手机浏览 RSS 2.0 订阅 膘叔的简单人生 , 腾讯云RDS购买 | 超便宜的Vultr , 注册 | 登陆
浏览模式: 标准 | 列表2024年11月的文章

drupal的db_query安全过滤

Submitted by gouki on 2010, May 16, 2:05 PM

这篇 文章已经是07年的了，不过，我一直没有关注过drupal的db类，所以对于这方面我也根本 就没有在意过。8过，我在我的siterpc中，我也是采用了sprintf的写法，不是为了安全，而是为了格式化。因为在siterpc里我们几乎不接受外部变量，所有的变量都是由我们自己传入，所以对于安全方便忽略了很多。但还是用sprintf来格式化SQL语句了。

因此看到这篇drupal的db_query安全过滤，突然发现，可以让我的代码少写很多了。（参数可变时请使用vsprintf）

以下是原文 ：

Drupal通过C风格的字符串输出格式实现了对sql语句的安全过滤。
使用方法：

PHP代码
  1. db_query("SELECT n.nid FROM {node} n WHERE n.type = '%s'", $type);//正确做法  
  2. //这不等于以下语句，使用sprintf并不能避免mysql注入。  
  3. db_query(sprintf("SELECT n.nid FROM {node} n WHERE n.type = '%s'", $type)); //不正确  
drupal db_query核心代码如下：
PHP代码
  1. /** 
  2.  * Indicates the place holders that should be replaced in _db_query_callback(). 
  3.  */  
  4. define('DB_QUERY_REGEXP', '/(%d|%s|%%|%f|%b)/');  
  5.   
  6. /** 
  7.  * Runs a basic query in the active database. 
  8.  * 
  9.  * User-supplied arguments to the query should be passed in as separate 
  10.  * parameters so that they can be properly escaped to avoid SQL injection 
  11.  * attacks. 
  12.  * 
  13.  * @param $query 
  14.  *   A string containing an SQL query. 
  15.  * @param ... 
  16.  *   A variable number of arguments which are substituted into the query 
  17.  *   using printf() syntax. Instead of a variable number of query arguments, 
  18.  *   you may also pass a single array containing the query arguments. 
  19.  
  20.  *   Valid %-modifiers are: %s, %d, %f, %b (binary data, do not enclose 
  21.  *   in '') and %%. 
  22.  * 
  23.  *   NOTE: using this syntax will cast NULL and FALSE values to decimal 0, 
  24.  *   and TRUE values to decimal 1. 
  25.  * 
  26.  * @return 
  27.  *   A database query result resource, or FALSE if the query was not 
  28.  *   executed correctly. 
  29.  */  
  30. function db_query($query) {  
  31.   $args = func_get_args();  
  32.   array_shift($args);  
  33.   $query = db_prefix_tables($query);  
  34.   if (isset($args[0]) and is_array($args[0])) { // 'All arguments in one array' syntax  
  35.     $args = $args[0];  
  36.   }  
  37.   _db_query_callback($args, TRUE);  
  38.   $query = preg_replace_callback(DB_QUERY_REGEXP, '_db_query_callback', $query);  
  39.   return _db_query($query);  
  40. }  
  41.   
  42. /** 
  43.  * Helper function for db_query(). 
  44.  */  
  45. function _db_query_callback($match, $init = FALSE) {  
  46.   static $args = NULL;  
  47.   if ($init) {  
  48.     $args = $match;  
  49.     return;  
  50.   }  
  51.   
  52.   switch ($match[1]) {  
  53.     case '%d': // We must use type casting to int to convert FALSE/NULL/(TRUE?)  
  54.       return (int) array_shift($args); // We don't need db_escape_string as numbers are db-safe  
  55.     case '%s': 
  56.       return db_escape_string(array_shift($args)); 
  57.     case '%%':  
  58.       return '%'; 
  59.     case '%f': 
  60.       return (float) array_shift($args); 
  61.     case '%b': // binary data  
  62.       return db_encode_blob(array_shift($args));  
  63.   }  
  64. }  
简单的对一些输入做了处理。参考： http://drupal.org/node/101496

原文来自于：http://www.luochunhui.com/id/315

Tags: drupal, php, escape_string

PHP | 评论:2 | 阅读:21431

phpchina活动-echo谈xhprof,cache and long-polling

Submitted by gouki on 2010, May 15, 9:22 PM

pea的活动除了这次外，我是真没有参加过，不过在与会的同时听文峰说也好多时间没办了，所以也没有感觉啥。这次的内容主讲是蛋定工作室www.jt-tech.net的echo，讲了xhprof ,cache，以及long-polling的一些应用及讲解，因为对xhprof以及long-polling有点兴趣，所以就参加了。当然还有另外的原因：echo在群里研究session的时候，非常透彻，也想看看他平时用啥工具之类的；另外就是想看看11爷、四爷以及逍遥等人长啥样。
好象以前在drupal研讨会的时候见过文峰，应该也是4年前了吧，那时候好象他非常胖，也曾经找过我让我谈谈有没有什么 经验可谈的。
值此今天这一课，发现我还是离专业差的很远，都是走的野路子啊。果然是人不学习就要退步，野路子能走一时，是走不了一世的。
看着echo（蛋定工作室）的PPT上那些工具，发现，我除了x-debug外，真是一个都没有用过。丢人，不过想想也没啥，在篱笆的时候性能啥的都扔给运维了，当然他们也没有查出啥问题来，可能还是篱笆的访问量不大的原因吧？现在想想那样垃圾的代码都没有跑出问题而java的一跑就嗝屁了，也真是意外。
谈了很多废话，还是讲讲今天的内容吧，比较有印象的当然也正是我想了解和关注的xhprof以及long-polling。web client cache这玩意还真没有什么 可讲的，对着yahoo的14条军规慢慢查，慢慢改吧。【后来变22条军规了】
xhprof，是facebook提交的pecl库（好象Echo是这么说的），可以在运行时候查看效率，这点其实才是我最关注的。echo说xhprof对于那些只针对某些人出现问题，而其他用户死活折腾不出、故障BUG无法重现的性能优化、log记录非常有用。在看了他给出的wikimedia的图片，以及他实际项目中的代码片段后，觉得果然是非常有意义。对于性能的影响好象也不是很大。
xhprof，在这里我就不多介绍了，google搜索的第一条就是老王的笔记：体验XHProf_老王的技术手册_百度空间，想看的可以移步去参观一下，过两天我也会转到博客上来，毕竟这东西确实值得试一下，特别是想用在wordpress上，看看性能瓶颈到底在哪里，是否可以进行优化。

这张图真的很吸引我，可以让我检查页面中哪些地方消耗的资源最大：
大小: 145.67 K 尺寸: 374 x 376 浏览: 1653 次 点击打开新窗口浏览全图

long-polling，对于做WEB的人来说，特别是SNS的人，用的地方就多了。目前最多的用途可能就是用来检测是否有系统消息提示，如果一直用ajax，那么你会发现定期polling的时候，很耗资源。如果不信，你可以看一下thinksns，他取信息等 资料就是这样的处理。但其实long-polling也能算是用ajax在获取信息，但他连接后并不能算是断开，由服务器一直在while(true)循环。echo也给了一些测试代码。当然，其实这方面很早就研究和接触过，不过仅限于表面，因为我没有理解当并发非常大时候，这个性能如何处理。echo是说通过ulimit -n 来调整最大用户数和最大进程数来增加，因为理论上都是根据内存大小和利用率来控制，说白了，你没内存，代码再好也经不起折腾。并发也永远上不去。

很多东西，一时间可能用语言无法表达，但总算是有收获，最后抽奖的时候，报数时，号码是13，哦，原来我还是可以装 13的。over
看下一次是否再有收获。上大课确实不如上小课，有时候人多了并不一定能够讲得出话。
听说echo要把PPT放出来，到时候可以看看。
最后说一下web client cache。关于这个玩意，对于if-modified这东西等等，现在用的真是少了，以前在做垃圾网站时，都是强行指定e-tag，内容页的e-tag永远不变，首页、列表表的e-tag一天变一次，以保证性能的最大体现。其实，抛开用户登录，如果内容页是ajax的widget，那真的是可能永远不变的。不过现在都是为了更好的吸引用户，在cms中的相关文章、推荐文章、推广文章等 都是实时更新的，所以效率也相对下降一点点喽。不过，可以考虑e-tag为一天，这样对于当天频繁访问的用户速度会明显增加，但，不知道对搜索引擎会怎么样。
杂谈而己

Tags: phpchina, pea, xhprof, cache, long-polling

PHP | 评论:0 | 阅读:18710

MYSQL汉字乱码的解决方案

Submitted by gouki on 2010, May 15, 11:27 AM

其实以前也写过类似的东西，只是最近又有朋友在群里问我这样的事情，一时间在博客上没有找到，于是准备重写了一遍。

一般说来，我们所说的编码格式一致：可以如下图所示：character_set_client,character_set_connection,character_set_database,character_set_results,character_set_server编码要一致

大小: 3.23 K 尺寸: 459 x 182 浏览: 1802 次 点击打开新窗口浏览全图

初始情况的修改就是在my.ini里加上：default-character-set=utf8 【这个请使用适当的编码】

在程序中，我们如果是用mysql类库，往往都是在连接上后来运行：mysql_query("set names utf8")，这一句查询其实 就是那句set character_set_connection=utf8, character_set_results=utf8, character_set_client=binary 的集合。

在PHP5的时候，如果你使用的mysql数据库版本大于5.0.7，你还可以用：mysql_set_charset这个方法直接定义。

所以，相对来说，处理乱码问题，参考这些就可以搞定了。

Tags: mysql, utf8, gbk

DataBase | 评论:0 | 阅读:21058

使用PHP_UML生成代码的UML图

Submitted by gouki on 2010, May 14, 9:47 PM

不得不说，我很郁闷。事实上，我很少使用PEAR库，几乎是从来也不，所以看到这篇 文章的时候，我尝试了一下，同时也安装了pear库。并按照教程所说的，一步步的做了下去。

OK，先上文章，再说郁闷。

在读别人代码的时候, 在没有详细文档的时候, 如何快速的看清整个代码的结构(类结构), 就成为了一个现实的问题.
今天我就介绍一种, 自动生成UML图的方法.
假设, 我有一个项目文件夹:laruence, 在这个文件夹上有一个文件Root.php(事实上, 无论多级目录, 多个文件, 都可以).

PHP代码
  1. <?php  
  2.    
  3. abstract class Root {  
  4.     private $instance;  
  5.     abstract public function Hi();  
  6. }  
  7.    
  8. interface Intro {  
  9.     public function Say();  
  10. }  
  11.    
  12. class Sub extends Root implements Intro {  
  13.     private $instance;  
  14.     public function Say() {  
  15.         echo "I am Laruence";  
  16.     }  
  17.     public function Hi() {  
  18.         echo "Hello!";  
  19.     }  
  20. }  
  21. ?>  

 

首先, 我们要使用PHP_UML(PHP_UML)根据代码生成XMI.
使用方法比较简单, 在安装PHP_UML以后, 运行:

XML/HTML代码
  1. phpuml laruence/ -o laruence.xmi -n laruence -f xmi --pure-object --no-deployment-view --no-component-view --no-docblocks  

 

会得到一个laruence.xmi文件, phpuml的具体参数可以通过phpuml –help了解.
有了xmi以后, 如何转成UML图呢?
Visio2007不支持导入XMI, 我找到了另外的一个工具:Altova MapForce, 这个工具可以支持XMI到UML图的转换, 需要注册, 不过提供了30天的使用许可(大家要是有更好的替换方案, 欢迎补充).
在Mapforce导入laruence.xmi以后 ,生成UML图, 就得到了如下的PNG:

大小: 14.05 K 尺寸: 473 x 376 浏览: 1500 次 点击打开新窗口浏览全图

是不是很方便呢?
另外PHP_UML还可以生成html格式, 做为一种doc gen工具也不错. 更可以通过xmi生成PHP文件.

--EOF--上文来自http://www.laruence.com/2010/05/14/1473.html【风雪之隅】

郁闷的事情是这样发生的，我直接进行我的命令行，OK，进入php目录，直接运行pear.bat，因为目录下有这个文件。但是告诉我不对，所以我准备重装pear，怎么装呢？官方告诉我，下载一个go-pear.php文件，用PHP执行一下就可以了。
下载好go-pear.php文件后，拷到php目录下，运行：php go-pear.php，然后就一步一步的往下安装PEAR了。装的时候请选择system而不是local。安装完毕后生成一个REG文件，这是让你执行一下，把PHP的环境变量加到系统中。

这时候，就可以运行pear install PHP_UML-1.5.2了，第一件郁闷的事情就发生了，系统提示，php_uml需要xsl的支持，因为我用的是绿色版的，所以我修改了一下我的php.ini后，继续执行时，仍然提示需要xsl，不是特别明白的时候，我看了一下我的php.ini，确认是加载了。但再次运行又是提示，最后我运行php --ini，才发现，原来命令行下用的php.ini居然是在c:\windows下面，而不是我绿色版中配置的php.ini文件。我把php.ini拷贝到c:\windows下后，程序可以顺利执行，安装完毕php_uml了。

第二件郁闷的事情接踵而至，按照上文的程序方式，我生成了xmi文件，却发现无法打开，怎么办？按照 文件提示下载了那个Altova MapForce【我还是翻墙下载的呢，这么辛苦都没有搞定，真郁闷，40多M啊】，结果还是无法打开xmi文件，悲剧就是这样产生的。反正我是白搞了这玩意了。因为我平时不用UML，所以也不知道如何打开xmi文件。郁闷，直到现在。。。

Tags: pear, phpuml, uml, xmi

PHP | 评论:1 | 阅读:22533

折腾

Submitted by gouki on 2010, May 14, 11:03 AM

服务器象女性一样，每月都要来那么几次。没办法，不得己，参考资料，先尝试每小时 /etc/init.d/networking restart一下。
其实很郁闷的。。唉。
本来想用ifconfig eth0 down && ifconfig eth0 up，不太敢，呵呵。

建了一个755的文件，扔到bin目录下，然后crontab -e进行添加

* */1 * * * 文件路径 。

Over。目前只有这样了。

希望正常。。。不要再每月折腾一次。

 

Misc | 评论:0 | 阅读:14064

Records:3094«‹359360361362363364365366367368›»