[PHP] Werking <?= tag

[Demonitzu]

Ik ben min of meer per ongeluk achter de <?= tag in php gekomen. Ik kan er niets over vinden op Google omdat het geen geldige zoekterm is. Ik heb de onderstaande code succesvol uitgetest. Kan ik er vanuit gaan dat <?= hetzelfde is als <?php echo?

PHP:

<?php while ($row = $query->fetch_array()) : ?>
    <div>
        <a href="/<?php echo get_slug($row['title']) ?>/<?php echo $row['title'] ?>"</a>
    </div>
<?php endwhile; ?>

PHP:

<?php while ($row = $query->fetch_array()) : ?>
    <div>
        <a href="/<?= get_slug($row['title'])?>/<?= $row['title'] ?>"</a>
    </div>
<?php endwhile; ?>

[CyBeR]

Correct.

Dat ding heet overigens de 'short echo tag'.

[ Voor 75% gewijzigd door CyBeR op 26-05-2016 03:34 ]

[Merethil]

Wel mee oppassen, sommige hostings hebben die uitstaan. In php.ini kan je ze disablen/enablen maar soms (of altijd als default bij nieuwe installatie?) staat die setting uit.

[ Voor 11% gewijzigd door Merethil op 26-05-2016 06:28 ]

[RobertMe]

Merethil schreef op donderdag 26 mei 2016 @ 06:27:
Wel mee oppassen, sommige hostings hebben die uitstaan. In php.ini kan je ze disablen/enablen maar soms (of altijd als default bij nieuwe installatie?) staat die setting uit.

Tegenwoordig werkt de short echo altijd, alleen de short open (<?) kan worden uitgeschakeld. Dit omdat deze conflicteert met XML. Maar vroeger viel <?= inderdaad onder dezelfde setting, maar sinds 5.3? is dat al niet meer zo.

[Merethil]

RobertMe schreef op donderdag 26 mei 2016 @ 07:15:
[...]

Tegenwoordig werkt de short echo altijd, alleen de short open (<?) kan worden uitgeschakeld. Dit omdat deze conflicteert met XML. Maar vroeger viel <?= inderdaad onder dezelfde setting, maar sinds 5.3? is dat al niet meer zo.

Ah bedankt voor de opheldering, weer wat geleerd. (Gebruik zelf PHP hoogstens eens per jaar en dan alleen met oudere versies vanwege wat legacy spul op het werk)

[CyBeR]

RobertMe schreef op donderdag 26 mei 2016 @ 07:15:
[...]

Tegenwoordig werkt de short echo altijd, alleen de short open (<?) kan worden uitgeschakeld. Dit omdat deze conflicteert met XML. Maar vroeger viel <?= inderdaad onder dezelfde setting, maar sinds 5.3? is dat al niet meer zo.

Dat is sinds 5.4 inderdaad.

[Icelus]

Zie ook documentatie echo.

echo also has a shortcut syntax, where you can immediately follow the opening tag with an equals sign. Prior to PHP 5.4.0, this short syntax only works with the short_open_tag configuration setting enabled.

PHP:

I have <?=$foo?> foo.

[Demonitzu]

Bedankt voor de reacties! Ik heb zelf de short tags uitgeschakeld via php.ini, mede daardoor viel de functionaliteit van deze short echo me op

[Cartman!]

Let wel even op dat je geen XSS lek creeert door $row['title'] niet te escapen. Je kan ook eens kijken naar n template engine als Twig (http://twig.sensiolabs.org/) om het leven je makkelijker te maken.

[Ventieldopje]

Cartman! schreef op donderdag 26 mei 2016 @ 16:16:
Let wel even op dat je geen XSS lek creeert door $row['title'] niet te escapen. Je kan ook eens kijken naar n template engine als Twig (http://twig.sensiolabs.org/) om het leven je makkelijker te maken.

Escapen en checken moet je vooral doen als je dingen in de database stopt. Denk dat het risico in dit geval miniem is

[Voutloos]

Neen. Bij je db insert moet je escapen zodat je query syntax zoals bedoeld blijft. En in je output moet je escapen zodat je html syntax zoals bedoeld blijft.

Zorg gerust voor abstracties welke deze zorgen voor je wegnemen, maar elke andere wijze van escapen is feitelijk fout en zal altijd een bad practice blijven.

[Cartman!]

Ventieldopje schreef op donderdag 26 mei 2016 @ 17:27:
[...]


Escapen en checken moet je vooral doen als je dingen in de database stopt. Denk dat het risico in dit geval miniem is

Wat Voutloos zegt: alleen input escapenfilteren is onvoldoende. Misschien wel een van de grootste misvattingen dat output niet meer escaped hoeft te worden waar flinke hacks uit voortgekomen zijn.