index.php

   1 <?php
   2 /**
   3  * @file index.php
   4  * Friendica
   5  */
   6
   7 /**
   8  * Bootstrap the application
   9  */
  10
  11 use Friendica\App;
  12 use Friendica\BaseObject;
  13 use Friendica\Core\System;
  14 use Friendica\Core\Config;
  15 use Friendica\Core\Worker;
  16 use Friendica\Database\DBM;
  17
  18 require_once 'boot.php';
  19
  20 if (empty($a)) {
  21         $a = new App(__DIR__);
  22 }
  23 BaseObject::setApp($a);
  24
  25 // We assume that the index.php is called by a frontend process
  26 // The value is set to "true" by default in boot.php
  27 $a->backend = false;
  28
  29 /**
  30  * Load the configuration file which contains our DB credentials.
  31  * Ignore errors. If the file doesn't exist or is empty, we are running in
  32  * installation mode.
  33  */
  34
  35 $install = ((file_exists('.htconfig.php') && filesize('.htconfig.php')) ? false : true);
  36
  37 // Only load config if found, don't surpress errors
  38 if (!$install) {
  39         include ".htconfig.php";
  40 }
  41
  42 /**
  43  * Try to open the database;
  44  */
  45
  46 require_once "include/dba.php";
  47
  48 if (!$install) {
  49         dba::connect($db_host, $db_user, $db_pass, $db_data, $install);
  50         unset($db_host, $db_user, $db_pass, $db_data);
  51
  52         /**
  53          * Load configs from db. Overwrite configs from .htconfig.php
  54          */
  55
  56         Config::load();
  57
  58         if ($a->max_processes_reached() || $a->maxload_reached()) {
  59                 header($_SERVER["SERVER_PROTOCOL"] . ' 503 Service Temporarily Unavailable');
  60                 header('Retry-After: 120');
  61                 header('Refresh: 120; url=' . System::baseUrl() . "/" . $a->query_string);
  62                 die("System is currently unavailable. Please try again later");
  63         }
  64
  65         if (Config::get('system', 'force_ssl') && ($a->get_scheme() == "http")
  66                 && (intval(Config::get('system', 'ssl_policy')) == SSL_POLICY_FULL)
  67                 && (substr(System::baseUrl(), 0, 8) == "https://")
  68         ) {
  69                 header("HTTP/1.1 302 Moved Temporarily");
  70                 header("Location: " . System::baseUrl() . "/" . $a->query_string);
  71                 exit();
  72         }
  73
  74         require_once 'include/session.php';
  75         load_hooks();
  76         call_hooks('init_1');
  77
  78         $maintenance = Config::get('system', 'maintenance');
  79 }
  80
  81 $lang = get_browser_language();
  82
  83 load_translation_table($lang);
  84
  85 /**
  86  * Important stuff we always need to do.
  87  *
  88  * The order of these may be important so use caution if you think they're all
  89  * intertwingled with no logical order and decide to sort it out. Some of the
  90  * dependencies have changed, but at least at one time in the recent past - the
  91  * order was critical to everything working properly
  92  */
  93
  94 // Exclude the backend processes from the session management
  95 if (!$a->is_backend()) {
  96         $stamp1 = microtime(true);
  97         session_start();
  98         $a->save_timestamp($stamp1, "parser");
  99 } else {
 100         Worker::executeIfIdle();
 101 }
 102
 103 /**
 104  * Language was set earlier, but we can over-ride it in the session.
 105  * We have to do it here because the session was just now opened.
 106  */
 107 if (x($_SESSION, 'authenticated') && !x($_SESSION, 'language')) {
 108         // we didn't loaded user data yet, but we need user language
 109         $r = dba::select('user', array('language'), array('uid' => $_SESSION['uid']), array('limit' => 1));
 110         $_SESSION['language'] = $lang;
 111         if (DBM::is_result($r)) {
 112                 $_SESSION['language'] = $r['language'];
 113         }
 114 }
 115
 116 if ((x($_SESSION, 'language')) && ($_SESSION['language'] !== $lang)) {
 117         $lang = $_SESSION['language'];
 118         load_translation_table($lang);
 119 }
 120
 121 if ((x($_GET, 'zrl')) && (!$install && !$maintenance)) {
 122         // Only continue when the given profile link seems valid
 123         // Valid profile links contain a path with "/profile/" and no query parameters
 124         if ((parse_url($_GET['zrl'], PHP_URL_QUERY) == "")
 125                 && strstr(parse_url($_GET['zrl'], PHP_URL_PATH), "/profile/")
 126         ) {
 127                 $_SESSION['my_url'] = $_GET['zrl'];
 128                 $a->query_string = preg_replace('/[\?&]zrl=(.*?)([\?&]|$)/is', '', $a->query_string);
 129                 zrl_init($a);
 130         } else {
 131                 // Someone came with an invalid parameter, maybe as a DDoS attempt
 132                 // We simply stop processing here
 133                 logger("Invalid ZRL parameter ".$_GET['zrl'], LOGGER_DEBUG);
 134                 header('HTTP/1.1 403 Forbidden');
 135                 echo "<h1>403 Forbidden</h1>";
 136                 killme();
 137         }
 138 }
 139
 140 /**
 141  * For Mozilla auth manager - still needs sorting, and this might conflict with LRDD header.
 142  * Apache/PHP lumps the Link: headers into one - and other services might not be able to parse it
 143  * this way. There's a PHP flag to link the headers because by default this will over-write any other
 144  * link header.
 145  *
 146  * What we really need to do is output the raw headers ourselves so we can keep them separate.
 147  */
 148
 149 // header('Link: <' . System::baseUrl() . '/amcd>; rel="acct-mgmt";');
 150
 151 if (x($_COOKIE["Friendica"]) || (x($_SESSION, 'authenticated')) || (x($_POST, 'auth-params')) || ($a->module === 'login')) {
 152         require "include/auth.php";
 153 }
 154
 155 if (! x($_SESSION, 'authenticated')) {
 156         header('X-Account-Management-Status: none');
 157 }
 158
 159 /* set up page['htmlhead'] and page['end'] for the modules to use */
 160 $a->page['htmlhead'] = '';
 161 $a->page['end'] = '';
 162
 163
 164 if (! x($_SESSION, 'sysmsg')) {
 165         $_SESSION['sysmsg'] = array();
 166 }
 167
 168 if (! x($_SESSION, 'sysmsg_info')) {
 169         $_SESSION['sysmsg_info'] = array();
 170 }
 171
 172 // Array for informations about last received items
 173 if (! x($_SESSION, 'last_updated')) {
 174         $_SESSION['last_updated'] = array();
 175 }
 176 /*
 177  * check_config() is responsible for running update scripts. These automatically
 178  * update the DB schema whenever we push a new one out. It also checks to see if
 179  * any plugins have been added or removed and reacts accordingly.
 180  */
 181
 182 // in install mode, any url loads install module
 183 // but we need "view" module for stylesheet
 184 if ($install && $a->module!="view") {
 185         $a->module = 'install';
 186 } elseif ($maintenance && $a->module!="view") {
 187         $a->module = 'maintenance';
 188 } else {
 189         check_url($a);
 190         check_db(false);
 191         check_plugins($a);
 192 }
 193
 194 nav_set_selected('nothing');
 195
 196 //Don't populate apps_menu if apps are private
 197 $privateapps = Config::get('config', 'private_addons');
 198 if ((local_user()) || (! $privateapps === "1")) {
 199         $arr = array('app_menu' => $a->apps);
 200
 201         call_hooks('app_menu', $arr);
 202
 203         $a->apps = $arr['app_menu'];
 204 }
 205
 206 /**
 207  * We have already parsed the server path into $a->argc and $a->argv
 208  *
 209  * $a->argv[0] is our module name. We will load the file mod/{$a->argv[0]}.php
 210  * and use it for handling our URL request.
 211  * The module file contains a few functions that we call in various circumstances
 212  * and in the following order:
 213  *
 214  * "module"_init
 215  * "module"_post (only called if there are $_POST variables)
 216  * "module"_afterpost
 217  * "module"_content - the string return of this function contains our page body
 218  *
 219  * Modules which emit other serialisations besides HTML (XML,JSON, etc.) should do
 220  * so within the module init and/or post functions and then invoke killme() to terminate
 221  * further processing.
 222  */
 223
 224 if (strlen($a->module)) {
 225
 226         /**
 227          * We will always have a module name.
 228          * First see if we have a plugin which is masquerading as a module.
 229          */
 230
 231         // Compatibility with the Android Diaspora client
 232         if ($a->module == "stream") {
 233                 $a->module = "network";
 234         }
 235
 236         // Compatibility with the Firefox App
 237         if (($a->module == "users") && ($a->cmd == "users/sign_in")) {
 238                 $a->module = "login";
 239         }
 240
 241         $privateapps = Config::get('config', 'private_addons');
 242
 243         if (is_array($a->plugins) && in_array($a->module, $a->plugins) && file_exists("addon/{$a->module}/{$a->module}.php")) {
 244                 //Check if module is an app and if public access to apps is allowed or not
 245                 if ((!local_user()) && plugin_is_app($a->module) && $privateapps === "1") {
 246                         info(t("You must be logged in to use addons. "));
 247                 } else {
 248                         include_once "addon/{$a->module}/{$a->module}.php";
 249                         if (function_exists($a->module . '_module')) {
 250                                 $a->module_loaded = true;
 251                         }
 252                 }
 253         }
 254
 255         /**
 256          * If not, next look for a 'standard' program module in the 'mod' directory
 257          */
 258
 259         if ((! $a->module_loaded) && (file_exists("mod/{$a->module}.php"))) {
 260                 include_once "mod/{$a->module}.php";
 261                 $a->module_loaded = true;
 262         }
 263
 264         /**
 265          * The URL provided does not resolve to a valid module.
 266          *
 267          * On Dreamhost sites, quite often things go wrong for no apparent reason and they send us to '/internal_error.html'.
 268          * We don't like doing this, but as it occasionally accounts for 10-20% or more of all site traffic -
 269          * we are going to trap this and redirect back to the requested page. As long as you don't have a critical error on your page
 270          * this will often succeed and eventually do the right thing.
 271          *
 272          * Otherwise we are going to emit a 404 not found.
 273          */
 274
 275         if (! $a->module_loaded) {
 276                 // Stupid browser tried to pre-fetch our Javascript img template. Don't log the event or return anything - just quietly exit.
 277                 if ((x($_SERVER, 'QUERY_STRING')) && preg_match('/{[0-9]}/', $_SERVER['QUERY_STRING']) !== 0) {
 278                         killme();
 279                 }
 280
 281                 if ((x($_SERVER, 'QUERY_STRING')) && ($_SERVER['QUERY_STRING'] === 'q=internal_error.html') && isset($dreamhost_error_hack)) {
 282                         logger('index.php: dreamhost_error_hack invoked. Original URI =' . $_SERVER['REQUEST_URI']);
 283                         goaway(System::baseUrl() . $_SERVER['REQUEST_URI']);
 284                 }
 285
 286                 logger('index.php: page not found: ' . $_SERVER['REQUEST_URI'] . ' ADDRESS: ' . $_SERVER['REMOTE_ADDR'] . ' QUERY: ' . $_SERVER['QUERY_STRING'], LOGGER_DEBUG);
 287                 header($_SERVER["SERVER_PROTOCOL"] . ' 404 ' . t('Not Found'));
 288                 $tpl = get_markup_template("404.tpl");
 289                 $a->page['content'] = replace_macros(
 290                         $tpl,
 291                         array(
 292                         '$message' =>  t('Page not found.'))
 293                 );
 294         }
 295 }
 296
 297 /**
 298  * Load current theme info
 299  */
 300 $theme_info_file = "view/theme/".current_theme()."/theme.php";
 301 if (file_exists($theme_info_file)) {
 302         require_once $theme_info_file;
 303 }
 304
 305
 306 /* initialise content region */
 307
 308 if (! x($a->page, 'content')) {
 309         $a->page['content'] = '';
 310 }
 311
 312 if (!$install && !$maintenance) {
 313         call_hooks('page_content_top', $a->page['content']);
 314 }
 315
 316 /**
 317  * Call module functions
 318  */
 319
 320 if ($a->module_loaded) {
 321         $a->page['page_title'] = $a->module;
 322         $placeholder = '';
 323
 324         if (function_exists($a->module . '_init')) {
 325                 call_hooks($a->module . '_mod_init', $placeholder);
 326                 $func = $a->module . '_init';
 327                 $func($a);
 328         }
 329
 330         if (function_exists(str_replace('-', '_', current_theme()) . '_init')) {
 331                 $func = str_replace('-', '_', current_theme()) . '_init';
 332                 $func($a);
 333         }
 334
 335         if (($_SERVER['REQUEST_METHOD'] === 'POST') && (! $a->error)
 336                 && (function_exists($a->module . '_post'))
 337                 && (! x($_POST, 'auth-params'))
 338         ) {
 339                 call_hooks($a->module . '_mod_post', $_POST);
 340                 $func = $a->module . '_post';
 341                 $func($a);
 342         }
 343
 344         if ((! $a->error) && (function_exists($a->module . '_afterpost'))) {
 345                 call_hooks($a->module . '_mod_afterpost', $placeholder);
 346                 $func = $a->module . '_afterpost';
 347                 $func($a);
 348         }
 349
 350         if ((! $a->error) && (function_exists($a->module . '_content'))) {
 351                 $arr = array('content' => $a->page['content']);
 352                 call_hooks($a->module . '_mod_content', $arr);
 353                 $a->page['content'] = $arr['content'];
 354                 $func = $a->module . '_content';
 355                 $arr = array('content' => $func($a));
 356                 call_hooks($a->module . '_mod_aftercontent', $arr);
 357                 $a->page['content'] .= $arr['content'];
 358         }
 359
 360         if (function_exists(str_replace('-', '_', current_theme()) . '_content_loaded')) {
 361                 $func = str_replace('-', '_', current_theme()) . '_content_loaded';
 362                 $func($a);
 363         }
 364 }
 365
 366 /*
 367  * Create the page head after setting the language
 368  * and getting any auth credentials.
 369  *
 370  * Moved init_pagehead() and init_page_end() to after
 371  * all the module functions have executed so that all
 372  * theme choices made by the modules can take effect.
 373  */
 374
 375 $a->init_pagehead();
 376
 377 /*
 378  * Build the page ending -- this is stuff that goes right before
 379  * the closing </body> tag
 380  */
 381 $a->init_page_end();
 382
 383 // If you're just visiting, let javascript take you home
 384 if (x($_SESSION, 'visitor_home')) {
 385         $homebase = $_SESSION['visitor_home'];
 386 } elseif (local_user()) {
 387         $homebase = 'profile/' . $a->user['nickname'];
 388 }
 389
 390 if (isset($homebase)) {
 391         $a->page['content'] .= '<script>var homebase="' . $homebase . '" ; </script>';
 392 }
 393
 394 /*
 395  * now that we've been through the module content, see if the page reported
 396  * a permission problem and if so, a 403 response would seem to be in order.
 397  */
 398 if (stristr(implode("", $_SESSION['sysmsg']), t('Permission denied'))) {
 399         header($_SERVER["SERVER_PROTOCOL"] . ' 403 ' . t('Permission denied.'));
 400 }
 401
 402 /*
 403  * Report anything which needs to be communicated in the notification area (before the main body)
 404  */
 405 call_hooks('page_end', $a->page['content']);
 406
 407 /*
 408  * Add the navigation (menu) template
 409  */
 410 if ($a->module != 'install' && $a->module != 'maintenance') {
 411         nav($a);
 412 }
 413
 414 /*
 415  * Add a "toggle mobile" link if we're using a mobile device
 416  */
 417 if ($a->is_mobile || $a->is_tablet) {
 418         if (isset($_SESSION['show-mobile']) && !$_SESSION['show-mobile']) {
 419                 $link = 'toggle_mobile?address=' . curPageURL();
 420         } else {
 421                 $link = 'toggle_mobile?off=1&address=' . curPageURL();
 422         }
 423         $a->page['footer'] = replace_macros(
 424                 get_markup_template("toggle_mobile_footer.tpl"),
 425                 array(
 426                         '$toggle_link' => $link,
 427                         '$toggle_text' => t('toggle mobile'))
 428         );
 429 }
 430
 431 /**
 432  * Build the page - now that we have all the components
 433  */
 434
 435 if (!$a->theme['stylesheet']) {
 436         $stylesheet = current_theme_url();
 437 } else {
 438         $stylesheet = $a->theme['stylesheet'];
 439 }
 440
 441 $a->page['htmlhead'] = str_replace('{{$stylesheet}}', $stylesheet, $a->page['htmlhead']);
 442 //$a->page['htmlhead'] = replace_macros($a->page['htmlhead'], array('$stylesheet' => $stylesheet));
 443
 444 if (isset($_GET["mode"]) && (($_GET["mode"] == "raw") || ($_GET["mode"] == "minimal"))) {
 445         $doc = new DOMDocument();
 446
 447         $target = new DOMDocument();
 448         $target->loadXML("<root></root>");
 449
 450         $content = mb_convert_encoding($a->page["content"], 'HTML-ENTITIES', "UTF-8");
 451
 452         /// @TODO one day, kill those error-surpressing @ stuff, or PHP should ban it
 453         @$doc->loadHTML($content);
 454
 455         $xpath = new DomXPath($doc);
 456
 457         $list = $xpath->query("//*[contains(@id,'tread-wrapper-')]");  /* */
 458
 459         foreach ($list as $item) {
 460                 $item = $target->importNode($item, true);
 461
 462                 // And then append it to the target
 463                 $target->documentElement->appendChild($item);
 464         }
 465 }
 466
 467 if (isset($_GET["mode"]) && ($_GET["mode"] == "raw")) {
 468         header("Content-type: text/html; charset=utf-8");
 469
 470         echo substr($target->saveHTML(), 6, -8);
 471
 472         killme();
 473 }
 474
 475 $page    = $a->page;
 476 $profile = $a->profile;
 477
 478 header("X-Friendica-Version: " . FRIENDICA_VERSION);
 479 header("Content-type: text/html; charset=utf-8");
 480
 481 if (Config::get('system', 'hsts') && (Config::get('system', 'ssl_policy') == SSL_POLICY_FULL)) {
 482         header("Strict-Transport-Security: max-age=31536000");
 483 }
 484
 485 // Some security stuff
 486 header('X-Content-Type-Options: nosniff');
 487 header('X-XSS-Protection: 1; mode=block');
 488 header('X-Permitted-Cross-Domain-Policies: none');
 489 header('X-Frame-Options: sameorigin');
 490
 491 // Things like embedded OSM maps don't work, when this is enabled
 492 // header("Content-Security-Policy: default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval'; connect-src 'self'; style-src 'self' 'unsafe-inline'; font-src 'self'; img-src 'self' https: data:; media-src 'self' https:; child-src 'self' https:; object-src 'none'");
 493
 494 /*
 495  * We use $_GET["mode"] for special page templates. So we will check if we have
 496  * to load another page template than the default one.
 497  * The page templates are located in /view/php/ or in the theme directory.
 498  */
 499 if (isset($_GET["mode"])) {
 500         $template = theme_include($_GET["mode"] . '.php');
 501 }
 502
 503 // If there is no page template use the default page template
 504 if (empty($template)) {
 505         $template = theme_include("default.php");
 506 }
 507
 508 /// @TODO Looks unsafe (remote-inclusion), is maybe not but theme_include() uses file_exists() but does not escape anything
 509 require_once $template;
 510
 511 killme();