Вопросы каждый хороший разработчик PHP должен быть в состоянии ответить [закрыт]

окончательно вопросы безопасности !

(простые ответы в этом посте, конечно, защита веб-приложений php намного сложнее)

• как бороться с SQL-инъекций ?

mysql_real_escape_string () для начала с MySQL. Затем попробуйте изучить PDO, чтобы воспользоваться подготовленными инструкциями и переносимостью между поставщиками баз данных.

• как бороться с CSRF (подделка межсайтового запроса) ?

добавить маркер на каждом важном запросе для защиты важных операций (пользователь должен был видеть форму перед отправкой критического запроса).?

• как бороться с XSS (межсайтовый скриптинг) отражены и сохранены ?

htmlentities () хорошо для начала.

• вариант впрысок XXX: впрыска LDAP, впрыска XPath, etc... ?

вы должны знать, что такое "словарь", используемый XXX, а затем вычесть то, что вам нужно санировать и / или"проверить и отклонить".

• каков список разумных функций ?

функции, которые интерпретируют PHP-код (возможно, включенный в удаленный файл) или которые выполняют команду в вашей системе. Короткий и неполный список может быть: метод exec(), пропускания(), системы(), к popen(), функция eval () код preg_replace()...

• как бороться с опасностями включения файлов ?
• что такое поперечный путь?
• каковы риски связано с загрузкой файлов ?

требуется тщательная проверка параметров, используемых при открытии файла или удаленных ресурсов.

• как применить конфигурацию вашей конфигурации PHP (т. е. вы знаете, что такое использование php.ini) ?

Это будет долго, поэтому я пропускаю ответ, пожалуйста, прочитайте руководство PHP.

• о фильтрации пользовательских данных: в чем разница между очистка и проверить и отказать ?

первый преобразует запись в нечто менее враждебное. Второй проверяет правильность записи и, если нет, то отказывается от нее.

"Почему вы не используете что-то другое?"

к сожалению, кто-то должен был это сказать :)

является ли php кроссбраузерным?

(Я знаю, это сделает laught много людей, но это более-заданный вопрос на PHP форумах!)

Я думаю, что хороший будет вопрос: как работает HTTP? работает с GET и POST данные среди других HTTP-коммуникаций присущи разработке PHP. Понимание того, как HTTP работает в более широком контексте и как PHP реализует это, проходит долгий путь.

в чем разница между == и === и почему вы хотите использовать == вообще?

объясните, почему отображается следующий код 2.5 вместо 3:

$a = 012;
echo $a / 4;

---

ответ: когда число предшествует 0 в PHP число обрабатывается как восьмеричной (основание-8). Поэтому восьмеричное число 012 равно десятичному числу 10.

никто еще не касался этого, но это то, о чем каждый разработчик PHP должен иметь возможность говорить подробно: почему register_globals плохо?

когда сайт разрабатывается с использованием php и это полное дерьмо, это:

a) ошибка PHPs

б) программисты вина

каков наилучший способ избежать пользовательского ввода? (Этот вопрос, кажется, часто возникает)

• при вызове элемента "name" $array, который является правильным?:

  • $array[name]
  • $array['name']

  оба часто работают, но только цитируемая форма правильна. define('name', 0); и смотреть, как летают жуки. Я видел это слишком много.

• как вы можете заставить элементы формы быть представлены в виде массива?

  добавьте пустые скобки к атрибуту name: multiple <input type="checkbox" name="checkboxes[]" /> элементы будут преобразуется в массив на сервере (например $_POST['checkboxes'][0..n]). Я не думаю, что это 100% PHP-специфичный, но он наверняка бьет цикл через $_POST для каждого 'checkboxes'.$i элемент.

• mysql_, mysqli_ или PDO?

  только один действительно неправильный ответ здесь: библиотека mysql_ не делает подготовленных заявлений и больше не может оправдывать свою способность к злу. Называя функцию, предполагается, что она будет вызываться несколько раз за выполненный запрос, "mysql_real_escape_string()", это просто соль в рана.

" какой ваш любимый отладчик?"
-Какой твой любимый профилировщик?"

фактическое приложение / ide / frontend не имеет большого значения, если оно выходит за рамки " notepad, echo и microtime ()". Это настолько маловероятно, что вы нанимаете одного из миллиарда разработчиков, который все время пишет идеальный код, и его/ее модульные тесты обнаружили все ошибки и узкие места, прежде чем они даже произойдут, что вам нужен кто-то, кто может профилировать и/или проходить через код и находить ошибки в конечное время. (Это верно, вероятно, для всех языков / платформ, но мне кажется, что это немного недоразвитый набор навыков среди разработчиков php, чисто субъективный)

у Терри чей есть сообщение в блоге, в основном обобщающее то, что каждый разработчик PHP должен знать и/или ожидать ответа в какой-то степени на собеседовании.

http://terrychay.com/article/php-coders.shtml

Я думаю, что многие резюме.

Я бы спросил что-то вроде:

а) насчет кэширования?

b) как можно организовать кэш?

c) вы уверены, что не делаете дополнительных запросов к БД? (В моем первом материале, который я сделал на PHP, это был mysql_query внутри foreach, чтобы получить имена пользователей, которые сделали комментарии... ужасно :))

d) почему register_globals-это зло?

е) почему и как вы должны разделить представление от кода?

f) какова основная цель "реализовать"?

вот вопросы, которые были не совсем ясны для меня после того, как я прочитал некоторые основные книги. Я узнал все о инъекциях и csx, strpos за несколько дней\недель через тысячи часто задаваемых вопросов в интернете. Но пока я не нашел ответы на эти вопросы, мой код был действительно ужасен :)

Почему вы никогда не должны выводить пользовательский ввод напрямую!

печать таких вещей, как данные из GET напрямую может привести к межсайтовые скрипты (XSS) уязвимостей. Вот почему вы всегда должны отправлять входные данные от клиента через htmlspecialchars() в первую очередь.

объяснить разницу

extract ()

explode ()

implode ()

что не так со следующим кодом?

$a = 2;
function foo()
{
    $a = 3;
}
foo();
echo $a;