werkte eerst wel nu niet ????

Overzicht Reageren

Sponsored by: Vacatures door Monsterboard

Senior Front-end Developer vacature

Jij weet wat er nodig is. Jouw hart gaat sneller kloppen van techniek. Jij wil vooruit. Ben jij de Front-end Developer die we zoeken? Je bent creatief, thuis in gebruikersinteractie en een gedreven engineer in hart en nieren. Daarnaast heb jij een klantgerichte en proactieve houding. Precies de kwaliteiten die een Front-end Developer nodig heeft. Wat doe je als Developer? Als Front-end Developer werk je aan de technische realisatie van front-end (web)applicaties in de verschillende uitdagende opdrachten voor Sogeti’s klanten. Dit kan zowel op klantlocatie zijn, als binnen het Center of Excellence van Sogeti. Jij houdt van het uitdenken en

Bekijk vacature »

Java Developer Internationaal complexe calculaties

Functieomschrijving Kom jij het best tot je recht in een creatieve omgeving en heb jij een pragmatisch instelling? Denk jij graag vijf stappen vooruit en neem je andere daarin mee? Dan pas je zeker bij dit bedrijf. Lees dus snel verder. Ontwikkelen van applicaties en nieuwe functionaliteiten in Java; Aanpassingen maken in bestaande code; Overleggen en samenwerken met architecten en Product Owners; Werken binnen een multidisciplinair Scrumteam met betrekking tot analyse, design en ontwikkeling; Samenwerken en ondersteunen van testers in het proces van automatische regressietesten. Functie-eisen Je hebt minimaal een afgeronde HBO of WO opleiding in de richting van de

Bekijk vacature »

Fullstack .Net Developer voor int. marktleider met

Voor een internationale marktleider in metaalbewerking ben ik op zoek naar een junior / midlevel Fullstack .Net developer. Wat je gaat doen: Onze klant maakt gebruik van hun zelf gebouwde logistieke applicatie. Nu willen zij deze sterk uitbreiden. Zo willen ze o.a. een klant portaal maken, een online factuur systeem bouwen en een mobiele applicatie bouwen. Alles om beter zaken te doen met hun klanten. Je werkt hierbij in .Net C# en later ook Azure. Wie jij bent: MBO / HBO afgestudeerd 2 - 6 jaar ervaring met C# en .NET applicaties Design ervaring is een plus Spreekt Nederlands en

Bekijk vacature »

Senior Java Developer vacature

Jij volgt ontwikkelingen op de voet. Sterker nog: jij bent er onderdeel van. Jij loopt voorop. Jij denkt met klanten mee en helpt hen innoveren. Zo kun jij een bijdrage leveren aan de Rabobank-app, de beveiliging van treinen voor Pro-rail verbeteren of de website van ING een boost geven. Vergaderen? Liever gewoon zorgen dat het werkt! Hoe omschrijft men een Sogetist? Gedreven, resultaatgericht en niet snel tevreden. Wat niet wil zeggen dat je nooit met hem of haar kunt lachen. Integendeel. Plezier hoort wat ons betreft net zo goed bij werken. Maar we gaan op de eerste plaats voor de

Bekijk vacature »

Senior C# Developer (intern, 4K - 5K, leaseauto mo

Functieomschrijving Binnen deze functie kom je nauw samen te werken met je collega's uit het Scrumteam. Samen komen jullie elke dag voor technische uitdagingen te staan. De ene dag kan dit bijvoorbeeld het ontwikkelen van een volledig nieuwe (web)applicatie zijn (ik zeg dag, maar natuurlijk ben je hier wel langer zoet mee), terwijl je de andere dag technische problemen diep in de kern van een bestaand product oplost. Als C# expert krijg jij daarbij de verantwoordelijk over het Backend gedeelte van de applicaties die jullie bouwen/verbeteren. Jij wordt enthousiast van het ontwikkelen van een zo efficiënt mogelijke Backend en bent

Bekijk vacature »

C-ARM Specialist

Wil jij werken voor high-profile klanten in de fascinerende markt van Energieleveranciers en Netbeheerders? Heb jij diepgaande kennis van ARM processen voor zowel Gas als Elektriciteit? Ben jij dé Specialist C-ARM die wij zoeken? C-ARM Specialist – Utilities Wat ga je doen? Als ARM specialist hou je, je bezig met het beheren van ARM systemen. Je werkt samen met je collega’s van het C-ARM beheerteam aan het borgen van complexe processen. Je analyseert en lost voorkomende incidenten op. Hiervoor is niet alleen een gedegen kennis van de ARM processen noodzakelijk, maar ook kennis van de ARM applicatie en uitstekende analytische

Bekijk vacature »

Java Developer Digital

At KLM, we prefer to call back-end developers Java developers. It's because of our love of travel. The world we live in is changing rapidly, and as a developer, you're in the cockpit. Will you join us on a digital journey around the world? About the job What will your task be? You are the indispensable link in the big picture. Most of all, you will help make innovations a reality. For example, you can proudly stand next to the check-in that you have made possible. Because let's be honest: we are at the cutting edge of innovation, but without

Bekijk vacature »

Junior Java Developer / DevOps / Cloud / Financi&e

Functieomschrijving Wil jij graag aan de slag als Java Developer? Heb jij affiniteit met de financiële branche? Wil jij systemen ontwikkelen die een grote impact hebben en binnen de gehele organisatie gebruikt worden? Solliciteer dan nu! Als Developer ben je primair verantwoordelijk voor het ontwerpen, bouwen en testen van software in al zijn facetten: Het designen en developen/ontwikkelen in Java van nieuwe software en nieuwe features op bestaande functionaliteiten; Het reviewen en overzien van de geschreven code; Het continu verbeteren van de richtlijnen en standaarden voor het geleverde werk binnen het team; Het bijdragen aan het verder automatiseren van de

Bekijk vacature »

VB.NET / C# Winforms developer gezocht voor onderh

Voor een bedrijf in het centrum van Rotterdam zijn we op zoek naar een .NET developer. Het gaat om een bedrijf dat een software platform beheerd waarop verschillende partijen aangesloten zijn voor de afhandeling van financiële administratieve processen. De organisatie bestaat uit circa 200 mensen waarvan 80 op de locatie waar deze vacature speelt. Het team zelf bestaat uit 12 mensen waaronder 7 .NET developers. Er zijn 2 seniors en 5 mediors. Binnen het bedrijf draaien twee systemen. Het kernsysteem en het legacy systeem. Het kernsysteem is grotendeels op .NET gemaakt en deels .NET Core, de frontend is een MVVM

Bekijk vacature »

Senior iOS Developer vacature

Je bent innovatief. Je bent creatief. Jij gaat voor een topbaan. Mobile apps ontwerpen, uitwerken en realiseren, dat is jouw passie! Met grote toewijding richt jij je dan ook op een app waarmee consumenten met een gezichtsscan betalen. Of je stort je je op een app die de temperatuur in huis op afstand kan regelen. Het spreekt voor zich dat jouw apps top of the bill zijn als het gaat om gebruiksvriendelijkheid en veiligheid. Ze hebben impact. Je voelt je als een vis in het water in een iOS-omgeving maar, veelzijdig als je bent, kun je ook met andere platforms

Bekijk vacature »

Fullstack PHP developer voor gerenommeerde organis

Functieomschrijving Voor de functie is het belangrijk dat jij goede kennis hebt van PHP en Laravel/Symfony en JavaScript. Ze zoeken dus iemand die al 5 jaar werkervaring heeft als developer. Je zult hier zowel op de Front- als Backend werkzaam zijn en samen met je collega's ben je verantwoordelijk voor de software. Wil jij jezelf verder uitdagen in een klein en sterk team? Dan ligt hier de kans om deze stap te zetten! Functie-eisen - Je hebt minimaal 5 jaar werkervaring als PHP developer; - Javascript, PHP en MySQL kennen geen geheimen voor jou; - Je hebt kennis van meerdere

Bekijk vacature »

C# Developer /SaaS applicaties/MVC/ SQL/ 4.000 eur

Functieomschrijving Ben jij een .NET (C#) Developer wil werken in een IT-minded organisatie? Heb je kennis van MVC en SQL? Wil jij werken aan in-house ontwikkelde applicaties? Houd jij de nieuwste technieken in de gaten om het ontwikkelproces beter te laten verlopen? Lees dan snel verder! Nieuwbouw, onderhoud en bugfixing van de applicaties; Het produceren van code met een hoge kwaliteit; Hulp bieden aan jouw collega's met verschillende (complexe) technische kwesties; Kwaliteitsmonitoring van het gehele project, incl. de opgeleverde wijzigingen; Het waarnemen van verbetermogelijkheden en deze op de planning zetten. Functie-eisen Uitgebreide werkervaring met C#; Kennis van MVC en SQL;

Bekijk vacature »

Senior PHP Developer BDD Zorg

Functieomschrijving Ben jij een PHP Developer die out of the box denkt? Zoek jij naar de mogelijke als naar de onmogelijke oplossingen? Werk jij graag met kritische vraagstukken dat mensenlevens kan redden of kosten? Reageer nu en kom alles te weten! Ben jij iemand die energie krijgt van het ontwikkelen van een complexe PHP objectgeoriënteerde platform; Denken jij graag mee over de architectuur; Geeft een mooie schone code jou energie en doe jij er alles aan dat dit zo blijft; Vind jij het net zo belangrijk dat de huidige software goed onderhouden wordt; Denk jij graag out of the box;

Bekijk vacature »

Java Developer Digital

At KLM, we prefer to call back-end developers Java developers. It's because of our love of travel. The world we live in is changing rapidly, and as a developer, you're in the cockpit. Will you join us on a digital journey around the world? About the job What will your task be? You are the indispensable link in the big picture. Most of all, you will help make innovations a reality. For example, you can proudly stand next to the check-in that you have made possible. Because let's be honest: we are at the cutting edge of innovation, but without

Bekijk vacature »

Junior Java Developer

Als junior Java Developer ga je direct in een Scrum team Java software bouwen. Je wordt goed begeleid door Java vakmannen en er is veel ruimte voor opleidingen en innovatie. Je ontwikkelt interessante maatschappelijke applicaties. Miljoenen mensen zijn dagelijks afhankelijk van de software. Er zijn 7 Java Scrumteams, waarbij ieder team aan een eigen applicatie bouwt. In ieder team zijn meerdere senior, medior en junior Java Developers aanwezig. Daarnaast is er minimaal 1 Tester en een vaste Product Owner per team. Er wordt veel 'pair programming' toegepast. Dit houdt in dat je samen met een ervaren Java Developer code gaat

Bekijk vacature »
Sylvester vader

sylvester vader

11/09/2019 09:41:32
Quote Anchor link
aaaaaa ok uhm mischien is dit iets heel simpels maar ik snap het even niet

ik heb een upload script voor foto-albums
deze werkt helemaal top, tenminste totdat mijn klant mij gister opbelde en zegt dat de foto's niet werken

dus ik gaan checken en inderdaad het werkt niet

de upload werkt wel
echter zet hij de gegevens niet meer door naar de database
en naar mijn weten is hier niks aan veranderd

het deleten van foto's uit de database enzo werkt wel via zelfde script

upload deel
Code (php)
PHP script in nieuw venster Selecteer het PHP script
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
protected function handle_file_upload($uploaded_file, $name, $size, $type, $error,
$index = null, $content_range = null) {
$file = parent::handle_file_upload(
$uploaded_file, $name, $size, $type, $error, $index, $content_range
);

if (empty($file->error)) {
    $sql = 'INSERT INTO `'.$this->options['db_table']
        .'` (`account`, `users__id`, `filename`, `mainimage`)'
        .' VALUES ('.$this->options['account'].','.$this->options['id'].', ?, ?)';
    $query = $this->db->prepare($sql);
    $query->bind_param(
            'si',        
            $file->name,
            $file->mainimage    
            );
            $query->execute();
            $file->id = $this->db->insert_id;
        }
        return $file;
    }


delete deel
Code (php)
PHP script in nieuw venster Selecteer het PHP script
1
2
3
4
5
6
7
8
9
10
11
12
public function delete($print_response = true) {
        $response = parent::delete(false);
        foreach ($response as $name => $deleted) {
            if ($deleted) {
                $sql = 'DELETE FROM '.$this->options['db_table'].' WHERE users__id='.$this->options['id'].' AND account='.$this->options['account'].' AND filename=?';
                $query = $this->db->prepare($sql);
                 $query->bind_param('s', $name);
                $query->execute();
            }
        }
        return $this->generate_response($response, $print_response);
    }
 
PHP hulp

PHP hulp

17/01/2020 15:13:10
 
Ivo P

Ivo P

11/09/2019 11:17:14
Quote Anchor link
hij zet niets in de database.

Eerste gedachte: de query die de insert doet, mislukt.
Wat is de foutmelding die er komt bij de insert.

Als geen: wordt de query wel uitgevoerd? Dat is een uitgebreidere zoektocht, dus ik zou eerst eens foutafhandeling rond $query->execute() toevoegen.

Reden zou kunnen zijn dat de auto-increment aan zijn einde zit (bijvoorbeeld als je een tinyint voor een id-kolom hanteert)
 
Sylvester vader

sylvester vader

11/09/2019 13:26:45
Quote Anchor link
ik heb eens nagekeken en inderdad ging er iets mis bij invoer, bij mijn mainimage deel
ik heb deze er tijdelijk maar even uitgehaald nu werkt het wel weer
 
Thomas van den Heuvel

Thomas van den Heuvel

11/09/2019 16:11:51
Quote Anchor link
Even iets heel anders. Waarom maak je gebruik van prepared statements in mysqli? Dit is echt compleet ruk.

Daarnaast, je maakt hier wel een hele rare spagaat door de helft van je DATA gewoon te concateneren in je SQL-string.

Nu zou je zeggen "ja maar dat zijn opties die uit het systeem komen, en dus zijn ze veilig" ofzo. Dat klopt misschien wel, maar iedereen die ooit die code ziet zal zich daarvan moeten vergewissen. Je laat mensen dus onnodig nadenken over query-veiligheid, terwijl prepared statements hier juist voor bedoeld zijn!

En wat als je straks een twijfelgevalletje hebt: een waarde die van een externe bron afkomstig is, maar gevalideerd is en dus veilig is (en daarbij, hoe verschilt dat dan precies van de bovenstaande $this->options)? Neem je deze gewoon in de SQL op? Of toch via een parameter? Maar wat houdt dat dan in als je deze gewoon concateneert, maakt dit dan prepared statements niet helemaal overbodig als je alles gewoon fatsoenlijk vantevoren valideert?

Op dit moment zit er sowieso geen lijn in wat je doet. Ik zou je dringend aanraden om dit te fixen en hierbij gewoon af te stappen van prepared statements in MySQLi. Bij gebrek aan eigen inspiratie doe een van de twee dingen:
- stap over naar PDO en gebruik daar prepared statements (maar dan dus consequent op de goede manier)
- gebruik MySQLi en escape de DATA-delen met real_escape_string() in combinatie met quotes

En wat @Ivo dus zegt, je hebt een manier nodig om foutmeldingen met queries te detecteren en/of af te handelen. Je zou dus sowieso veel profijt hebben van een soort van database-wrapper. Je kunt op die manier veel sneller fouten (met queries) localiseren.

Nu ben je waarschijnlijk nog geen biet wijzer, want in wezen zeg je "het ging fout, en ik weet niet waarom, en nu gaat het weer goed, en ik weet nog steeds niet waarom". Het is jouw taak als programmeur om dit uit te zoeken om herhaling te voorkomen. Code besluit niet zomaar om op het ene moment wel te werken en het andere moment niet. Wat dat betreft is code heel makkelijk: het doet *precies* wat het is voorgeschreven om te doen.
 
Sylvester vader

sylvester vader

11/09/2019 19:28:15
Quote Anchor link
ja meester :P
nee maar je hebt wel gelijk
die prepared statements saten al in het oorspronkelijke login script waar ik 10 jaar mee ben begonnen
voor mysqli gebruikte ik dit niet maar ik kon geen goede werkende manier vinden die voor all mijn paginas werkte en dus heb ik dit gebruikt

ik moet ook een keer het geheel op de schop gooien en nieuw maken
echter is dit niet zo makkelijk gedaan als gezegd
mijn script is om het even heel bot te zeggen jarenlange ideeen scripten en aanpassingen in een werkende bedrijfs omgeving

het zijn serieus misschien wel meer dan 2000 files
ik zou het op dit moment ook niet echt weten
hele boekhoudingen worden met mijn gehele systeem gedaan
POS systemen
verschillende dynamische websites die allemaal met elkaar samenwerken

het is misschien verouderde code maar het werkt en ik verbeter elke dag
en het meeste werkt perfect hoor maar het heeft zeker wel verbetering nodig of eigelijk
geheel nieuw
maar ik kan niet zomaar even een nieuwe maken omdat ik daarvoor een werkende omgeving nodig hebt
ik test veel voordat ik iets online zet maar als scripter kan je ook niet altijd alles voorzien

daar huur ik soms beta testers voor in omdat ik het zelf in mijn 1tje gewoon niet altijd alleen kan doen

bedoeling is dat ik over een jaar een geheel nieuw script ga maken
het bestaande script moet dan eerst helemaal zijn hoe ik het wil
en daarna ga ik het gehele script herschrijven met moderne code

waarschijnlijk moet ik dan een heel team inhuren
want het is echt heeeeeel veel werk

en het moet allemaal dus werken op de oude database zonder ook maar 1 foutje

1 foutje betekent direct faliet voor 10+ bedrijven
1 uur offline kan duizenden euros kosten
om die reden wacht ik dus nog even tot ik zeker weet dat alles perfect is in het oude systeem

en ik denk dat ik bijna zover ben maar soms maak ik snelle aanpassingen in niet noodzakelijke delen en dan krijg ik dus dit soort errors

ach het werkt allemaal weer gelukkig daar gaat het om
 
Thomas van den Heuvel

Thomas van den Heuvel

12/09/2019 13:15:43
Quote Anchor link
Sylvester vader op 11/09/2019 19:28:15:
ik moet ook een keer het geheel op de schop gooien en nieuw maken

Mja, maar met een database-wrapper of als je dit met een uitgebreidere class nog verder uit code abstraheert is dat dus niet nodig. Je probleem op dit moment wordt grotendeels veroorzaakt door hard coding. Beschouw het INSERT-statement uit je oorspronkelijke bericht.

Voorheen gebruikte je waarschijnlijk:
Code (php)
PHP script in nieuw venster Selecteer het PHP script
1
mysql_query(...)


Toen schakelde je over op MySQLi:
Code (php)
PHP script in nieuw venster Selecteer het PHP script
1
mysqli_query(...)


En toen had je waarschijnlijk gehoord dat prepared statements de bom was en deed je dit:
Code (php)
PHP script in nieuw venster Selecteer het PHP script
1
2
3
$st = $this->db->prepare(...);
$st->bind_param(...);
$st->execute(...);

NB: de naamgeving die jij gebruikt ($query) is niet echt fantastisch. prepare() retourneert een statement object of false. Geef variabelen zelfdocumenterende namen.

Anyhow, volgende keer is het waarschijnlijk weer een andere flavor of the month.

Wat je tot nu toe functioneel hebt gedaan is echter nooit veranderd: je INSERT nog steeds een record in een tabel. Dan je beklag dat er zoveel bestanden zouden zijn waarin je dit soort dingen zou moeten aanpassen. Sja, als je nooit nadenkt hoe je dit op een indirecte manier voor elkaar krijgt dan zul je dus inderdaad elke keer alle bestanden in moeten duiken om deze hard coded meuk aan te passen.

Maar wat nu als je eens gaat nadenken over hoe je dit wel op een indirecte manier regelt waarbij je dus hard coding vermijdt? Je zou bijvoorbeeld een soort van INSERT-methode kunnen maken voor je database/informatiedrager (wat deze ook moge zijn, dit abstraheer je uit je code). Het daadwerkelijk uitvoeren zit dan in de implementatie van deze code, en niet meer in de lopende code van deze "scripts".

Super simpel voorbeeld:
Code (php)
PHP script in nieuw venster Selecteer het PHP script
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
<?php
class MyDB {
    protected $db;

    public function __construct($options) {
        $this->db = new mysqli(...); // use $options
        $this->db->set_charset(...); // preferred charset
    }

    public function insert($table, $args) {
        $sql  = 'INSERT INTO '.$table.' (';
        $sql .= implode(', ', array_keys($args));
        $sql .= ') VALUES (';
        $sql .= implode(', ', $this->quote($args));
        $sql .= ')';
        // echo '<pre>'.$sql.'</pre>';
        $this->db->query($sql);
    }


    public function insertId() {
        return $this->db->insert_id;
    }


    protected function quote($args, $escape=true) {
        $out = array();
        foreach ($args as $v) {
            $out[] = "'".($escape ? $this->escape($v) : $v)."'";
        }

        return $out;
    }


    public function escape($arg) {
        return $this->db->real_escape_string($arg);
    }
}

?>

Nu, het enige wat in je "lopende code" staat is:
Code (php)
PHP script in nieuw venster Selecteer het PHP script
1
2
3
4
5
6
7
8
9
10
11
<?php
$db
->insert($this->options['db_table'], array(
    'account'   => $this->options['account'],
    'users__id' => $this->options['id'],
    'filename'  => $file->name,
    'mainimage' => $file->mainimage,
));

$file->id = $db->insertId();

return $file;
?>


Als er nu iets in database-land verandert hoef je enkel de IMPLEMENTATIE van de insert() methode aan te passen, en hoef je echt helemaal 0,0 te veranderen in al die 2000 bestanden zelf.

Laat dit ff bezinken.

Ik denk dat hiermee al vrij duidelijk is dat het gebruik van een wrapper gigantische voordelen heeft ten opzichte van alles maar rauw in je code duwen...

Sylvester vader op 11/09/2019 19:28:15:
ach het werkt allemaal weer gelukkig daar gaat het om

Simpelweg omdat iets werkt maakt het nog niet juist.
 
Sylvester vader

sylvester vader

13/09/2019 00:46:50
Quote Anchor link
aaaaaaa hoofdpijnnnnnnn :P dit is nog chinees voor mij maar ik snap het wel

en inderdaad eerst gebruikte ik mysql_query(...)
echter toen had ik dus al die prepared ergens in het toen login script die ik toen had (wist toen nog niet eens dat dat kon op die manier

toen ik over moest naar mysqli_query(...)
kwam ik erachter dat ik er een db connectie bij moest doen en dit was vroeger met
mysql_query(...) niet nodig
echter omdat ik dus zoveel code had in heel veel paginas lukte het mij niet om dit op normale manier aan te passen doormiddel van een bulk edit

toen vond ik dus die manier van prepared en daarmee kon het wel

probleem is dus dat ik zelf alles moet leren en dus helaas nogsteeds niet alles kan

jij hebt mij nu dit geleerd met dat ene stukje en het klinkt eigenlijk heel simpel (weer iets geleerd) dus in nieuwe versie zal ik het inderdaad waarschijnlijk zo doen :)
dus bij deze bedankt voor de kleine maar wijze les
 
Ivo P

Ivo P

13/09/2019 12:30:25
Quote Anchor link
Thomas van den Heuvel op 11/09/2019 16:11:51:

Nu zou je zeggen "ja maar dat zijn opties die uit het systeem komen, en dus zijn ze veilig" ofzo. Dat klopt misschien wel, maar iedereen die ooit die code ziet zal zich daarvan moeten vergewissen. Je laat mensen dus onnodig nadenken over query-veiligheid, terwijl prepared statements hier juist voor bedoeld zijn!


Ik heb nog wel een voorbeeldje waarom "de waarde komt uit het systeem en is dus veilig" niet opgaat:

Ik heb ooit een bug moeten vinden waarom 1 medewerker nooit een order kon afhandelen, terwijl de rest dat prima kon doen.
Uiteindelijk bleek, dat in de logging de naam van de medewerker geplaatst werd. Was mooier geweest als dat het gebruikers_id was geweest, maar a la.

Deze naam was "veilig" volgens bovenstaande redenatie, maar omdat meneer iets van D'Artagnan heette, ging de query grandioos mis.
 
Sylvester vader

sylvester vader

13/09/2019 15:27:09
Quote Anchor link
ja lol heb ik ook ooit meegemaakt zoiets met een quote :P
altijd leuk in text delen in een script met een soort wysiwyg script
als je dan in de text een quote zette dan voerde hij dus de query niet uit :P

dat heb ik toen gelijk aangepast want dat hielt ook in dat er een inject mogelijk was
maar in het begin snapte ik er niks van :P
 
- Ariën -
Beheerder

- Ariën -

13/09/2019 17:18:15
Quote Anchor link
Ik wou dit toch even delen: Filteren op 'gevaarlijke' steekwoorden is ook nooit een oplossing. :-P

Leuke die ik in het verleden tegen kwam:

Code (php)
PHP script in nieuw venster Selecteer het PHP script
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
    if((function_exists("get_magic_quotes_gpc") && get_magic_quotes_gpc())    || (ini_get('magic_quotes_sybase') && (strtolower(ini_get('magic_quotes_sybase'))!="off")) ){
        stripslashes_deep($_GET);
        stripslashes_deep($_POST);
        stripslashes_deep($_COOKIE);
    }
    
      $locatie = $_SERVER['REQUEST_URI'];
$array = Array();
$array[] = "mysql";
$array[] = "query";
$array[] = ";";
$array[] = "}";
$array[] = "INSERT";
$array[] = "%40";
$array[] = "DROPTABLE";
$array[] = "TRUNCATE";
$array[] = "UPDATE";
$array[] = "DELETE";
$array[] = "WHERE";
foreach($array As $foutbezig)
{
    if(eregi($foutbezig,$locatie))
    {
        echo "Waarschijnlijke SQL injectie! Probeer opnieuw.";
        exit();
    }
}

Dit was bedoeld voor een stationsdatabase van iemand. Laat er toevallig ook een station bestaan wat Purmerend OverWHERE heet ;).. Daar hang je dan.
Gewijzigd op 13/09/2019 17:28:44 door - Ariën -
 
Thomas van den Heuvel

Thomas van den Heuvel

13/09/2019 17:53:37
Quote Anchor link
Een blacklist is nooit een goede oplossing. Als je een case mist ben je de sjaak.

Quote:
echter omdat ik dus zoveel code had in heel veel paginas lukte het mij niet om dit op normale manier aan te passen doormiddel van een bulk edit

toen vond ik dus die manier van prepared en daarmee kon het wel

Ah, de aloude vertrouwde aardappelstempel. Als je dat op die manier moet doen, is dat vast niet de laatste keer dat je dat op die manier moet doen. Verander dus van aanpak.

Quote:
"de waarde komt uit het systeem en is dus veilig"

Even voor de duidelijkheid: die redenatie klopt dus niet! Je mag er nooit vanuit gaan dat als DATA eenmaal in je systeem zit (die nog steeds afkomstig was van gebruikers) ineens veilig zou zijn. Je zult deze dus altijd zonder uitzondering als "onbetrouwbaar" moeten behandelen. Alle DATA zou dus altijd en overal ge-escaped moeten worden, tenzij je een (gedocumenteerde) reden hebt om dit niet te doen.

Dit werkt ook een stuk eenvoudiger: je hoeft niet langer na te denken of iets veilig is of niet (met bijbehorend gevalsonderscheid voor elke individuele case) als je het gewoon altijd als "onveilig" behandelt.

filter input, escape output
overal, altijd.
Gewijzigd op 13/09/2019 17:54:39 door Thomas van den Heuvel
 



Overzicht Reageren

 
 

Om de gebruiksvriendelijkheid van onze website en diensten te optimaliseren maken wij gebruik van cookies. Deze cookies gebruiken wij voor functionaliteiten, analytische gegevens en marketing doeleinden. U vindt meer informatie in onze privacy statement.