Поругайте код

Открыл а там mysql, закрыл. Выкинь это книжку.

VictimOfLoveToLinux ★
(23.02.16 22:10:36 MSK)

делай гист, какие архивы в 2016?

kelyar ★★★★★
(23.02.16 22:11:05 MSK)

Ссылка

Ответ на: комментарий от VictimOfLoveToLinux 23.02.16 22:10:36 MSK

Предлагаешь данные хранить в текстовых файлах?

~~Valkeru~~ ★★★★
(23.02.16 22:11:29 MSK) автор топика

Ответ на: комментарий от Valkeru 23.02.16 22:11:29 MSK

предлагаю использовать http://php.net/manual/ru/book.pdo.php

2016 год на дворе

VictimOfLoveToLinux ★
(23.02.16 22:15:10 MSK)

Ответ на: комментарий от VictimOfLoveToLinux 23.02.16 22:15:10 MSK

Ок, почитаю. Но речь не о мускуле, а о пыхе.

~~Valkeru~~ ★★★★
(23.02.16 22:17:23 MSK) автор топика

Где у тебя можно зарегиться под ником %20UNION%20DROP%20DATABASE?

JN ★
(23.02.16 22:18:36 MSK)

Ответ на: комментарий от Valkeru 23.02.16 22:17:23 MSK

Суть в том что пыхокод как ты его называешь сплошная дыра пока ты используешь mysql.

Переделай под PDO с try и catch.

Это азы.

Проверку делай if(empty($чётотам)){код}

VictimOfLoveToLinux ★
(23.02.16 22:20:56 MSK)

Ссылка

Ответ на: комментарий от JN 23.02.16 22:18:36 MSK

127.0.0.1

~~Valkeru~~ ★★★★
(23.02.16 22:21:03 MSK) автор топика

Ответ на: комментарий от Valkeru 23.02.16 22:21:03 MSK

Это он шутил про mysql если ты слоу :3

VictimOfLoveToLinux ★
(23.02.16 22:22:12 MSK)

Ответ на: комментарий от VictimOfLoveToLinux 23.02.16 22:22:12 MSK

Не настолько. Я дал вполне точный адрес, где лежит рабочая копия этой поделки :3

~~Valkeru~~ ★★★★
(23.02.16 22:23:14 MSK) автор топика

Ответ на: комментарий от Valkeru 23.02.16 22:23:14 MSK

Когда-то оно будет лежать на доступном с интернетов хосте, и я там зарегаюсь :)

JN ★
(23.02.16 22:24:42 MSK)

Ссылка

Ответ на: комментарий от Valkeru 23.02.16 22:23:14 MSK

Серьезно, загугли книжку 15 года. У меня была хорошая но я отдал не смогу подсказать название.

В ПХП нельзя учится по олдскул книжкам, учись сразу по современникам.

VictimOfLoveToLinux ★
(23.02.16 22:24:50 MSK)

Ответ на: комментарий от VictimOfLoveToLinux 23.02.16 22:24:50 MSK

Это я уже понял. Завтра покопаюсь, посмотрю, что найдётся.

~~Valkeru~~ ★★★★
(23.02.16 22:28:52 MSK) автор топика

Ответ на: комментарий от Valkeru 23.02.16 22:28:52 MSK


if(empty($_POST['login'] && $_POST['pass'])){
	echo 'Вы не ввели логин или пароль'; die();}

VictimOfLoveToLinux ★
(23.02.16 22:32:59 MSK)

Ответ на: комментарий от VictimOfLoveToLinux 23.02.16 22:32:59 MSK

Спасибо, с такой конструкцией всё работает как задумано.

~~Valkeru~~ ★★★★
(23.02.16 22:43:13 MSK) автор топика

Ответ на: комментарий от VictimOfLoveToLinux 23.02.16 22:32:59 MSK

if(empty($_POST['login'] && $_POST['pass'])){

Что-то в этой конструкции не так.

Deleted
(23.02.16 22:50:51 MSK)

Ссылка

Ответ на: комментарий от Valkeru 23.02.16 22:43:13 MSK

А! У тебя там текст, значит слушай сюда.

//стартуем сессию
session_start();
//тут короче чистим текст от тегов
$USER_MESSAGE = strip_tags($_POST['message']);
$USER_NAME = strip_tags($_POST['name']);
//начинаем хранить это дело в сессии 
$_SESSION['message'] = $USER_MESSAGE;
$_SESSION['name'] = $USER_NAME;

//тут геты для страницы с формой чтобы на странице горела ошибка
//лучше конечно записать сразу в сессию, и читать от туда раз мы уж её открыли
//но у нас всё по хардкору же
$BACK_URL_TEXT = 'form.php?err=NO_TEXT';
$BACK_URL_NAME = 'form.php?err=NO_NAME';

if(empty($USER_MESSAGE)){
 echo 'Вы не ввели сообщение, сейчас вас перенаправит обратно.';
 header("Refresh: 2; URL=$BACK_URL_TEXT");
 die();}

if(empty($USER_NAME)){
 echo 'Вы не представились, сейчас вас перенаправит обратно.';
 header("Refresh: 2; URL=$BACK_URL_NAME");
 die();}

ну и на странице с формой так же включаем сессию и проверяем наличие переменных текст и имя в них если они есть запихиваем это всё дело в инпуты в var и требуем от юзера ввести то что он не ввёл

а вообще лучше использовать аякс и http://htmlbook.ru/html/input/required

VictimOfLoveToLinux ★
(23.02.16 22:51:09 MSK)
Последнее исправление: VictimOfLoveToLinux 23.02.16 22:55:09 MSK (всего исправлений: 1)

Ссылка

Расширение mysql было объявлено устаревшим в какой-то из 5.x.x версий. В PHP 7 вообще удалено. Т.е. твой код на последней версии PHP работать не будет. Используй PDO или mysqli.

Всякие мелочи:

Ужасное форматирование. Лишние пустые строки, табы как для отступов, так и для выравнивания.
?> в конце файла писать не принято. Принято иметь пустую строку.
Комментарии. Зачем? В таком виде не нужно. И без них понятно, что там происходит.
Имена переменных $a, $b и т.д. Они же ни о чём не говорят. Не надо так.

Короче, гугли PSR, описывающие рекомендации по оформлению PHP кода.

Вот так делать не рекомендуется:

or die('Ошибка! ' . mysql_error())

Пиши ошибку в лог, хотя бы с помощью error_log, а юзеру отдавай 500-ку. Сообщение потом найдёшь в логах веб-сервера. Можно конечно и просто в файл записать или библиотеку для логгирования прикрутить. Тут уже на твоё усмотрение.

echo "&nbsp&nbsp&nbsp&nbsp&nbsp&nbsp";

Странное решение мягко говоря. Да и к тому же не понимаю, почему оно у тебя работает. Ведь работает же?   вроде должно быть, не?

else $page = $_GET['page'];

//Индекс первого сообщения для вывода на странице
$msg = $page * $cnum;

А тут кажется забыли про intval

$cnum = 4;	//Комментов на страницу

Можно было бы просто назвать переменную $itemsPerPage например. Тогда и комментарий не нужен будет.

Атрибуты тегов в html должны быть заключены в кавычки. Т.е. вместо:

<body bgcolor = green>

Лучше написать:

<body bgcolor="green">

В данном случае лучше будет даже так:

<body style="background-color: green">

А ещё лучше в отдельный css файл стили вынести.

Там ёщё много всякого. Мне дальше лень писать просто.

PS: Рекомендую ознакомиться с материалом по этой ссылке: http://www.phptherightway.com/

Kilte ★★★★★
(23.02.16 22:51:19 MSK)

Также вопрос по post.php - если при отправке формы оставить поля пустыми - то в базу будут внесены пустые строки. Как исправить? Проверка !isset($_POST) по полям user и message не срабатывает.

man strlen
man mb_strlen
man isset

Kilte ★★★★★
(23.02.16 22:52:50 MSK)
Последнее исправление: Kilte 23.02.16 22:53:34 MSK (всего исправлений: 1)

Ссылка

php

http://moisuper.sait/ska4at-besplatno-gostevuha.tar.gz

Покритиковал.

Написано на основе кода из книги

Мне всегда казалось, что у пхп сносная официальная документация (для такого высера вместо яп), зачем жрать говно вроде «Зделать сайт за 15 минут бызтро СЕО роскрутка сикреты уебмастеров»?

Deleted
(23.02.16 23:53:46 MSK)

Ссылка

Ответ на: комментарий от VictimOfLoveToLinux 23.02.16 22:15:10 MSK

Абсолютно серьезный вопрос - а в чем преимущества PDO над mysql/i? Насколько я знаю, он помогает абстрагироваться от конкретной СУБД, и на этом мои познания заканчиваются...

l0stparadise ★★★★★
(24.02.16 00:00:40 MSK)

Ответ на: комментарий от l0stparadise 24.02.16 00:00:40 MSK

Отличается только подход к построению SQL запросов. Всё остальное - это горячечный бред лора, где толпа студентов-обезьян до кровавой пены будет убеждать несчастных новичков юзать свистоперделки, которые нафиг не нужны ни здоровым людям, ни конкретно этому проекту с гостевухой.

Вся фигня в том, что конкретно тот автор выше, который полощет мозги своим PDO, не в теме, что PDO обладает меньшим количеством возможностей драйвера СУБД по сравнению с mysqli и вовсе не освобождает от SQL инъекций даже при наличии подготавливаемых запросов. Не говоря уже о том, что данный персонаж старается насадить в своём воспалённом мозгу рамки по используемому инструментарию для разработки незнакомым людям. Подобные люди - позорище того языка, который они выбрали.

ThisNameWasFree ★
(24.02.16 00:29:04 MSK)
Последнее исправление: ThisNameWasFree 24.02.16 00:35:08 MSK (всего исправлений: 4)

Ответ на: комментарий от ThisNameWasFree 24.02.16 00:29:04 MSK

PDO обладает меньшим количеством возможностей
не освобождает от SQL инъекций даже при наличии подготавливаемых запросов

Примеры в студию.

isildur
(24.02.16 01:41:53 MSK)

Твоя книга видимо из прошлого десятилетия? Прости, но этот код УГ в плане используемых подходов, разве что в принципе читается неплохо, но таки не PSR.

n0044h ★
(24.02.16 02:05:44 MSK)

Ссылка

Ответ на: комментарий от isildur 24.02.16 01:41:53 MSK

Примеры в студию.

По первому: http://php.net/manual/ru/mysqli.overview.php (подвал страницы).

По второму: http://stackoverflow.com/questions/134099/are-pdo-prepared-statements-suffici...

ThisNameWasFree ★
(24.02.16 02:05:52 MSK)
Последнее исправление: ThisNameWasFree 24.02.16 02:06:04 MSK (всего исправлений: 1)

Ссылка

Ответ на: комментарий от ThisNameWasFree 24.02.16 00:29:04 MSK

Расскажи плз, каким образом произвести SQL-Injection используя PDOStatement? Мне правда интересно в проф. целях.

n0044h ★
(24.02.16 02:06:52 MSK)

Ответ на: комментарий от n0044h 24.02.16 02:06:52 MSK

Вторая ссылка постом выше. На самом деле это жуткий баян, которым уже и тыкать скучно.

ThisNameWasFree ★
(24.02.16 02:08:57 MSK)
Последнее исправление: ThisNameWasFree 24.02.16 02:11:24 MSK (всего исправлений: 1)

Ответ на: комментарий от ThisNameWasFree 24.02.16 02:08:57 MSK

Ну ты же понимаешь, что эта «атака» очень уж синтетическая. Используя utf8 и более-менее свежую версию PHP, ты скорее всего не будешь уязвим к этой атаке.

n0044h ★
(24.02.16 02:13:43 MSK)

Ответ на: комментарий от n0044h 24.02.16 02:13:43 MSK

Багфикс вышел только на PHP 5.3.6, поэтому ещё год-полтора можно смело бить по голове каждого, кто будет заявлять о безопасности PDO.

ThisNameWasFree ★
(24.02.16 02:15:00 MSK)
Последнее исправление: ThisNameWasFree 24.02.16 02:16:28 MSK (всего исправлений: 1)

Ответ на: комментарий от ThisNameWasFree 24.02.16 02:15:00 MSK

Ну это вопрос к таким хостерам, 5.3 релизнулся 7 лет назад... И да, я не говорю, что PDO обязан все резать к чертям, никто не отменял фильтрацию и валидацию до PDO. Конкретно свою обязанность он выполняет, не больше.

n0044h ★
(24.02.16 02:18:07 MSK)

Ответ на: комментарий от n0044h 24.02.16 02:18:07 MSK

И да, я не говорю, что PDO обязан все резать к чертям, никто не отменял фильтрацию и валидацию до PDO. Конкретно свою обязанность он выполняет, не больше.

Я приводил пруфы на фразу «PDO ... вовсе не освобождает от SQL инъекций даже при наличии подготавливаемых запросов». В остальном мне по барабану на выбор между PDO/mysqli. В любом случае ни тот, ни другой вариант в голом виде меня не устраивает и я всё же предлагаю смотреть в сторону человеческих ORM.

ThisNameWasFree ★
(24.02.16 02:23:27 MSK)

Ответ на: комментарий от ThisNameWasFree 24.02.16 02:23:27 MSK

человеческих ORM

Которые делают десять запросов вместо одного.

ritsufag ★★★★★
(24.02.16 02:30:05 MSK)

Ответ на: комментарий от l0stparadise 24.02.16 00:00:40 MSK

Тоже не понимаю в чем прикол городить какие то абстракции вместо обычного sql-запроса\самописной обертки того же запроса. Ну, будет у тебя доступ к разным бд, только один хер все mysql используют )

gobot ★★★★
(24.02.16 02:34:31 MSK)

Ответ на: комментарий от ThisNameWasFree 24.02.16 02:23:27 MSK

Поддерживаю в этой позиции. Сам использую «голые» PDO и mysqli только ради каких то наколеночных скриптов, не более.

n0044h ★
(24.02.16 02:35:10 MSK)

Ссылка

Ответ на: комментарий от ritsufag 24.02.16 02:30:05 MSK

Ну если не умеешь пользоваться.

n0044h ★
(24.02.16 02:35:49 MSK)

Ссылка

Ответ на: комментарий от ritsufag 24.02.16 02:30:05 MSK

В нормальной ORM можно сконструировать практически любой запрос.

pawnhearts ★★★★★
(24.02.16 02:37:33 MSK)

Ссылка

Ответ на: комментарий от l0stparadise 24.02.16 00:00:40 MSK

В документации подробно всё разжёвано в принципе. Лично мне нравятся prepared statements, например когда я в цикле хочу вставлять данные и мне не нужно монструозить страшную строку с включением параметров, я могу подготовить её «где то там» и далее параметризовать этот запрос, внутри своего цикла, просто назначая значения для placeholders.

n0044h ★
(24.02.16 02:39:07 MSK)

Ответ на: комментарий от l0stparadise 24.02.16 00:00:40 MSK

Скажем так, это такой базовый набор классов для абстракции над БД, который позволяет не писать велосипеды каждый раз, а делать работу.)

n0044h ★
(24.02.16 02:40:32 MSK)

Ссылка

Ответ на: комментарий от ritsufag 24.02.16 02:30:05 MSK

Во-первых, не нужно быть голословным и писать шаблонные отмазки. Во-вторых, за все ORM не отвечаю, но конкретно то, с чем имею дело: три года назад умудрился попасть в сопровождение медицинских журналов с офисом в Майами, где околачиваюсь до сих пор, ковыряя десятилетные сорцы и добавляя новую хрень на старое уродство. Один из бывших разрабов, родом из Израиля, перечитал Мартина Фаулера и впёр на основе стратегий Active Record (это байан) и Query Builder (а вот это рекомендую погуглить) зайчатки ORM в проект. На текущий момент я реализовал с нуля идеи этого разраба и впёр в рабочие проекты самопальную ORM на базе драйвера mysqli, которая умеет следующее:

1. Полное экранирование входных данных (аля statement из PDO на стороне сервера).
2. Автогенерация кода на основе существующей таблицы (в сорцах на таблицу, к примеру, users, появляется классы user [Active Record / работа с одним объектом] и users [Query Builder / работа с одним|несколькими объектами] с десятком методов для работы через IDE с автодополнением и прочими плюшками)
3. Полный CRUD и немножно больше (индексы и прочее).
4. Кэш анализатора структуры таблиц.
5. Поддержка почти всех возможных типов данных для MariaDB/MySQL.

Всё это требует для своей работы всего один запрос структуры таблицы (SHOW COLUMNS) единожды для каждой таблицы, которая участвует в запросах к СУБД.

Дополнительная нагрузка на СУБД минимальна (SHOW COLUMNS требует совсем смешные ресурсы если, конечно, вас не укололо докинуть ещё анализатор связей по внешним ключам), но вместо тупого набивание однотипных SQL'ей для чтения\вставки очередной строки изо дня в день каждую неделю можно сразу работать с данными, экономя собственное время и нервы.

ThisNameWasFree ★
(24.02.16 02:42:50 MSK)
Последнее исправление: ThisNameWasFree 24.02.16 02:50:40 MSK (всего исправлений: 11)

Ответ на: комментарий от n0044h 24.02.16 02:39:07 MSK

Ну то есть строить на нем новые приложения смысл имеет, а переносить что-то уже написанное - бесполезно. Ок, спасибо :)

l0stparadise ★★★★★
(24.02.16 02:44:28 MSK)

Ссылка

Ответ на: комментарий от gobot 24.02.16 02:34:31 MSK

Мне до понимания далеко, я даже не разработчик, строго говоря :) Просто все чаще вижу рекомендации переезжать на PDO, и хотелось понять, есть ли в PDO что-то, что меня заинтересует перетащить на него свои сайты.

l0stparadise ★★★★★
(24.02.16 02:48:59 MSK)

Ответ на: комментарий от Valkeru 23.02.16 22:11:29 MSK

гостевая книжка для тыканья на локалхосте
mysql
2016

Предлагаешь данные хранить в текстовых файлах?

Ну sqlite же есть, если уж так хочется ковырять устаревшие подходы.
Комментарии к каждой странице давно победили общие гестбуки.

~~xtraeft~~ ★★☆☆
(24.02.16 02:53:42 MSK)

Ссылка

Ответ на: комментарий от Kilte 23.02.16 22:51:19 MSK

?> в конце файла писать не принято. Принято иметь пустую строку.

О, может тут ответят - какой в этом практический смысл?

~~xtraeft~~ ★★☆☆
(24.02.16 02:57:47 MSK)

Ответ на: комментарий от xtraeft 24.02.16 02:57:47 MSK

Думаю, после ?> может отказаться пробел или переход строки, и если ты этот файл include`ишь из другого - это переход строки отправится до того, как начнется сессия/куки будут установлены и т.п.. Как-то так.

pawnhearts ★★★★★
(24.02.16 02:59:58 MSK)

Ответ на: комментарий от pawnhearts 24.02.16 02:59:58 MSK

То есть если этот файл гарантировано не инклудится - можно не переживать? Постоянно вижу этот подход в однофайловых скриптах и поэтому не понимаю, есть ли там еще какой то подвох.

Ну или просто не оставлять \n после ?>, нет?

~~xtraeft~~ ★★☆☆
(24.02.16 03:01:00 MSK)
Последнее исправление: xtraeft 24.02.16 03:01:37 MSK (всего исправлений: 1)

Ответ на: комментарий от xtraeft 24.02.16 03:01:00 MSK

А смысл писать этот ?> в конце? Лучше иметь привычку никогда не писать, чтобы с этим не столкнуться.

не оставлять \n после ?>

Легко не заметить же. И обычно принято иметь \n в конце файла.

pawnhearts ★★★★★
(24.02.16 03:03:52 MSK)

Ссылка

Ответ на: комментарий от xtraeft 24.02.16 03:01:00 MSK

И ещё - обычно пользуются шаблонизаторами и предпочтительно, чтобы помимо шаблонизатора сам скрипт ничего не выводил.

pawnhearts ★★★★★
(24.02.16 03:05:12 MSK)

Ответ на: комментарий от pawnhearts 24.02.16 03:05:12 MSK

А смысл писать этот ?> в конце? Лучше иметь привычку никогда не писать, чтобы с этим не столкнуться.

Ну привычка например. Ты же синтаксис соблюдаешь языка, чтоб все работало?

Легко не заметить же.

Даже в самом убогом редакторе невозможно не заметить, помоему.

И ещё - обычно пользуются шаблонизаторами и предпочтительно, чтобы помимо шаблонизатора сам скрипт ничего не выводил.

Ну он и не выведет, если нет мусора после ?>

~~xtraeft~~ ★★☆☆
(24.02.16 03:10:11 MSK)

Ответ на: комментарий от gobot 24.02.16 02:34:31 MSK

один хер все mysql используют

Все владельцы гостевух?

Deleted
(24.02.16 03:18:59 MSK)

Ответ на: комментарий от Deleted 24.02.16 03:18:59 MSK

Зачем вообще бд для гостевухи. Вот отличная гостевуха: http://www.scriptarchive.com/guestbook.html

pawnhearts ★★★★★
(24.02.16 03:20:34 MSK)

Похожие темы