Názory k článku Chyby v rozšířeních pro WordPress: vloni vedl XSS, přibývá SQL injections

Jesus Christ... SQL Injection? PHP Data Objects su tam uz od PHP 5.0 z roku 2004. Trochu fail ze sa za tu dobu coderi nenaucili pouzivat:

$sth = $dbh->prepare('SELECT `name`, `colour`, `calories` FROM `fruit` WHERE `calories` < ? AND `colour` = ?');
$sth->execute(arra­y($_GET['calo­ries'], $_GET['colour']));


Ono je někdy skládání dotazů dost komplikované a pak zvítězí lenost původně navržený a ověřený koncept přepracovat pro prepared statement. Rozhodně to neomlouvám, jen si myslím, že vím, odkud ten problém pochází.

Skladat zo stringov sql query a mysliet pri tom na escapovanie mi nepride ako overeny koncept. Nie je ani lahsie, ani kratsie, ani efektivnejsie, ani prehladnejsie, ani bezpecnejsie. Len dementnejsie. Prepared statements tu su uz minimalne 2 dekady. Uz aj prehistoricke perlie DBI ich podporovalo.

To je tím, že to autoři PHP už podruhé udělali blbě. Doporučuji inspirovat se například ze syntaxe printf. Tam taky není žádné prepare printf, execute printf...

Vyhodou prepared statement nie je len escaping. Staci si pozriet definiciu: Precompilation and DB-side caching of the SQL statement leads to overall faster execution and the ability to reuse the same SQL statement in batches.

Chybou je zrejme ze stale sa da volat priame query, kedze PHP je jazyk s vyssim percentom patlalov. Ked sa to programatori nevedia naucit, jazyk by ich mal viest k bezpecnemu kodu

Tu objektivní výhodu vidím. Jenže je to moc složitej koncept na většinu lidí, co v PHP programujou, což si měli autoři PHP uvědomit.....

Mimochodem, proč je potřeba vkládat do volání array? To PHP neumí proměnlivý množství parametrů?

Ak sa pouzije questionmark syntax, tak treba pouzit pole, aby sa vedelo v akom pradi sa maju placeholdery nahradzat. Ale PHP umoznuje aj bindovanie:

$sth = $dbh->prepare('SELECT `name`, `colour`, `calories` FROM `fruit` WHERE `calories` < :calories AND `colour` = :colour');
$sth->bindParam(':ca­lories', $_GET['calories'], PDO::PARAM_INT);
$sth->bindParam(':co­lour', $_GET['colour'], PDO::PARAM_STR, 12);


Pripadne bindovanie cez asociativne pole:

$sth->execute(arra­y(':calories' => $_GET['calories'], ':colour' => $_GET['colour']));


Myslis ze to je tim PHP? Ukaz mi kus kodu kolem SQL v libovolnym jazyce ... a jednoznacna idetifikace patlala je uz to, ze tam bude select * .

Nebo cokoli na tema try-catch ... nejdriv neco zavola a pak resi, jestli to padlo, coz trebas uzasne funguje na veci typu "zadej cislo" "zadej druhy cislo" ... vysledek A+B = ... jo aha, ona spousta jazyku nema problem secist stringy.

Ok, vylepsime to, budem zjistovat jestli to je cislo ... maly moment ... 0xac ... dobry, prej to je cislo.

Jazyk je od toho aby veci umoznoval ne aby je znemoznoval.

Jenže přiznejme si, že PHP je jazyk, který je zároveň:
1) používaný
2) exponovaný vůči útoku
3) jeden z jazyků s největším zastoupením začátečníků a špatných programátorů

kdyby mysql_query bylo od začátku dělané rozumně, tak by třeba nebyla naprostá většina tutoriálů k PHP blbě.

Mna by zaujimalo preco k clankom o WordPresse vzdy davate fotku Igora Matovica.

https://www.csfd.cz/film/5407-osviceni/prehled/

K čemu tam je ten Kodex chování a proč v něm chybí třeba krádež?

Krádež je přestupek. Stejně jako to, když třeba někdo někde běhá nahej, nebo jinak sexuálně obtěžuje.

Nicméně, co když bych se zeptal, jestli by v tom kodexu nemělo být něco o tom, že se účastníci budou pravidelně mýt, a nebudou kálet na zem?

Že je to emerickej zvyk, a že to tak dělaj všechny wordcampy mi došlo. Mně to ale přijde jako naprostá zbytečnost a pitomost. Stejně jako ty předpokládáš, že nikoho nenapadne tam krást, tak já předpokládám, že tam nikdo nebude mít tendence dělat ani ty ostatní věci. Já bych prostě předpokládal, že lidé vědí, jak se mají chovat. Jakože... ..pokud
lidi okolo wordpressu skutečně potřebují mít takovejhle kodex, tak se s nima v životě nechci potkat.

Když už chtějí mít kodex chování, napsal bych do něj prostě "chovejte se jako lidi, nebo vás vykážeme."

Ještě jsem se zapomněl zeptat, k čemu by ten kodex Primě byl. Buďto je chování problematické, a pak na něj upozorním, kodex, nekodex, nebo problematické není, a pak není ani v kodexu.

Odstavec

"Buď vnímavý ke svému okolí a k dalším návštěvníkům konference. Jsi-li svědkem nebezpečné situace nebo vidíš-li někoho v nouzi, uvědom ihned organizátory."

a poznámka
Obtěžování zahrnuje ... neustálé narušování přednášek či jiného programu;....

jsou jako vytržené ze školního řádu, či z pravidel dětského tábora.