Основы безопасности веб-приложений

Мы говорили не о ценах, а о том, насколько можно судить о профессиональности программиста основываясь на том, что он использовал 170 case-ов.

Впрочем, раз тема так повернулась, скажем и по ценам. Очень странно от Вас вот отквоченное слышать. Неужели исполнитель не имеет право оценивать своё время так как он хочет? А заказчик оставляет за собой право обращаться к исполнителю или нет. Вы абсолютно уверены что за Ваши цены, которые Вы называете за свои скрипты, Вы не будете названы голодным студентом "жадным человеком"? Или не будете сами названы "демпингующим студентом" кем-то намного более квалифицированным?

Всегда очень странно нам слышать разговоры нечто вроде (З)аказчик, (И)сполнитель.

З: вот ТЗ, сколько денег надо?

И: 300 баксов.

З: ах ты жадный негодяй, да как ты смеешь такую цену называть, любой студент сделает такое же за 50..

И: ... (в худшем случае отправит к студенту).

Неужели Вы сами никогда такого не слышали в своей практике? Вы ведь сами программингом занимаетесь, если не ошибаемся? Вы считаете подобные диалоги нормой?

Да, безусловно, есть люди которые сделают что-то подешевле, что-то подороже. Не всегда "голодный студент" обойдется дешевле "качественного профи" (помните топик был уже где-то, где и Вы участвовали и мы, с php программером за 10уе в час). Но зачем наклеивать отрицательный ярлык "жадности"?

Клиента все устраивало - он поэтому и заплатил, где же тут обман?

Я уверен что судить можно, единственное что могло бы "реабилитировать" этих "программистов" это если бы они предлагали заказчику сделать качественно, но заказчик настаивал на том чтоб все настройки скрипта были через (_|_)

Лирическое отступление...

Я не против если "программист" берёт дорого, я против студентов которые маскируются под "программистов" и которые обдирают заказчиков... (предоставляя услуги "студента" по цене услуг "программиста")

Деньги тут совершенно не причём, просто от этого в глобальном смысле страдает имидж профессии "программист" к которой я имею прямое отношение.

P.S. - Я занимаюсь программингом не ради денег, я посветил этому всю свою жизнь потому что мне приятно это делать. (конкретно РНР начал совсем недавно, а вообще программирую уже более 15-ти лет, даже почти 20) и 99% случаев (если работа занимает меньше часа) я денег вообще не беру.

Так ведь мы только об этом и говорили - что нельзя просто по "170 case" делать какие-то выводы не зная исходных условий.

Во-первых, мы категорически не верим в 2 конца палки, на одном из которых написано "студент", а на другом "программист". Лично мы уверены, что на любого человека называющего себя программистом обязательно найдется человек намного более профессиональный, который этого "программиста" назовет "студентом".

Во-вторых, если речь идет о работе "на себя", то давайте все-таки учтем, что программинг это лишь часть дела. Позволим себе по памяти процитировать кого-то (не помним автора) "Умение общаться с людьми - это такой же товар, как все остальное, и я готов за него платить" (с)

В-третьих, мы не понимаем о каком "едином прайсе" на "программистов" Вы говорите когда говорите об "услугах студента" по "ценам программиста". Где те критерии? Вы можете аргументированно это показать?

на 100% нельзя, но учитывая общую статистику (а дурного кода статистически гараздо больше) можно предположить...

Очень просто,

Если человек пишет что-то типа http://phpclub.ru/talk/showthread.php?s=&threadid=97284 то это "студент"

А если человек пишет тоже самое но ему удаётся сделать код быстрым и безопасным то это уже не студент, и даже если найдётся человек который напишет в 100 раз лучший код то он не назовёт его студентом... (нормальные программисты вообще всегда с уважением относятся к коллегам, и даже к конкурентам)

Так и надо было предполагать, а не утверждать, и вопроса бы не возникло. Статистика третий вид лжи:)

Вы опять же видите откуда-то 2 конца у палки. Проблемы человека (А) возникли лишь от того, что у него было недостаточно знаний. А человек (Б) огребет те же проблемы что и человек (А) при бОльшей посещаемости его сайта, и тоже на определенном этапе пойдет писать "нечто типа", при том застрянет на какой-то полной ерунде с т.з. человека (В). И то что (В) не назовет его студентом... так это от вежливости.

Надо быть весьма самонадеянным человеком, что бы утверждать, что не являешься студентом aka "учиться уже нечему, я уже все выучил, я программер".

Это еще одна причина почему мы с недоверием относимся к речам программистов "падающих под стол" при виде чужого кода.

Учиться надо всегда (всё знать просто невозможно) но преодолеть стадию "студент" (замечу в кавычках потому что это в переносном смысле) вполне реально !

Тогда объясните что именно Вы подразумеваете под "студентом". Как мы уже выше сказали - практически всегда найдется кто-то, кто выше уровнем настолько, что вопросы "программера" покажутся глупыми и он "свалится под стол".

Не умение правильно поставить задачу (как в примере по ссылке) и использование огромных самописных функций в виду не знания о существующих аналогах. (т.е лень читать даже мануал, циклы выучил и считает себя "мега-гуру")

Часто вижу как люди не зная что такое array_slice и array_chunk делают функции на 20 и более строк, а уж что творится с километровыми PCRE вместо одного parse_url это вовсе можно уржаться.

И это еще цветочки !!!!!

Вопрос не ко мне, но поскольку мой пост был затравкой к этой дискуссии - отвечу:

Студент - это тот, кто берется за любую работу ничего не зная, не понимая, и не неся за это никакой ответственности. И слава Богу, если он чему-то научится в процессе решения этой задачи.

Вопрос про CASE на 170 строк и константы - это просто один из примеров студенческого отношения к делу.

По работе часто приходится копаться в исходниках IBM-овских систем, и то что я регулярно натыкаюсь на GOTO ни в коей мере не говорит о низкой квалификаци их программистов. Что-то мне очень нравится, что-то я бы сделал по другому, но в коде виден профессиональный подход к разработке и проработанность мелочей.

"Правильно поставленная задача содержит 90% ответа на нее" (с) (чей-то), так что считаем неправильно поставленную задачу в принципе нормой... если есть 90% ответа, то зачем её вообще ставить?

С другой стороны люди хорошо знающие как работают strip_tags не всегда будут использовать эту функцию для удаления тэгов, а напишут свою, возможно даже более чем на 20 строк.

Последний пункт понятен, согласны на 100%. А вот первые два все-таки чисто субъективная оценка, ибо всегда найдется кто-то более профессиональный который скажет что работа сделана "ничего не знающим и не понимающим".

Хотя, что бы уточнить о чем речь - ну допустим, применение сортировки пузырьками Вы считаете будет "от незнания и непонимания"?