[PHP/MySQL]Best practices

Dr_Frickin_Evil schreef op 19 april 2004 @ 18:42:- mysql_close(), nadat je verbinding hebt gemaakt met de database, en je hebt alle info [...]verstuur?
Ik doe dit nooit, en ik krijg er geen foutmeldingen over, maar is het beter als ik het wel doe?

- Als ik een form heb wat gepost wordt naar een file.php welke het form verwerkt, start ik die file.php altijd met if ($_POST).
Is dit false, dan wordt je naar het form geredirect. Is dit true, dan wordt het form verwerkt.

Hierin lees ik eerst alle POST-variabelen uit die het form meegeeft (althans mee zou moeten meegeven) met $var = $_POST['var'];.
Ik bedenk me dat dit eigenlijk misschien niet zo'n goeie manier is, en dat ik eerst moet kijken of die waarde uberhaupt wel bestaat met isset($_POST['var'], maar dat zou ik voor elke variabele die check uit moeten voeren.

- Lege MySQL kolommen.
Op de site moeten newsitems en 'foto-items' geplaatst kunnen worden. Het lijkt mij het [...] "n/a" of "nvt" ofzo invullen?

[ Voor 13% gewijzigd door djluc op 19-04-2004 20:17 ]

djluc schreef op 19 april 2004 @ 19:12:Maak een array met alle benodigde velden en loop hierdoorheen. Check steeds of het veld wat verplicht is ook in de post array voorkomt.

1
2
3
4
5

foreach $array as $a {
  if (isset($_POST[$a])){
    ${$a}=$_POST[$a];
  }
}

Dr_Frickin_Evil schreef op 19 april 2004 @ 18:42:- Lege MySQL kolommen.
etc...

Op deze manier krijg je dus een error te zien als je die file via de adresbalk opvraagt. Ik heb er geen else-statement bijgezet, omdat je er toch altijd meteen uitgeknikkerd wordt door de header-redirect, of niet?

[ Voor 7% gewijzigd door Verwijderd op 20-04-2004 23:30 ]

Eärendil schreef op 20 april 2004 @ 02:21:
[...]
Hier kan je handig 'variable variables' voor gebruiken:

PHP:

1 2 3 4 5

foreach $array as $a { if (isset($_POST[$a])){ ${$a}=$_POST[$a]; } }

1
2
3
4
5
6
7

$var1 = '';
$var2 = '';
$var3 = 0;

if ($_SERVER['REQUEST_METHOD'] == 'POST') {
   extract ($_POST, EXTR_OVERWRITE);
}

[ Voor 31% gewijzigd door Bosmonster op 21-04-2004 09:51 ]

- Als ik een form heb wat gepost wordt naar een file.php welke het form verwerkt, start ik die file.php altijd met if ($_POST).
Is dit false, dan wordt je naar het form geredirect. Is dit true, dan wordt het form verwerkt.
Hierin lees ik eerst alle POST-variabelen uit die het form meegeeft (althans mee zou moeten meegeven) met $var = $_POST['var'];.
Ik bedenk me dat dit eigenlijk misschien niet zo'n goeie manier is, en dat ik eerst moet kijken of die waarde uberhaupt wel bestaat met isset($_POST['var'], maar dat zou ik voor elke variabele die check uit moeten voeren.
Kan dit niet makkelijker? Of korter iig?

1
2
3
4

<form method="post" action="file.php">
  <input type="text" name="name">
  <input type="submit" value="ok">
</form>

- Lege MySQL kolommen.
In het geval van een foto-item zou het veld "message" steeds leeg zijn. Moet ik daar dan ook niks invoegen, of kan ik er beter steeds bijv "n/a" of "nvt" ofzo invullen?

robertpNL schreef op 21 april 2004 @ 09:57:
[...]


Waarom moeiljik doen als het makkelijker kan. Gewoon iedere INPUT-element van je formulier een attribute name="naam_variabel" meegeven. Deze zijn dan in je file.php als normale variabelen beschikbaar.

robertpNL schreef op 21 april 2004 @ 09:57:
[...]
Waarom moeiljik doen als het makkelijker kan. Gewoon iedere INPUT-element van je formulier een attribute name="naam_variabel" meegeven. Deze zijn dan in je file.php als normale variabelen beschikbaar.

[ Voor 38% gewijzigd door Bosmonster op 21-04-2004 10:46 ]

Dat is nou juist waar het om gaat.. Wat jij beschrijft is het gedrag van register_globals. Das ranzig, onoverzichtelijk en creeert potentiele veiligheidslekken. Het gebruik hiervan wordt afgeraden, zelfs door PHP.NET door bovenstaande redenen

Bosmonster schreef op 21 april 2004 @ 10:43:
[...]
Dat is nou juist waar het om gaat.. Wat jij beschrijft is het gedrag van register_globals. Das ranzig, onoverzichtelijk en creeert potentiele veiligheidslekken. Het gebruik hiervan wordt afgeraden, zelfs door PHP.NET door bovenstaande redenen. In standaard installaties staat de setting standaard ook disabled om deze redenen. Met als gevolg dat de setting gebruiken ook nog eens compatibiliteitsproblemen op kan leveren.

Bosmonster schreef op 21 april 2004 @ 09:48:
Je zult toch echt moeten initialiseren wil je het enigszins overzichtelijk en veilig houden.

PHP:

1 2 3 4 5 6 7

$var1 = ''; $var2 = ''; $var3 = 0; if ($_SERVER['REQUEST_METHOD'] == 'POST') { extract ($_POST, EXTR_OVERWRITE); }

Zo weet je zeker dat je varabelen gezet zijn en ze niet te overschrijven zijn.

Waarom niemand overigens extract() gebruikt en zelf daar maar loopjes voor blijft schrijven is mij ook een raadsel

Het extracten is in principe ook al niet zo netjes (er variabelen van maken), maar het scheelt je een berg issets op de $_POST elke keer.

Dr_Frickin_Evil schreef op 20 april 2004 @ 17:12:
Nog een vraagje, op de site include ik verschillende php-files voor de verschillende onderdelen van de site. Om ervoor te zorgen dat deze files niet zomaar opgevraagd kunnen worden, doe ik het volgende. Ik zet in de index.php (die de andere files include) de regel:

code:

1	$initialized = 1;

Vervolgens check ik bij elke geinclude file:

code:

1 2	if (!$initialized) header("Location:../index.php?section=error&code=5");

Op deze manier krijg je dus een error te zien als je die file via de adresbalk opvraagt. Ik heb er geen else-statement bijgezet, omdat je er toch altijd meteen uitgeknikkerd wordt door de header-redirect, of niet?

1

if(!defined("IN_SITE")){trigger_error("Zo, jij bent 1337 :o", E_USER_ERROR);}

1

define('IN_SITE','scriptname');

Eskimootje schreef op 21 april 2004 @ 15:34:
Zet je include files gewoon in een aparte dir die niet te benaderen is van het internet. Maar alleen door apache/php.

Eskimootje schreef op 21 april 2004 @ 15:55:
Je kan permissies ook per file instellen, gaat me er vooral om dat men er over nadenkt welke techonlogie het beste gebruikt kan worden. En dubbele security is in dit geval zeker niet erg.

Nielsz schreef op 21 april 2004 @ 13:54:
@Bosmonster, bedoel je niet EXTR_SKIP??

[ Voor 6% gewijzigd door Bosmonster op 24-04-2004 20:06 ]