Практика php.

виртуалочку подыми

 

Ха. КОгда обновляю страницу, счётчик увеличивается Прикольно. Редирект надо делать после записи данных

 

https://github.com/devanonymous/board/blob/master/m/DB.php#L25 - класс DB (база данных) не должен отвечать за комментарии, за это должна отвечать модель "комментарии". А если у вас там ещё чего появится, тоже всё в класс DB засунете? Из названия DB следует, что этот класс - просто обёртка над стандартной библиотекой баз данных. Вот так получается, когда классы пишутся ради классов

Добавлено спустя 4 минуты 33 секунды:
https://github.com/devanonymous/board/blob/master/m/Model.php#L12 - а зачем так сложно-то? Если в сессии лежит логин, значит ты его туда положил, значит не нужно снова запрашивать БД. Сессии привязаны к конкретному пользователю, посему если пользователь прошёл у тебя аутентификацию, логин уже лежит в сессии. А если вышел - логина в сессии нету. Другое дело, защита всякая от угона сессии, но тут тебе пока заморачиваться не надо. И именно потому, что факта наличия логина в сессии достаточно для того, чтобы сказать, что пользователь войдён, и не нужно хранить в сессии пароль. И опять же, класс, отвечающий за аутентификацию не должен называться просто Model

Добавлено спустя 1 минуту 14 секунд:
Защиты от повторной отправки форм нигде нету.

Добавлено спустя 3 минуты 15 секунд:

Код (PHP):

1. $query = "INSERT INTO `comments` (`name`, `comment`, `email`, `date`)
2.             VALUES ('%s', '%s', '%s', '$current_date')";
3.         mysqli_escape_string($this->db_link, $query);
4.         $query = sprintf($query, $user_name, $comment, $email);
5.  

Это не защищает от sql-инъекций.
1) весь запрос, а тем более несформированный, нельзя пропускать через функции экранирования. Он станет некорректным. Через функции экранирования пропускаются только значения в него подставляемые
2) Результат вызова функции mysqli_escape_string ты смываешь в унитаз, посему этот код вообще работает (иначе бы получил ошибку), однако же sql-инъекции возможны всё равно

Добавлено спустя 3 минуты 57 секунд:
https://github.com/devanonymous/board/blob/master/c/AdminPanel.php#L30 - не вижу там проверки, залогинен ли я. То есть сделав нехитрый get-запрос можно будет без авторизации делать одобрение комментов

 

ну как тебе сказать... если ты работаешь со строками то в твоем запросе будут апострофы для обрамления этих строк. и они будут вдруг экранированы.

пример:

Код (PHP):

1. $tpl = "SELECT '%s' `name`";
2.         
3. $name = "Jeanne d'Arc";
4.         
5. $bad = sprintf($tpl, $name);
6. $good = sprintf($tpl, DB::escape($name));
7. $wtf = DB::escape(sprintf($tpl, $name));
8.         
9. printf("%s\n%s\n%s\n\n", $bad, $good, $wtf);

вывод спецом дам построчно чтоб видно было что происходит в каждом случае:
бэд

Код (PHP):

1. SELECT 'Jeanne d'Arc' `name`

гуд

Код (PHP):

1. SELECT 'Jeanne d\'Arc' `name` 

втф

Код (PHP):

1. SELECT \'Jeanne d\'Arc\' `name`

 

Да, уже гораздо логичнее всё. Я правда, быстренько смотрю. Если ты эскейпишь значение здесь: https://github.com/devanonymous/board/blob/master/m/DB.php#L48, то не надо эскейпить его здесь: https://github.com/devanonymous/board/blob/master/m/Comments.php#L28. А то будет искажение данных из-за двойного эскейпа.

Имена колонок эскейпить не надо: https://github.com/devanonymous/board/blob/master/m/DB.php#L53. Во-первых, их не передаёт пользователь, во-вторых, слеши там просто недопустимы, как и апострофы, mysql просто выдаст ошибку

Не заметил во вьюшках htmlspecialchars, а нужно ставить, а то можно на XSS нарваться.

По поводу защиты от повторной отправки - так просто же делается. После того, как обработал данные формы, переданной методом post, ничего не выводишь, а просто даёшь редирект на какую-нибудь подходящую страницу. Можно в сессию чегой-нибудь записать, чтоб было видно, что форма успешно прошла. Можно не записывать.

 

shayger знать теорию и быть готовым к новым знаниям, а то тут многие пишут код, но как делать отладку не знают.