Dynamische Websites. Week 6. vrijdag 25 oktober 13

Transcriptie

1 Dynamische Websites Week 6

2 AGENDA Herhaling Databank SQL Injection Ontwerp

3 OO _ indien private of protected magic

4 zo weinig mogelijk php! View MVC home.php confirm.php vehicledetail.php Controller Model Controller navigatie dispatching Vehicle alle logica en gegevens

5 taak: controller aanmaken index.php taak: navigatie, dispatch controller.php home.php taak: data tonen of opvragen

6 taak: controller aanmaken index.php taak: navigatie, dispatch controller.php vehicle.php vehicledetail.php home.php taak: data tonen of opvragen taak: data bijhouden

7 taak: controller aanmaken taak: valideren sanitize index.php taak: navigatie, dispatch validator.php controller.php vehicledetail.php confirm.php vehicle.php taak: data tonen of opvragen taak: data bijhouden

8 ToDo vehicleoverview.php

9 AGENDA Herhaling Databank SQL Injection Ontwerp

10 Vehicle php DB Vehicle_Mapper interface SQL PHP Data Objects (PDO)... postgres drivers implementeren interface

11 MAPPER vertaalt objecten naar SQL spreekt PDO-interface aan Vehicle_Mapper logisch, werkt met objecten verraadt niets over onderliggende db + construct() +add($vehicle) +update($vehicle) +delete($id) +get($id):vehicle +getall():array...

12 MAPPER: STAPPEN 1. Connecteren: vb: mysql:host=localhost;dbname=test $db = new PDO($dsn, $user, $password); in methode construct() 2. Aanspreken: wijzigen: $db->exec($sql); bevragen: $db->query($sql); in andere methodes SQL statement

13 OP WEBONTWERP....db_password.php <?php $dbuser = "r "; $dbpassword = "1234hvp";?> hidden nu reeds op server

14 IN PROJECT config.php <?php date_default_timezone_set('europe/brussels'); require_once('../.db_password.php'); $db_config = array( 'driver' => 'pgsql', 'username' => $dbuser, 'password' => $dbpassword, 'schema' => 'test_kubeh', r 'dsn' => array( 'host' => 'gegevensbanken.khleuven.be', 'dbname' => 'webontwerp', 'port' => '51314', 2TX3R1 of ) 2TX3R2... );

15 MAPPER: CONNECTEREN $dsn opbouwen o.b.v. config.php connectie schema-prefix overbodig

16 MAPPER: WIJZIGEN SQL opbouwen statement uitvoeren

17 MAPPER: BEVRAGEN SQL opbouwen statement uitvoeren resultaat in associatieve array array omzetten naar objecten

18 CONTROLLER

19 AGENDA Herhaling Databank SQL Injection Ontwerp

20 OK? Wat als: OR 1=1 $sql = "SELECT password FROM users WHERE username = '". $_GET['username']. "';"; $result = $db->query($sql); $value = $result->fetchcolumn(); if ($value == sha1($_get['password'])) { " echo 'your are logged in'; }

21 RISICO $sql: SELECT password FROM users WHERE username = OR 1=1 $result: alle users en paswoorden 1ste rij: wellicht admin altijd true!

22 PREPARED STATEMENTS Placeholders in plaats van values statement éénmaal parsen herhaaldelijk oproepen met andere parameterwaarde Voordelen: tijdswinst overzichtelijke syntax structuur query ligt vast, dus veilig

23 // query met een sql-parameter $sql = "SELECT password FROM users WHERE username = :user_name;"; // statement wordt op voorhand geparsed $stmt = $db->prepare($sql); // php variable linken aan sql-parameter // het moet een string zijn met maximum 15 karakters $stmt->bindparam(':user_name', $_GET['username'], PDO::PARAM_STR, 15); // statement uitvoeren $stmt->execute(); $value = $stmt->fetchcolumn(); if ($value == sha1($_get['password'])) { " echo 'your are logged in'; }

24 MAPPER

25 AGENDA Herhaling Databank SQL Injection Ontwerp

26 EXTRA VEREISTE Ook werknemers registereren Klassen: Employee EmployeeMapper

27 EMPLOYEE_MAPPER DRY!

28 Vehicle_Mapper + construct() +add($vehicle) +update($vehicle) +delete($id) +get($id):vehicle +getall():array... aanmaken specifieke SQL, objecten OPLOSSING Db Employee_Mapper + construct() +add($employee) +update($employee) +delete($id) +get($id):employee +getall():array... + construct() +select($sql, $arguments) generieke functionaliteit

29 Controller MVC Vehicle_Mapper Vehicle Db Employee_Mapper Employee

30 Controller FAÇADE Garage_Model Vehicle_Mapper Vehicle Db Employee_Mapper Employee

31 OK? $db1:db Db + construct() +select($sql, $arguments) $db3:db $db2:db te veel connecties!

32 SINGLETON

33 AGENDA? Herhaling Databank SQL Injection Ontwerp