Admin component in Joomla

Elke Joomla-site heeft een component genaamd com_admin. De meeste beheerders hebben nooit één van de bestanden geopend, en toch speelt deze kleine component een centrale rol. Het verzamelt de systeeminformatie die je in een forumbericht plakt wanneer je hulp nodig hebt.

Het rendert het Helpscherm. En, minder zichtbaar, het voert de daadwerkelijke databasemigraties uit telkens wanneer je op "Nu updaten" klikt bij een Joomla core-update.

De naam com_admin is misleidend. Het klinkt alsof het de volledige backend afhandelt, maar de backend (/administrator/) is in werkelijkheid een wijk vol kleine componenten. com_admin is er slechts één van, met een zeer specifieke taak: het is de component over de administrator zelf.

De kleine core-component die Joomla-upgrades uitvoert, systeeminformatie toont en het helpscherm aandrijft.

Dit artikel laat zien wat com_admin bevat, hoe het binnen de Joomla 6-architectuur past, waarom script.php één van de belangrijkste bestanden in Joomla core is, en waarom deze component een nuttig referentievoorbeeld is voor ontwikkelaars die moderne Joomla-componenten willen bouwen.

2. Waar com_admin zich bevindt

2.1 De mapstructuur

Je vindt de component hier in je Joomla-installatie:

public_html/administrator/components/com_admin/
├── postinstall/       (post-installatie handlers)
├── services/          (DI container-configuratie)
├── sql/               (versiebeheer DB-migraties)
├── src/               (PHP-klassen, PSR-4)
├── tmpl/              (view templates)
├── admin.xml          (manifest)
└── script.php         (de upgrade-engine)

Let op wat ontbreekt: er is geen media/-map en geen front-end map. com_admin is een pure backend-component.

2.2 Hoe je het opent in de browser

Er zijn slechts twee URL’s die naar com_admin leiden:

/administrator/index.php?option=com_admin&view=sysinfo
/administrator/index.php?option=com_admin&view=help

Er is geen lijstweergave, geen bewerkformulier en geen toolbar met publiceer- of prullenbakknoppen. Twee schermen, meer niet.

2.3 Het manifestbestand

Elke Joomla-component heeft een manifest. Voor com_admin is dat admin.xml:

<extension type="component" method="upgrade">
    <name>com_admin</name>
    <version>4.0.0</version>
    <namespace path="src">Joomla\Component\Admin</namespace>
    <administration>
        <files folder="admin">
            <filename>admin.xml</filename>
            <filename>script.php</filename>
            <folder>postinstall</folder>
            <folder>services</folder>
            <folder>src</folder>
            <folder>tmpl</folder>
        </files>
    </administration>
</extension>

Het attribuut method="upgrade" is belangrijk: het vertelt Joomla om de component altijd te upgraden in plaats van deze opnieuw vanaf nul te installeren. com_admin wordt op een draaiende site nooit schoon opnieuw geïnstalleerd.

4. De moderne componentarchitectuur

Hoewel com_admin slechts twee schermen heeft, gebruikt het de volledige moderne Joomla 4+/5/6-componentarchitectuur. Dat maakt het een uitstekend referentie voor ontwikkelaars.

4.1 Namespaces en PSR-4

De component gebruikt een nette namespace:

Namespace:  Joomla\Component\Admin
Pad:        administrator/components/com_admin/src/

Joomla 6 gebruikt PSR-4 autoloading. Het bestand:

src/Model/SysinfoModel.php

wordt automatisch gekoppeld aan de klasse:

Joomla\Component\Admin\Administrator\Model\SysinfoModel

Je hebt geen JLoader::register()-plakcode meer nodig. De autoloader vindt de klasse omdat de mapstructuur overeenkomt met de namespace.

4.2 Het MVC-skelet

De map src/ bevat een kleine set klassen die samen een volledige component vormen:

src/
├── Controller/DisplayController.php    (entry point)
├── Dispatcher/Dispatcher.php           (routing + toegang)
├── Extension/AdminComponent.php        (boot hooks)
├── Model/HelpModel.php
├── Model/SysinfoModel.php
└── Service/HTML/                       (HTML-helpers)

Dit is klassieke Model-View-Controller, maar met twee Joomla 4+-toevoegingen: een Dispatcher en een Extension-klasse.

4.3 De Service Provider

Het bestand services/provider.php koppelt de component aan Joomla’s Dependency Injection-container:

return new class () implements ServiceProviderInterface {
    public function register(Container $container)
    {
        $container->registerServiceProvider(
            new MVCFactory('\\Joomla\\Component\\Admin')
        );
        $container->registerServiceProvider(
            new ComponentDispatcherFactory('\\Joomla\\Component\\Admin')
        );
        // ...
    }
};

Elke moderne Joomla-component heeft een services/provider.php-bestand zoals dit. Het is het officiële entry point voor de DI-container.

4.4 De aangepaste Dispatcher

De Dispatcher van com_admin bevat een kleine maar zeer bewuste truc:

class Dispatcher extends ComponentDispatcher
{
    /**
     * com_admin vereist geen permissiecontrole,
     * daarom overschrijven we de methode checkAccess
     * en laten we die leeg
     */
    protected function checkAccess() {}
}

De methode die normaal ACL afdwingt, is bewust leeg gelaten. De reden is dat Systeeminformatie en Help moeten blijven werken, zelfs wanneer ACL verkeerd is geconfigureerd. Het zijn diagnostische hulpmiddelen, en een kapotte ACL is precies het moment waarop je ze het hardst nodig hebt. Zeer weinig Joomla-ontwikkelaars kennen dit patroon.

4.5 De Extension-klasse

De Extension-klasse AdminComponent draait tijdens het bootproces en registreert HTML-helperdiensten:

public function boot(ContainerInterface $container)
{
    $this->getRegistry()->register('system',        new System());
    $this->getRegistry()->register('phpsetting',    new PhpSetting());
    $this->getRegistry()->register('directory',     new Directory());
    $this->getRegistry()->register('configuration', new Configuration());
}

Hierdoor kunnen templates helpers op een consistente manier aanroepen:

echo HTMLHelper::_('phpsetting.setting', $key, $value);

4.6 De controller doet (bijna) niets

De controller is bewust minimaal gehouden:

class DisplayController extends BaseController
{
    public function display($cachable = false, $urlparams = [])
    {
        $viewName = $this->input->get('view', $this->default_view);
        $format   = $this->input->get('format', 'html');

        // Controleer CSRF-token voor sysinfo export-views
        if ($viewName === 'sysinfo'
            && ($format === 'text' || $format === 'json')) {
            $this->checkToken('GET');
        }

        return parent::display($cachable, $urlparams);
    }
}

Het heeft één taak: wanneer Systeeminformatie wordt geëxporteerd als tekst of JSON, vereist het een CSRF-token. Dat voorkomt dat een aanvaller een ingelogde administrator via een kwaadaardige link systeeminformatie laat lekken. Klein detail, maar belangrijk.

6. SQL-migraties met versiebeheer

6.1 De bestanden

Binnen sql/updates/ bevinden zich mappen voor elke ondersteunde databasedriver:

sql/updates/mysql/
├── 6.0.0-2024-08-11.sql
├── 6.0.0-2025-09-23.sql
├── 6.0.0-2025-10-11.sql
├── 6.0.1-2025-10-29.sql
├── 6.1.0-2025-10-30.sql
├── 6.1.0-2026-02-06.sql
└── 6.1.0-2026-03-13.sql

sql/updates/postgresql/
└── (dezelfde bestanden, PostgreSQL-dialect)

Het patroon is consistent:

• Elke bestandsnaam begint met de doelversie van Joomla.
• Na de versie volgt de datum.
• Bestanden worden per databasedriver apart opgeslagen.

6.2 De versiepointer in #__schemas

Joomla houdt bij welke SQL-bestanden al zijn uitgevoerd. Daarvoor gebruikt het een tabel genaamd #__schemas:

SELECT e.element AS extension, s.version_id
  FROM jos_schemas s
  JOIN jos_extensions e ON e.extension_id = s.extension_id;

Een typisch resultaat ziet er zo uit:

+------------------+---------------------+
| extension        | version_id          |
+------------------+---------------------+
| joomla           | 6.1.0-2026-03-13    |  (dit wordt bijgewerkt door com_admin)
| com_content      | 6.0.0-2024-08-11    |
| com_users        | 6.0.0-2025-05-20    |
+------------------+---------------------+

Bij elke update kijkt Joomla naar de bestanden in sql/updates/<driver>/, vergelijkt die met de laatst uitgevoerde version_id, voert elk nieuwer bestand uit in bestandsvolgorde, en slaat daarna de hoogste bestandsnaam opnieuw op in #__schemas.

Als je ooit een migratie opnieuw moet uitvoeren, dan is dit de regel die je moet aanpassen. Voorzichtig.

6.3 Een echt migratiebestand

Een voorbeeld uit sql/updates/mysql/6.1.0-2026-03-13.sql:

-- schakel autostart uit voor de vorige tour
UPDATE `#__guidedtours` SET `autostart` = 0
 WHERE `uid` = 'joomla-whatsnew-6-0';

INSERT INTO `#__guidedtours` (...)
SELECT 'COM_GUIDEDTOURS_TOUR_WHATSNEW_6_1_TITLE', ...
 WHERE NOT EXISTS (
   SELECT * FROM `#__guidedtours` g
    WHERE g.`uid` = 'joomla-whatsnew-6-1'
 );

Let op de WHERE NOT EXISTS-beveiliging. Daardoor wordt de migratie idempotent: het twee keer uitvoeren veroorzaakt geen fouten of dubbele records. Idempotente migraties zijn een terugkerend patroon binnen Joomla core-updates.

8. Hoe een Sysinfo-paginaverzoek verloopt

8.1 Het pad van een verzoek

Het helpt om het volledige pad van een request te zien wanneer je Systeeminformatie opent:

URL: /administrator/index.php?option=com_admin&view=sysinfo
                |
                v
   services/provider.php
   (DI: registreert MVCFactory + Dispatcher)
                |
                v
   Dispatcher::checkAccess()
   (lege override, dus geen ACL-blokkade)
                |
                v
   DisplayController::display()
   (CSRF-controle als format=text of json)
                |
                v
   SysinfoModel
   (verzamel en anonimiseer data)
                |
                v
   tmpl/sysinfo/default.php
   (render HTML)

Elke moderne Joomla-component volgt dezelfde flow. Zodra je dit voor com_admin begrijpt, begrijp je het voor allemaal.

8.2 Privacy by Design in SysinfoModel

SysinfoModel verzamelt veel gevoelige informatie: PHP-omgeving, paden, cookies, database-instellingen. Om het scherm veilig deelbaar te maken filtert het model een hardcoded lijst van privéwaarden weg:

protected $privateSettings = [
    'phpInfoArray' => [
        'CONTEXT_DOCUMENT_ROOT', 'Cookie', 'DOCUMENT_ROOT',
        'extension_dir', 'error_log', 'Host', 'HTTP_COOKIE',
        'HTTP_HOST', 'HTTP_ORIGIN', 'HTTP_REFERER',
        'mysql.default_socket', 'MYSQL_SOCKET', ...
    ],
];

Wanneer je Systeeminformatie kopieert naar een forumbericht, is dit de code die je geheimen anonimiseert. Omzeil dit niet.

8.3 Beveiligingskeuzes samengevat

Het ontwerp is bewust gekozen: genoeg tonen om te debuggen, genoeg verbergen om veilig te blijven.

10. Veelvoorkomende misverstanden opgehelderd

Er bestaan verschillende ideeën over com_admin die wijdverspreid zijn, maar onjuist.

12. In het kort

OPEN SYSINFO    /administrator/index.php?option=com_admin&view=sysinfo
OPEN HELP       /administrator/index.php?option=com_admin&view=help
SCRIPT          administrator/components/com_admin/script.php
SQL UPDATES     administrator/components/com_admin/sql/updates/<driver>/
VERSION TABLE   #__schemas       (één regel per extensie)
POST-INSTALL    administrator/components/com_admin/postinstall/
DISPATCHER      src/Dispatcher/Dispatcher.php   (lege checkAccess)
EXTENSION       src/Extension/AdminComponent.php (HTML-helpers)
SERVICES        services/provider.php   (DI-configuratie)