Кодер ошибается один раз, программист постоянно. (о безопасности скриптов)

Притом что Smarty.

Говносателиты не хотят использовать смарти ? Есть и другие темплейт движки, в том числе и компилируемые в php в качестве модуля или просто же имеющие функцию песочницы, как у twigs. Но там надо пхп 5.2.

Ах да, хостинг за 1 бакс не станет пересобирать пхп или ставить нормальную его версию , забыл. А быдло кодер за 10 баксов о безопасности тоже не думает, печаль.

Господа, вас реально часто , ну или хотя бы раз, ломали на покупном, обслуживаемом софте ? Сдается мне, что все ваши проблемы с безопасностью идут от от "украл, поставил, и так сойдет".

Stek, +1 кросавчегу.

Наоборот, кодер думает о безопасности, программист нет. У хорошего программиста просто нет привычек писать потенциально опасный код (он пишет изначально безопасный код, и о безопасности вспоминает только на стадии тестирования, на тот случай если случайно ошибся и упустил где-то какую-то операцию)

wano-moroz добавил 28.01.2011 в 05:41

Не бывает таких случаев. Вы заблуждаетесь полагая что "шаблонизатор" это какой-то массивный скрипт на 5 страниц кода, при этом шаблонизатор может быть даже таким

<?php
$content = "Hello, World";
?>
<p><?php echo $content;?></p>

И его использование оправдано всегда. (Если это реальный проект, а не демо-скрипт описывающий как писать говнокод)

Тогда каким же образом он может внести xss или инъекцию через рисунок или html шаблон?

В этом случае чему удивляться, получив в итоге дырявый сайт? :)

Zegaldis таки уловил одну из основных мыслей статьи - евреи, не жалейте заварки.

Fearful, есть еще шаблоны построенные на пхп. Тот же вордпресс к примеру - нельзя тупо скачать шаблон, поставить и забыть - ты обязательно должен его перечитать, в поисках гадостей или случайных уязвимостей.

Если шаблоны на Смарти или еще хуже - на голом пхп, то верстальщик ВЫНУЖДЕН думать о безопасности, потому что за него не подумал разработчик.

ГС как раз и не бояться. Чего ему бояться? кто их ломать то будет? :)

А зачем? Не проще ли писать совместимый код? :)

Вот. Собственно одна из базовых мыслёв статьи :)

Хотя опять таки, не только быдлокодер. В принципе любой кодер этого делать не будет.

Два раза вбуллетин ломали, когда я был далеко от почты, и не успевал получать и устававливать обновления. Еще были проблемы с хостером. Ну и еще один раз по дури зашел с небезопасной машины в аську. Собственно это все взломы которые у меня были (в смысле взломы меня :) ), так что чисто по скриптам у меня 100% взломов именно платных поддерживаемых скриптов :)

Ну это чуток другая формулировка, но по сути то он изначально о безопасности подумал, а потом еще раз подумал... А посередине не думал :)

<?php

$content = "Hello, World";

?>

<p><?php echo $content;?></p>

В строгом понимании это не шаблонизатор ибо код не отделен от шаблона.

Но в принципе у меня где-то был шаблонизатор в те же пять строк. Так что посыл верный.

Тут такой момент... Заказчик не способен проверить качество работы при приемке. И не всегда тот, кто берет сто баксов за час напишет лучше чем тот кто берет 1 бакс за час.

Хм. Рисованием наверное дизайнеру подобает заниматься. А верстальщик в идеале делает весь клиентский код. То бишь и разметку, и жабаскрипт и всё всё всё. Ну это в идеале конечно.

Ну под рисованием я имел ввиду всю верстку и т.п.

Просто часто у форм есть еще и пхп-код. Вот его то и не стоит верстальщику программировать :)

в smarty и других подобных шаблонизаторах есть escape:

http://www.smarty.net/docsv2/ru/language.modifier.escape.tpl

Года 3 назад вставляли iframe на один мой сайт с периодичностью в один день. Я сидел, думал где ж у меня в самописе дыра, в итоге вспомнил что на сайте еще пхпбб2 стоял. Ну я сразу почистил на форуме пользователей, оставил регистрацию только через сайт и все проблему как рукой сняло.

В итоге вывод который я вынес за несколько лет, заключается в том что ломают только популярные движки, через известные дыры, и то в 90% случаев это делается на автомате скриптами.

Не надо брать халявных шаблонов и шаблоны за копейки и все будет хорошо.

Потому что правильный шаблон должен выглядеть примерно так

...<div>{content}</div>...

все остальное это попытка создать видимость универсальности в CMS в ущерб другим вещам.