werkte eerst wel nu niet ????

Overzicht Reageren

Sponsored by: Vacatures door Monsterboard

Xamarin Developer

Functieomschrijving Ben jij de Xamarin expert die de volgende stap in zijn carrière wil zetten? Houd jij er van om veelgebruikte apps verder uit te bouwen terwijl je de kwaliteit blijft waarborgen en heb je daarnaast zelf innovatieve ideeën ? Lees dan snel verder! Samen met het gehele mobile app team ben jij verantwoordelijk voor: de (door)ontwikkeling van Native applicaties voor Android en iOS; het verder samenbrengen van de applicatie en de web omgeving; de innovatie van de applicatie, het is belangrijk dat jij zelf meedenkt en jouw ideeën voorlegt binnen het team; feedback vanuit de gebruikers te behandelen en

Bekijk vacature »

Java Developer

Wel eens bij een webshop iets besteld? 100% zeker dat de logistieke data van die verzending over onze back-end gelopen is! Om deze software te verbeteren en nog verder schaalbaar te krijgen zoeken wij enthousiaste software engineers. Spreken de termen "meer", "groter" en "mooier" je aan? Of deze: "API", "webservices", "microservices", "JPA"? Kom dan eens een kop koffie drinken bij ons op kantoor. Kunnen we meteen laten zien waarom je bij ons welkom bent! Transsmart (www.transsmart.com) is onderdeel van de Unifaun-familie: leider op het gebied van Cloud Transport Management Systemen op de Nordic-markt met vestigingen in Nederland, België, Zweden, Finland,

Bekijk vacature »

Front-end Developer React Vue DevOps

Functieomschrijving Ben jij een Front-end Developer met minimaal drie jaar ervaring, en hebben Frameworks als Vue of React geen geheimen voor jou? Wil jij graag binnen een Devops team aan de slag gaat met het ontwikkelen van een gelikte front-end? Wil jij je graag richten op het ontwikkelen van diverse platformen en portalen die door duizenden mensen gebruikt worden? Lees dan nu verder! Het ontwikkelen van de front-end van webapplicaties middels o.a. Javascript, HTML, CSS en gave frameworks zoals React, Vue etc.; Het leveren van jouw bijdrage aan de vertaalslag van functionele wensen naar de technische oplossing; Het (conceptueel) meedenken

Bekijk vacature »

Junior, medior of senior .NET C# ontwikkelaar, com

Ben je als junior, medior of senior .NET ontwikkelaar op zoek naar een analytische omgeving? Waar hoogopgeleiden en ervaren collega’s jouw kennis naar een hoger niveau kunnen tillen? Waar je met een leuk team samen aan innovatieve producten werkt? Dan zou de deze organisatie wel eens goed bij je kunnen passen. Voor een organisatie in Delft zoeken we momenteel een junior, medior of senior .NET C# ontwikkelaar. De organisatie richt zich zowel op websites als complexe maatwerk applicaties voor externe klanten. Tevens moet je (afhankelijk van je niveau) mee kunnen denken met functionele en architectonische vraagstukken. De projecten kunnen erg

Bekijk vacature »

.NET C# developer gezocht, Dordrecht

Ben je een .NET C# developer die in Dordrecht woont, of in de omgeving hiervan, en op zoek is naar een nieuwe baan? Bij een bedrijf met betrokken collega’s, die elkaar graag helpen, binnen een informele cultuur? En aan een succesvol product wilt werken dat constant verder ontwikkeld wordt? Voor een bedrijf in Dordrecht zijn we op zoek naar verschillende C# developers. Het bedrijf richt zich op de ontwikkeling van software voor een specifieke branche en heeft circa 5000 gebruikers. De organisatie bestaat uit circa 20 mensen waarvan 6 .NET developers, 1 architect en 3 software testers. Het werk bestaat

Bekijk vacature »

Senior Front-end Developer

Senior Front-end Developer bij Capgemini Bij Capgemini bouwen we niet zomaar webapplicaties en mobiele apps waar onze opdrachtgevers en hun klanten mee overweg kunnen. Nee, we ontwikkelen applicaties voor miljoenen gebruikers en dan ook nog apps waar men écht gelukkig van wordt. Van de medewerkers in de organisatie zelf tot aan de eindgebruikers. En als Senior Front-end Developer ben jij hierbij onmisbaar! De rol Van het bouwen van nieuwe functionaliteiten, het behouden, bewaken en verbeteren van de huidige infrastructuur en applicaties tot aan het ontwikkelen van nieuwe innovaties. Als Front-end Developer ben je de lead developer binnen jouw scrumteam en

Bekijk vacature »

Senior Front-end Developer vacature

Jij weet wat er nodig is. Jouw hart gaat sneller kloppen van techniek. Jij wil vooruit. Ben jij de Front-end Developer die we zoeken? Je bent creatief, thuis in gebruikersinteractie en een gedreven engineer in hart en nieren. Daarnaast heb jij een klantgerichte en proactieve houding. Precies de kwaliteiten die een Front-end Developer nodig heeft. Wat doe je als Developer? Als Front-end Developer werk je aan de technische realisatie van front-end (web)applicaties in de verschillende uitdagende opdrachten voor Sogeti’s klanten. Dit kan zowel op klantlocatie zijn, als binnen het Center of Excellence van Sogeti. Jij houdt van het uitdenken en

Bekijk vacature »

Test & Rework Technician

Do you have a technical background and eye for detail? Then you may be interested in the position of: Test & Rework Technician for our EMEA headquarter in s’-Hertogenbosch About the position: As a test & rework technician you will be responsible for performing inspection/test/rework for PCBA (Printed Circuit Board Assembly) products or written documents. Your tasks include but are not limited to: Data entry to document inspection results and provide feedback on defects to quality team; Adhere to standard testing procedures and schedule to meet daily demand and quality requirements; Work efficiently in a fast paced production environment; Adhere

Bekijk vacature »

Junior C#.NET Developer, .NET Core, Azure, zeer go

Als Junior C#.NET Developer kom je te werken in het zelfsturende DevOps Azure Cloud team waar alles draait om Microservices, CI/CD, DDD, REST, API's, Azure Cloud, en testautomatisering. Als je het leuk vindt kan je daarnaast ook aan de slag met de ASP.NET MVC Core web frontend. Binnen dit team heb je als junior de unieke kans om veel te leren van ervaren C#.NET Developers. Zoals een goed DevOps team betaamd word je bij alle zaken betrokken binnen het team waardoor je veel zal leren. Eigen initiatief wordt hier beloond. Als je een goed idee hebt dan krijg je daar

Bekijk vacature »

Senior C# /.NET Developer / Software Engineer / Al

Functieomschrijving Ben jij een medior/senior C#/.NET developer? Wil jij werken met de nieuwste technieken en zelfgebouwde features binnen een dag releasen? Solliciteer dan nu! 60% van de tijd ben je verantwoordelijk voor het ontwikkelen van de software; 30% van de tijd ben je verantwoordelijk voor het verbeteren van de software; 10% van de tijd ben je verantwoordelijk voor bugfixing; Opstellen van complexe queries in SQL; Werken in een DevOps team en Agile-omgeving. Functie-eisen HBO/WO werk- en denkniveau; 3-5 jaar ervaring met C#; Minimaal 2 jaar ervaring met het schrijven van queries in SQL; Ervaring met Azure; Het kunnen begeleiden en

Bekijk vacature »

Front-End Developer / JavaScript/ React/ 4300 euro

Functieomschrijving Ben jij een front-end developer die niets van de wereld wil missen? Wil jij dat jouw werkzaamheden zichtbaar zijn voor een groot publiek? Beschik jij over kennis van de modernste technieken en ben je in staat snel te switchen tussen verschillende projecten? Lees dan snel verder! Het ontwikkelen van applicaties (25%) en websites (75%) met behulp van JavaScript, React, jQuery, SASS en Git; Werken aan lange termijn projecten; Oppakken van ad hoc activiteiten en processen; Nieuwe ontwikkelingen in de gaten houden en toepassen; Analytisch en kritisch meedenken over verbeteringen in tools en werkwijzen. Functie-eisen Je hebt HBO/WO werk- en

Bekijk vacature »

Traineeship junior software programmeur

Zoek jij een stevige uitdaging en de mogelijkheid om veel nieuwe dingen te leren in een dynamisch vakgebied? Doe mee aan ons IT Professional Program en ontwikkel jezelf tot software engineer! Je begint met een opleidingstraject van 3 maanden. Hierin ga je aan de slag met verschillende technieken die je op conceptueel niveau leert te overzien en interpreteren. Onderwerpen die aan bod komen zijn o.a. programmeren (Java/C#/Python), Object Oriëntatie, Databases, Webservices & webtechnologieën, Domain Driven Design en Continuous Integration/Continuous Delivery. Sommige van deze onderdelen sluit je af met een examen en bijbehorende certificering. Het opleidingstraject zelf sluit je af met

Bekijk vacature »

Full Stack Developer Amersfoort

Als Full Stack Developer doe je niets liever dan het ontwikkelen van zowel de backend als de frontend van applicaties. Dit doe je natuurlijk het liefst binnen een ervaren Agile team waar je kan sparren met andere developers, maar ook op een plek waar je met collega’s kan praten over die nieuwste ontwikkelingen in de wereld van tech, games of series. Zie jij jezelf dit dagelijks doen? Dan moet je bij Maxdoro (www.maxdoro.nl) zijn! Wij zoeken een full Stack Developer die het verschil weet te maken. Dagelijks werken wij aan innovatieve producten. Daar hebben we vakmensen voor nodig die niet

Bekijk vacature »

Back end Progress/OpenEdge Developer

Hi-Systems in Oosterhout is op zoek naar Back-end Progress/OpenEdge developer die energie krijgt van het (door)ontwikkelen en onderhouden van software. Heb jij ook de ambitie om te werken met de meest toekomstbestendige en innovatieve softwareoplossingen binnen medicatiemanagement? Dat doen wij voor zorgorganisaties, maar vooral voor de patiënt! Doe jij mee?! Hi-Systems in Oosterhout HI-Systems maakt onderdeel uit van PharmaPartners B.V. Je komt bij HI-Systems in Oosterhout te werken in een team dat verantwoordelijk is voor de ontwikkeling van producten voor de tweedelijns zorg (ziekenhuizen en instellingen). Het zijn oplossingen voor medicijnzorg en voor o.a. apotheken. Binnen dit team werk je

Bekijk vacature »

Java Developer

Java Developer 40 hour Hoofddorp For an international company based in Hoofddorp, I am looking for a Java Developer specialized in API's. The client operates in logistics. Job description The client is looking for an experienced Java Developer who is looking for a challenging and unique opportunity. You have the opportunity to become a member of the IT Application Development team. Being part of this team, you will report to the Product Owner and you will focus on the development and integration of customer facing application. Your responsibilities will consist of; Participate in the design, Development and implementation of complex/high

Bekijk vacature »
Sylvester vader

sylvester vader

11/09/2019 09:41:32
Quote Anchor link
aaaaaa ok uhm mischien is dit iets heel simpels maar ik snap het even niet

ik heb een upload script voor foto-albums
deze werkt helemaal top, tenminste totdat mijn klant mij gister opbelde en zegt dat de foto's niet werken

dus ik gaan checken en inderdaad het werkt niet

de upload werkt wel
echter zet hij de gegevens niet meer door naar de database
en naar mijn weten is hier niks aan veranderd

het deleten van foto's uit de database enzo werkt wel via zelfde script

upload deel
Code (php)
PHP script in nieuw venster Selecteer het PHP script
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
protected function handle_file_upload($uploaded_file, $name, $size, $type, $error,
$index = null, $content_range = null) {
$file = parent::handle_file_upload(
$uploaded_file, $name, $size, $type, $error, $index, $content_range
);

if (empty($file->error)) {
    $sql = 'INSERT INTO `'.$this->options['db_table']
        .'` (`account`, `users__id`, `filename`, `mainimage`)'
        .' VALUES ('.$this->options['account'].','.$this->options['id'].', ?, ?)';
    $query = $this->db->prepare($sql);
    $query->bind_param(
            'si',        
            $file->name,
            $file->mainimage    
            );
            $query->execute();
            $file->id = $this->db->insert_id;
        }
        return $file;
    }


delete deel
Code (php)
PHP script in nieuw venster Selecteer het PHP script
1
2
3
4
5
6
7
8
9
10
11
12
public function delete($print_response = true) {
        $response = parent::delete(false);
        foreach ($response as $name => $deleted) {
            if ($deleted) {
                $sql = 'DELETE FROM '.$this->options['db_table'].' WHERE users__id='.$this->options['id'].' AND account='.$this->options['account'].' AND filename=?';
                $query = $this->db->prepare($sql);
                 $query->bind_param('s', $name);
                $query->execute();
            }
        }
        return $this->generate_response($response, $print_response);
    }
 
PHP hulp

PHP hulp

21/11/2019 04:12:48
 
Ivo P

Ivo P

11/09/2019 11:17:14
Quote Anchor link
hij zet niets in de database.

Eerste gedachte: de query die de insert doet, mislukt.
Wat is de foutmelding die er komt bij de insert.

Als geen: wordt de query wel uitgevoerd? Dat is een uitgebreidere zoektocht, dus ik zou eerst eens foutafhandeling rond $query->execute() toevoegen.

Reden zou kunnen zijn dat de auto-increment aan zijn einde zit (bijvoorbeeld als je een tinyint voor een id-kolom hanteert)
 
Sylvester vader

sylvester vader

11/09/2019 13:26:45
Quote Anchor link
ik heb eens nagekeken en inderdad ging er iets mis bij invoer, bij mijn mainimage deel
ik heb deze er tijdelijk maar even uitgehaald nu werkt het wel weer
 
Thomas van den Heuvel

Thomas van den Heuvel

11/09/2019 16:11:51
Quote Anchor link
Even iets heel anders. Waarom maak je gebruik van prepared statements in mysqli? Dit is echt compleet ruk.

Daarnaast, je maakt hier wel een hele rare spagaat door de helft van je DATA gewoon te concateneren in je SQL-string.

Nu zou je zeggen "ja maar dat zijn opties die uit het systeem komen, en dus zijn ze veilig" ofzo. Dat klopt misschien wel, maar iedereen die ooit die code ziet zal zich daarvan moeten vergewissen. Je laat mensen dus onnodig nadenken over query-veiligheid, terwijl prepared statements hier juist voor bedoeld zijn!

En wat als je straks een twijfelgevalletje hebt: een waarde die van een externe bron afkomstig is, maar gevalideerd is en dus veilig is (en daarbij, hoe verschilt dat dan precies van de bovenstaande $this->options)? Neem je deze gewoon in de SQL op? Of toch via een parameter? Maar wat houdt dat dan in als je deze gewoon concateneert, maakt dit dan prepared statements niet helemaal overbodig als je alles gewoon fatsoenlijk vantevoren valideert?

Op dit moment zit er sowieso geen lijn in wat je doet. Ik zou je dringend aanraden om dit te fixen en hierbij gewoon af te stappen van prepared statements in MySQLi. Bij gebrek aan eigen inspiratie doe een van de twee dingen:
- stap over naar PDO en gebruik daar prepared statements (maar dan dus consequent op de goede manier)
- gebruik MySQLi en escape de DATA-delen met real_escape_string() in combinatie met quotes

En wat @Ivo dus zegt, je hebt een manier nodig om foutmeldingen met queries te detecteren en/of af te handelen. Je zou dus sowieso veel profijt hebben van een soort van database-wrapper. Je kunt op die manier veel sneller fouten (met queries) localiseren.

Nu ben je waarschijnlijk nog geen biet wijzer, want in wezen zeg je "het ging fout, en ik weet niet waarom, en nu gaat het weer goed, en ik weet nog steeds niet waarom". Het is jouw taak als programmeur om dit uit te zoeken om herhaling te voorkomen. Code besluit niet zomaar om op het ene moment wel te werken en het andere moment niet. Wat dat betreft is code heel makkelijk: het doet *precies* wat het is voorgeschreven om te doen.
 
Sylvester vader

sylvester vader

11/09/2019 19:28:15
Quote Anchor link
ja meester :P
nee maar je hebt wel gelijk
die prepared statements saten al in het oorspronkelijke login script waar ik 10 jaar mee ben begonnen
voor mysqli gebruikte ik dit niet maar ik kon geen goede werkende manier vinden die voor all mijn paginas werkte en dus heb ik dit gebruikt

ik moet ook een keer het geheel op de schop gooien en nieuw maken
echter is dit niet zo makkelijk gedaan als gezegd
mijn script is om het even heel bot te zeggen jarenlange ideeen scripten en aanpassingen in een werkende bedrijfs omgeving

het zijn serieus misschien wel meer dan 2000 files
ik zou het op dit moment ook niet echt weten
hele boekhoudingen worden met mijn gehele systeem gedaan
POS systemen
verschillende dynamische websites die allemaal met elkaar samenwerken

het is misschien verouderde code maar het werkt en ik verbeter elke dag
en het meeste werkt perfect hoor maar het heeft zeker wel verbetering nodig of eigelijk
geheel nieuw
maar ik kan niet zomaar even een nieuwe maken omdat ik daarvoor een werkende omgeving nodig hebt
ik test veel voordat ik iets online zet maar als scripter kan je ook niet altijd alles voorzien

daar huur ik soms beta testers voor in omdat ik het zelf in mijn 1tje gewoon niet altijd alleen kan doen

bedoeling is dat ik over een jaar een geheel nieuw script ga maken
het bestaande script moet dan eerst helemaal zijn hoe ik het wil
en daarna ga ik het gehele script herschrijven met moderne code

waarschijnlijk moet ik dan een heel team inhuren
want het is echt heeeeeel veel werk

en het moet allemaal dus werken op de oude database zonder ook maar 1 foutje

1 foutje betekent direct faliet voor 10+ bedrijven
1 uur offline kan duizenden euros kosten
om die reden wacht ik dus nog even tot ik zeker weet dat alles perfect is in het oude systeem

en ik denk dat ik bijna zover ben maar soms maak ik snelle aanpassingen in niet noodzakelijke delen en dan krijg ik dus dit soort errors

ach het werkt allemaal weer gelukkig daar gaat het om
 
Thomas van den Heuvel

Thomas van den Heuvel

12/09/2019 13:15:43
Quote Anchor link
Sylvester vader op 11/09/2019 19:28:15:
ik moet ook een keer het geheel op de schop gooien en nieuw maken

Mja, maar met een database-wrapper of als je dit met een uitgebreidere class nog verder uit code abstraheert is dat dus niet nodig. Je probleem op dit moment wordt grotendeels veroorzaakt door hard coding. Beschouw het INSERT-statement uit je oorspronkelijke bericht.

Voorheen gebruikte je waarschijnlijk:
Code (php)
PHP script in nieuw venster Selecteer het PHP script
1
mysql_query(...)


Toen schakelde je over op MySQLi:
Code (php)
PHP script in nieuw venster Selecteer het PHP script
1
mysqli_query(...)


En toen had je waarschijnlijk gehoord dat prepared statements de bom was en deed je dit:
Code (php)
PHP script in nieuw venster Selecteer het PHP script
1
2
3
$st = $this->db->prepare(...);
$st->bind_param(...);
$st->execute(...);

NB: de naamgeving die jij gebruikt ($query) is niet echt fantastisch. prepare() retourneert een statement object of false. Geef variabelen zelfdocumenterende namen.

Anyhow, volgende keer is het waarschijnlijk weer een andere flavor of the month.

Wat je tot nu toe functioneel hebt gedaan is echter nooit veranderd: je INSERT nog steeds een record in een tabel. Dan je beklag dat er zoveel bestanden zouden zijn waarin je dit soort dingen zou moeten aanpassen. Sja, als je nooit nadenkt hoe je dit op een indirecte manier voor elkaar krijgt dan zul je dus inderdaad elke keer alle bestanden in moeten duiken om deze hard coded meuk aan te passen.

Maar wat nu als je eens gaat nadenken over hoe je dit wel op een indirecte manier regelt waarbij je dus hard coding vermijdt? Je zou bijvoorbeeld een soort van INSERT-methode kunnen maken voor je database/informatiedrager (wat deze ook moge zijn, dit abstraheer je uit je code). Het daadwerkelijk uitvoeren zit dan in de implementatie van deze code, en niet meer in de lopende code van deze "scripts".

Super simpel voorbeeld:
Code (php)
PHP script in nieuw venster Selecteer het PHP script
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
<?php
class MyDB {
    protected $db;

    public function __construct($options) {
        $this->db = new mysqli(...); // use $options
        $this->db->set_charset(...); // preferred charset
    }

    public function insert($table, $args) {
        $sql  = 'INSERT INTO '.$table.' (';
        $sql .= implode(', ', array_keys($args));
        $sql .= ') VALUES (';
        $sql .= implode(', ', $this->quote($args));
        $sql .= ')';
        // echo '<pre>'.$sql.'</pre>';
        $this->db->query($sql);
    }


    public function insertId() {
        return $this->db->insert_id;
    }


    protected function quote($args, $escape=true) {
        $out = array();
        foreach ($args as $v) {
            $out[] = "'".($escape ? $this->escape($v) : $v)."'";
        }

        return $out;
    }


    public function escape($arg) {
        return $this->db->real_escape_string($arg);
    }
}

?>

Nu, het enige wat in je "lopende code" staat is:
Code (php)
PHP script in nieuw venster Selecteer het PHP script
1
2
3
4
5
6
7
8
9
10
11
<?php
$db
->insert($this->options['db_table'], array(
    'account'   => $this->options['account'],
    'users__id' => $this->options['id'],
    'filename'  => $file->name,
    'mainimage' => $file->mainimage,
));

$file->id = $db->insertId();

return $file;
?>


Als er nu iets in database-land verandert hoef je enkel de IMPLEMENTATIE van de insert() methode aan te passen, en hoef je echt helemaal 0,0 te veranderen in al die 2000 bestanden zelf.

Laat dit ff bezinken.

Ik denk dat hiermee al vrij duidelijk is dat het gebruik van een wrapper gigantische voordelen heeft ten opzichte van alles maar rauw in je code duwen...

Sylvester vader op 11/09/2019 19:28:15:
ach het werkt allemaal weer gelukkig daar gaat het om

Simpelweg omdat iets werkt maakt het nog niet juist.
 
Sylvester vader

sylvester vader

13/09/2019 00:46:50
Quote Anchor link
aaaaaaa hoofdpijnnnnnnn :P dit is nog chinees voor mij maar ik snap het wel

en inderdaad eerst gebruikte ik mysql_query(...)
echter toen had ik dus al die prepared ergens in het toen login script die ik toen had (wist toen nog niet eens dat dat kon op die manier

toen ik over moest naar mysqli_query(...)
kwam ik erachter dat ik er een db connectie bij moest doen en dit was vroeger met
mysql_query(...) niet nodig
echter omdat ik dus zoveel code had in heel veel paginas lukte het mij niet om dit op normale manier aan te passen doormiddel van een bulk edit

toen vond ik dus die manier van prepared en daarmee kon het wel

probleem is dus dat ik zelf alles moet leren en dus helaas nogsteeds niet alles kan

jij hebt mij nu dit geleerd met dat ene stukje en het klinkt eigenlijk heel simpel (weer iets geleerd) dus in nieuwe versie zal ik het inderdaad waarschijnlijk zo doen :)
dus bij deze bedankt voor de kleine maar wijze les
 
Ivo P

Ivo P

13/09/2019 12:30:25
Quote Anchor link
Thomas van den Heuvel op 11/09/2019 16:11:51:

Nu zou je zeggen "ja maar dat zijn opties die uit het systeem komen, en dus zijn ze veilig" ofzo. Dat klopt misschien wel, maar iedereen die ooit die code ziet zal zich daarvan moeten vergewissen. Je laat mensen dus onnodig nadenken over query-veiligheid, terwijl prepared statements hier juist voor bedoeld zijn!


Ik heb nog wel een voorbeeldje waarom "de waarde komt uit het systeem en is dus veilig" niet opgaat:

Ik heb ooit een bug moeten vinden waarom 1 medewerker nooit een order kon afhandelen, terwijl de rest dat prima kon doen.
Uiteindelijk bleek, dat in de logging de naam van de medewerker geplaatst werd. Was mooier geweest als dat het gebruikers_id was geweest, maar a la.

Deze naam was "veilig" volgens bovenstaande redenatie, maar omdat meneer iets van D'Artagnan heette, ging de query grandioos mis.
 
Sylvester vader

sylvester vader

13/09/2019 15:27:09
Quote Anchor link
ja lol heb ik ook ooit meegemaakt zoiets met een quote :P
altijd leuk in text delen in een script met een soort wysiwyg script
als je dan in de text een quote zette dan voerde hij dus de query niet uit :P

dat heb ik toen gelijk aangepast want dat hielt ook in dat er een inject mogelijk was
maar in het begin snapte ik er niks van :P
 
- Ariën -
Beheerder

- Ariën -

13/09/2019 17:18:15
Quote Anchor link
Ik wou dit toch even delen: Filteren op 'gevaarlijke' steekwoorden is ook nooit een oplossing. :-P

Leuke die ik in het verleden tegen kwam:

Code (php)
PHP script in nieuw venster Selecteer het PHP script
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
    if((function_exists("get_magic_quotes_gpc") && get_magic_quotes_gpc())    || (ini_get('magic_quotes_sybase') && (strtolower(ini_get('magic_quotes_sybase'))!="off")) ){
        stripslashes_deep($_GET);
        stripslashes_deep($_POST);
        stripslashes_deep($_COOKIE);
    }
    
      $locatie = $_SERVER['REQUEST_URI'];
$array = Array();
$array[] = "mysql";
$array[] = "query";
$array[] = ";";
$array[] = "}";
$array[] = "INSERT";
$array[] = "%40";
$array[] = "DROPTABLE";
$array[] = "TRUNCATE";
$array[] = "UPDATE";
$array[] = "DELETE";
$array[] = "WHERE";
foreach($array As $foutbezig)
{
    if(eregi($foutbezig,$locatie))
    {
        echo "Waarschijnlijke SQL injectie! Probeer opnieuw.";
        exit();
    }
}

Dit was bedoeld voor een stationsdatabase van iemand. Laat er toevallig ook een station bestaan wat Purmerend OverWHERE heet ;).. Daar hang je dan.
Gewijzigd op 13/09/2019 17:28:44 door - Ariën -
 
Thomas van den Heuvel

Thomas van den Heuvel

13/09/2019 17:53:37
Quote Anchor link
Een blacklist is nooit een goede oplossing. Als je een case mist ben je de sjaak.

Quote:
echter omdat ik dus zoveel code had in heel veel paginas lukte het mij niet om dit op normale manier aan te passen doormiddel van een bulk edit

toen vond ik dus die manier van prepared en daarmee kon het wel

Ah, de aloude vertrouwde aardappelstempel. Als je dat op die manier moet doen, is dat vast niet de laatste keer dat je dat op die manier moet doen. Verander dus van aanpak.

Quote:
"de waarde komt uit het systeem en is dus veilig"

Even voor de duidelijkheid: die redenatie klopt dus niet! Je mag er nooit vanuit gaan dat als DATA eenmaal in je systeem zit (die nog steeds afkomstig was van gebruikers) ineens veilig zou zijn. Je zult deze dus altijd zonder uitzondering als "onbetrouwbaar" moeten behandelen. Alle DATA zou dus altijd en overal ge-escaped moeten worden, tenzij je een (gedocumenteerde) reden hebt om dit niet te doen.

Dit werkt ook een stuk eenvoudiger: je hoeft niet langer na te denken of iets veilig is of niet (met bijbehorend gevalsonderscheid voor elke individuele case) als je het gewoon altijd als "onveilig" behandelt.

filter input, escape output
overal, altijd.
Gewijzigd op 13/09/2019 17:54:39 door Thomas van den Heuvel
 



Overzicht Reageren

 
 

Om de gebruiksvriendelijkheid van onze website en diensten te optimaliseren maken wij gebruik van cookies. Deze cookies gebruiken wij voor functionaliteiten, analytische gegevens en marketing doeleinden. U vindt meer informatie in onze privacy statement.