Comments on: Taint mode voor PHP ?

By: berry__

berry__ — Tue, 23 Oct 2007 14:32:06 +0000

> Dit vooral omdat er ISP's zijn die niet eens naar php.ini kijken en gewoon alles
> op standaard laten staan. En dat gaat dan zeker heel veel code breken.

Waar baseer je dat op? Ik kan mezelf echt niet voorstellen dat er hosts (ISP's) zijn die er niet naar kijken.

By: Pieter

Pieter — Mon, 22 Oct 2007 13:06:02 +0000

Ik zou het best wel een handige feature vinden. Maar ik denk dat de Taint mode niet automatisch aan moet staan. Dit vooral omdat er ISP's zijn die niet eens naar php.ini kijken en gewoon alles op standaard laten staan. En dat gaat dan zeker heel veel code breken.

By: berry__

berry__ — Mon, 08 Oct 2007 07:13:31 +0000

> Degene die wel geinteresseerd zijn in het
> zichzelf verbeteren vinden bij deze
> meldingen een helpende hand en direct een
> introductie tot de gevaren die op de loer
> liggen :)

Dat, plus een steuntje in de rug voor de gevorderde programmeurs op een maandagochtend. Tuurlijk let ik op veiligheid, maar ik vergeet ook wel eens iets. Als ik daarop gewezen kan worden, dan graag.

By: Mathieu Kooiman

Mathieu Kooiman — Fri, 05 Oct 2007 18:37:45 +0000

Dat heb je nu, en dat zal je dan ws. ook wel houden. Dit zijn de mensen die het ontwikkelen verder niet interesseert. Degene die wel geinteresseerd zijn in het zichzelf verbeteren vinden bij deze meldingen een helpende hand en direct een introductie tot de gevaren die op de loer liggen :)

By: Daniel

Daniel — Fri, 05 Oct 2007 18:35:37 +0000

Werkt dit niet in de hand dat er nog meer slechte programmeurs komen, die niet weten waar ze mee bezig zijn?
"Oh, foutmelding, nou dan voeg ik dat wel toe of copy paste ik wel iets anders bij elkaar".

By: Mathieu Kooiman

Mathieu Kooiman — Fri, 05 Oct 2007 05:31:17 +0000

Ik let ook erg goed op, maar je hebt altijd kans dat er iets tussen door glipt. Vergeet niet, deze patch controleert in feite op alle fronten op de data in die bepaalde context gebruikt mag wordt, niet alleen maar of je niet wat userinput weer echoed.

Ik zie het in elk geval als een nuttige feature, zeker voor grotere projecten.

By: Marten

Marten — Thu, 04 Oct 2007 08:29:59 +0000

Ben helaas al gecontracteerd Berry ;) En ja ik let er heel veel op om mijn userinput te controleren.

By: berry__

berry__ — Thu, 04 Oct 2007 07:30:17 +0000

@Marten:
> De gevorderde scripters zullen het niet
> nodig hebben omdat die 'veilig' scripten.

Jij vergeet _nooit_ je output te escapen? Neem dan even contact met me op; zo'n programmeur zoek ik nog ;)

By: AlphaDelta

AlphaDelta — Wed, 03 Oct 2007 13:26:52 +0000

Vind het zeker ook een goed idee.

Idem hier onderscheid tussen dev en productie.

Misschien is dit een zoveelste stap in het ontkrachten van het eeuwige cliché dat PHP in se onveilig is (recent cf. Facebook.com crash enz).

By: Arian

Arian — Wed, 03 Oct 2007 13:03:00 +0000

Dit lijkt mij zeker handig. Beginners leren dan goed te scripten, en voor mijn devmachine is het ook handig, het kan altijd gebeuren dat je zoiets een keer vergeet, waardoor je wel een lek in je script hebt. Dit kan dit voorkomen. Op de productieserver moeten errors in principe altijd uit staan, wat mark al zei, hebben alleen hackers hier wat aan.