aber jeder User mit entsprechenden allow\_url\_fopen kann eben Dateien über sein Skript per remote abrufen/downloaden und Schadecode und/oder Schaden hinzufügen [/quote] Naja, wenn jemand Code auf deinem Server ausführen kann, hat der auch ohne allow\_url\_fopen alle Möglichkeiten, Unfug zu betreiben. Dann nimmt er halt Sockets oder Guzzle bzw. Curl oder sowas. Besten Gruß, Daniel