PHP-ontwikkelaars willen veiligheidsimago verbeteren

magic quotes is een ramp als je niet weet wat het doet, waarom het dat doet, of het dat doet, sinds wanneer het dat doet etc...

voor beginners is het echter een geweldige uitkomst, want nu is deze code opeens veilig:

<?php
$query = "SELECT * FROM database WHERE string = '".$string."';";
$result = mysql_query($query);
while ($row = mysql_fetch_assoc($result)) { // edit: typo (d'oh!)
...
}
?>

maar als je de variabelen voor mailtjes gaat gebruiken... tsja... dan moet je ze eerst door stripslashes halen.

(nu ik dit scriptje schrijf, de register_globals moet eigenlijk uit php gesloopt worden, da's pas gevaarlijk)

Persoonlijk vind ik register_globals nog veel smeriger...
Het schijnt tot veel programmeurs nog steeds niet door te dringen dat alles uit de GET en POST vars automatisch declareren gewoon vragen om problemen is, zowieso door een hele applicatie door globale variabelen gebruiken is nogal populair...en extreem ranzig.
Functies en Classes maken schijnt voor velen ook een probleem te zijn...daarom include men maar gewoon files met blokken code op willekeurige plaatsen ?!?!
Er is vaak totaal geen zinnige programmeerstijl te herkennen in de werkwijze van veel scripters, vooraf declareren van variabelen, commentaar plaatsen etc etc is blijkbaar niet nodig.
Zelfs paketten waarvan je in eerste instantie het idee hebt dat ze goed in elkaar zitten blijken vaak na onderzoek van de source een puinhoop te zijn.

Overigens zou het ook fijner zijn als safe_mode, wat op zich een goed initiatief is, opgesplitst zou worden in een aantal onderdelen, zodat beter te bepalen is wat een virtual host nou wel en niet mag op het systeem.

Maar feit blijft voor mij, met php kun je echt machtig veel doen en ook nog eens op een goede veilige manier, maar het blijft afhankelijk van de kwaliteiten van de programmeur. De laagdrempeligheid werkt er in dit geval dus aan mee dat er ook veel troep afgeleverd wordt, zelfde geld in feite ook bij andere scriptingtalen.

Wat verder erg positief is is dat er inmiddels al enige tijd een certificering is vanuit Zend voor php. Dit heeft als voordeel dat het kaf van het koren wordt gescheiden en dat beunhazen en hobbyisten zich binnen een redelijke tijd geen php programmeur meer kunnen / mogen noemen zonder te zorgen dat hun kennis voldoende is.

Ik ben overigens van mening dat als je jezelf een fatsoenlijk web programmeur wilt noemen dat je meer kennis dient te hebben als alleen van de script taal waar je in programmeert, kennis van het onderliggende systeem is ook super belangrijk als je wilt weten hoe php met zaken omgaat. Per slot van rekening is meer dan de helft van de functies uit php gecompileerd tegen op het systeem al aanwezige libraries. Uiteindelijk, als je het goed wilt doen, is php dus misschien wel minder laagdrempelig als men denkt.
Zelfde verhaal voor mysql, men kan een database maken en een tabel erin gooien en daar wat mee doen, maar dat maakt nog geen fatsoenlijk database model...

En perl nodigt niet uit tot schrijven van rampzalige rotzooi ???

EdSchouten,

in php5 is een extensie gekomen (mysqli, mysql-improved) waarmee je prepared statements kunt maken. daarmee is de escape-noodzaak opgelost.

template engine? ik vind 't helemaal niks.. je geeft als argument dat je anders sql statements tussen je html code moet gaan schrijven.. sorry kerel, maar als je een beetje ervaring hebt met 't schrijven van software i.c.m. databases moet jij toch ook wel weten dat je presentatie en data van elkaar gescheiden houdt? en daar heb je geen template engine voor nodig, how about classes?

krimszon:

in mijn werk is vrijwel alle code die niet met presentatie te maken heeft verwerkt in classes.. dat betekent dat alle files die geen classes definieren in principe mijn templates zijn.

Ik ben zelf 15 en kan niet eens zo heel goed PHP, maar wel C#...en ik ben gelukkig niet zo iemand die alleen maar tag soup schrijft - er zijn inderdaad veel jongeren bij die denken dat ze PHP 'kunnen' als ze met echo-en een lekkere tag soup kunnen maken. Van SQL-injections hebben die denk ik ook niet gehoord.
Zelf moet ik zeggen dat ik meer geintereseerd ben in PHP nu ik heb gehoord dat PHP5 aardig OO is.

Tuurlijk hangt je beveiliging daar wel vanaf. Je beveiliging hangt af van bijvoorbeeld de combinatie username en password. Het voorbeeld wat ik dus gaf, is de nummer één doodszonde van loginsystemen, namelijk de persoon doorgeven dat 50% van de gegevens WEL goed waren.

Een betere melding zou dan beter iets in de vorm zijn van "Uw inlogpoging is mislukt, controleer uw gebruikersnaam en wachtwoord, en probeer het nogmaals.".

Zo geef je totaal niet vrij, wat er wel en wat er niet goed was.

Vaag verhaal inderdaad, maar met dat stukje javascript had ik de indruk dat hij de website van Zend bedoelde. Dat dat dan een slechte indruk maakt wil ik wel beamen.