Fórum Root.cz
Hlavní témata => Vývoj => Téma založeno: Chobot 21. 07. 2014, 17:38:40
-
Každý programátor se vyvíjí, dělá chyby, ale měl by se z nich poučit a neopakovat je. Když se podívá na své staré zdrojáky, měl by říct: "to je hrůza, dneska bych to napsal líp" - v opačném případě je to buď Bůh, který psal odjakživa dobře (celkem nepravděpodobné) nebo kodér, který se zasekl na místě a nevyvíjí se.
Mít tedy historii plnou "hrozných" zdrojáků je tedy do jisté míry normální. Dokud tyhle zdrojáky v klidu odpočívají někde v šuplíku nebo na záložním disku, o nic nejde. Horší to je, když jsou veřejně vystavené.
Programátoři se odjakživa inspirují a učí od ostatních. Proto je nezodpovědné nechávat někde vyset vyloženě špatný kód. Zejména bych chtěl apelovat na autory, kteří někam píší články nebo jsou veřejně známí - je tu vyšší pravděpodobnost, že si někdo řekne: "ten tomu asi rozumí, od něj to opíšu". Takže vás prosím o trochu zodpovědný přístup:
a) buď ty zdrojáky opravit (ideální řešení)
b) nebo je stáhnout, aby nikoho nevedly špatným směrem (např. čtenáře, který se tam nějak prokliká)
c) nebo tam aspoň dát velkou ceduli: TAKHLE SE TO NEDĚLÁ a prohlásit to za odstrašující případ.
Navrhoval jsem to už na Zdrojak.cz, kde autor edukativního článku (http://www.zdrojak.cz/clanky/sql-injection-pre-kazdeho/) o SQL injection má sám svůj veřejně vystavený kód (https://github.com/igorkulman/ModularCMS/blob/master/src/page.AdminContent.php#L126) SQL injection chybami prolezlý:
$alias = $db->getCell("SELECT id FROM content WHERE alias='{$_POST["alias"]}'");
Bohužel se můj komentář (http://www.zdrojak.cz/clanky/sql-injection-pre-kazdeho/?show=comments#comment-26366) nesetkal s pochopením místního cenzora - ten ho prohlásil za "klasický FUD" a přidal vyhrůžku, že další komentáře bude mazat:
Jedná se o klasický FUD na autora článku. Pokud to není z předchozí věty jasné, tak další příspěvky budu mazat.
Takhle se tam vyrovnávají s kritikou.
TL;DR: jestli máte veřejně vystavené zdrojáky a jsou v nich chyby, tak je buď a) opravte b) nevystavujte to veřejně c) napište tam varování, že tam jsou chyby a takhle se to dělat nemá.
-
Ano, určitě bude mít spousta vývojářů čas a chuť přepsat své 7 let staré projekty, jenom proto, aby ty jsi byl spokojenej a neměli tam "spatný" kód.
Osobně mám jeden projekt ve 3 verzích, přičemž ten první je taky potenciálně nebezpečný, ale nabízím ke stažení všechny tři - a kupodivu ten první je nejvíc stahovaný i přes varování, že neodpovídá moderním zabezpečovacím standardům.
Když chtějí, ať si to používají, na vlastní nebezpečí samozřejmě, až jim někdo dropne databázi, tak ať s tím za mnou nechodí.
-
Chobot by měl jít a přepsat všechen špatný kód světa. Nebo alespoň ustanovit komisi, která bude rozhodovat, který kód je zveřejnitelný a který už ne.
-
Ano, určitě bude mít spousta vývojářů čas a chuť přepsat své 7 let staré projekty
Přečti si to celé.
a kupodivu ten první je nejvíc stahovaný i přes varování, že neodpovídá moderním zabezpečovacím standardům.
Dát tam varování je právě jedno z navrhovaných řešení.
Chobot by měl jít a přepsat všechen špatný kód světa. Nebo alespoň ustanovit komisi, která bude rozhodovat, který kód je zveřejnitelný a který už ne.
Pro tebe platí totéž (viz výše). Píšu, že tam stačí dát upozornění. Běžně u softwaru bývají seznamy „known bugs“ nebo „known issues“.
BTW: jestli jsi ten přihlášený David Grudl, tak soudě podle tvého komentáře (http://www.zdrojak.cz/clanky/sql-injection-pre-kazdeho/?show=comments#comment-26325) bych řekl, že se ti autorem navrhované "řešení" taky nelíbí, ne?
Tenhle článek byl podle mého FAIL (a poslední dobou ne jediný) a jestli má Zdroják.cz sloužit vývojářům, myslím si, že redakce by měla věnovat kontrole článků alespoň tolik úsilí, kolik věnuje mazání komentářů.
-
Ten článek je úplná tragédie, ale tvůj návrh, že lidé mají pátrat po svých starých kódech a opravovat je, není o nic lepší.
Kupříkladu by mě zajímalo, jak bude třeba právě onen autor článku měnit kód v odevzdané diplomové práci, která je veřejně dostupná ;-)
-
Internet neni "curated" medium a podle toho to vypada. Jakykoli pokus kus vycistit nic nezmeni - masa spiny kolem zakonite prevazi.
-
Internet neni "curated" medium a podle toho to vypada. Jakykoli pokus kus vycistit nic nezmeni - masa spiny kolem zakonite prevazi.
To je pravda - a proto se lidi často řídí mj. reputací autora - někomu budou věřit víc a někomu míň. Když někdo píše články na známý cizí server (ne jen na svůj blog třeba), tak mu to zvyšuje reputaci a lidi pak mají tendenci mu víc věřit a víc se od něj inspirovat, víc od něj "opisovat". Takže u těchto lidí má větší smysl ten kód čistit (bez ohledu na to, že kolem zůstává spousta anonymního humusu resp. s nižší reputací). Ber to třeba jako spelečenskou zodpovědnost nebo nějakou profesní etiku.
Když autor ty chyby řešit nebude, tak to má různé důsledky - prvoplánový důsledek je ten, že to zkazí začínajícího programátora nebo to pomůže zatáhnout chyby do nějaké aplikace. V druhé rovině to poškodí reputaci autora - lidi ho budou považovat za nekompetentního, nebudou věřit jeho článkům. Ve třetí rovině to poškodí reputaci média (v tomto případě Zdroják.cz), protože na něj píší nekompetentní autoři, nefunguje redakce, korektura (ani jazyková, ani odborná) o nějakých oponenturách nemluvě. Z toho nakonec plyne, že je lepší číst jiná média (pravděpodobně zahraniční), kde se na kvalitu víc dbá, redakce fungují*. Za Martina Malého a IInfa býval Zdroják celkem hodnotný zdroj (byť taky ne bez chyby) - teď je to bída s nouzí.
*) ne, fungující redakce skutečně není cenzor, který si spravuje pošramocené ego a vylývá si zlost na komentáterech
-
Ten článek je úplná tragédie, ale tvůj návrh, že lidé mají pátrat po svých starých kódech a opravovat je, není o nic lepší.
Kupříkladu by mě zajímalo, jak bude třeba právě onen autor článku měnit kód v odevzdané diplomové práci, která je veřejně dostupná ;-)
V diplomce asi těžko (i když errata se někdy vydávají, a hlavně bych čekal, že se tyhle připomínky objeví v oponentuře nebo posudku). Ale odkazoval jsem tu GitHub, kde to autor určitě opravit může, stejně tak může napsat "known issues" na svůj web toho projektu.
-
Proč to nastavovat, pošli mu pullrequest ;)
-
Proč to nastavovat, pošli mu pullrequest ;)
Koukal jsi na ty zdrojáky? Tím lepením $_POST do SQL stringů je to úplně prolezlé. Tolik práce za něj fakt dělat nebudu. Docela bych i pochopil, kdyby to nechtěl dělat ani on, pokud ten projekt už nějak aktivně nerozvíjí - přijatelným řešením tady asi bude přidat tam nějaké varování (hlavně na web + ke zdrojákům).
A hlavně mě mrzí, jak se k tomu staví Zdroják - snaží se to zamlčovat a odvádět pozornost - např. můj první komentář, kde jsem na tuto chybu upozorňoval smazali, pak jim totéž napsalo víc lidí a už to cenzor nechal, ale stejně označí kritika za trolla a šiřitele FUDu místo aby ty chyby raději řešili.
-
Skutečnost, že autor článku má v šest let starém kódu prasárny, dokazuje přesně co? To je jako napsat, že se ještě v první třídě pochcával. Jsem rád, že takové komentáře neprojdou přes moderátora.
-
tuto chybu upozorňoval smazali
Taky mi právě smázli komentář, kde jsem s tebou souhlasil :-)
Tož jsem tam bouchnul ještě jeden o poznání méně slušný, no, vlastně jsem mu napsal, že je kurví syn a že si léčí komplex s něčím krátkým v kalhotech 8)
Když už je v tom mazání, ať si to pořádně užije, jestli z toho má erekci, tož to bych byl pěkná svině, kdybych mu to odepřel.
Myslím, že to bude podobný problém asi jako s chlápkama od kabelovky: http://www.zvraceny.cz/video/66713-south-park-documental-de-homicidios-17x02/
-
Skutečnost, že autor článku má v šest let starém kódu prasárny, dokazuje přesně co? To je jako napsat, že se ještě v první třídě pochcával. Jsem rád, že takové komentáře neprojdou přes moderátora.
Ty hele, mně smázli úplně normální koment.
Pokud kurva začne kázat o morální čistotě, tak se od ní očekává, že svoje stará "díla" minimálně označí za přešlap.
Označit kód výstrahou, že obsahuje bezpečnostní chyby, pokud jsem teda "jako ten expert na bezpečnost", je prostě elementární.
Stačilo by obligátní:
"Tento kód je starý a psal jsem ho předtím, než jsem se o bezpečnosti něco dozvěděl."
-
Ad oprava, ona to není jen oprava, pak je tu taky nějaké testování, ladění a vůbec není jisté, jestli po opravě zjevných chyb v kódu není ještě tuna dalších, méně zjevných. Takže ta oprava asi nepřichází v úvahu, ale označení zjevně špatného kódu za "poněkud zranitelný" patří myslím k Best practices.
-
Koukal jsi na ty zdrojáky? Tím lepením $_POST do SQL stringů je to úplně prolezlé. Tolik práce za něj fakt dělat nebudu. Docela bych i pochopil, kdyby to nechtěl dělat ani on, pokud ten projekt už nějak aktivně nerozvíjí - přijatelným řešením tady asi bude přidat tam nějaké varování (hlavně na web + ke zdrojákům).
A hlavně mě mrzí, jak se k tomu staví Zdroják - snaží se to zamlčovat a odvádět pozornost - např. můj první komentář, kde jsem na tuto chybu upozorňoval smazali, pak jim totéž napsalo víc lidí a už to cenzor nechal, ale stejně označí kritika za trolla a šiřitele FUDu místo aby ty chyby raději řešili.
README.md je soucasti projektu, posli pullrequest na nej. To mnozstvi prace, ktere jsi tu strafil frfnanim, je nesrovnatelne vetsi nez tahle namaha.
-
tuto chybu upozorňoval smazali
Taky mi právě smázli komentář, kde jsem s tebou souhlasil :-)
Tož jsem tam bouchnul ještě jeden o poznání méně slušný, no, vlastně jsem mu napsal, že je kurví syn a že si léčí komplex s něčím krátkým v kalhotech 8)
Když už je v tom mazání, ať si to pořádně užije, jestli z toho má erekci, tož to bych byl pěkná svině, kdybych mu to odepřel.
To nebylo moc chytré - viz jeho Twitter (https://twitter.com/hassmanm) - použil stejnou taktiku jako již několikrát: maže, maže, pak vyprovokuje lidi až k nadávkám, ty sprosté komentáře zveřejní a tím se snaží ospravedlnit smazání těch všech předchozích - shodit je a vyvolat dojem, že byly stejné kvality a že jich vlastně nebyla škoda. Je otázka, jestli mu to ještě někdo věří - ale někdo neinformovaný se asi stále najde a skočí mu na to.
-
Hele, když se na tom ukájí, no tak ať si to užije.
Jsem přející člověk.
Evidentně je tak strašně nudný, že na Twitter musí dávat každou kravinu, budiž mu to přáno.
Je kdo je, to je jeho zločin a zároveň i jeho trest. ;D
+100 bodů, moc mě pobavil ;D
Já se obvykle nechlubím tím, když o mě prohlašuje něco ošklivého, spíš se chlubím tím, jak mě kdo pochválí a ocení ;D
Holt, každý jsme z jiného těsta ;D
-
Jsem přející člověk.
To já taky, ale mám i lepší věci na práci. Dobrý skutek jsem pro tentokrát už udělal - upozornil jsem na chybu v autorově zdrojáku - dál už je to na nich, jak s touto informací naloží - více úsilí z mé strany už do toho nemá cenu investovat.
-
Něco na spravení nálady. Znalí vědí :)
http://www.hovnokod.cz/ (http://www.hovnokod.cz/)
-
Ja si hlavne myslim, ze vetsine lidi, kteri publikuji sva dila v oblasti programovani a it by sluselo vice pokory a skromnosti.
Zdrojak se tu resi casto. Vzdy, kdyz se pri te prilezitosti podivam na ten web, tak tam nenajdu nic extra. Claneku o SQL injection uz byly mraky za mraky let. Ze to napsal clovek, ktery pred 6 lety mel takove sebevedomi, ze sve dilo zverejnil, i kdyz jeho znalosti prace s db v php byly temer nulove, to docela dost vypovida (pokud je tedy pravda to, co zde uvedli diskutujici). Takovemu cloveku chybela prave ta skromnost a sebekritika. Ze nekdo tohle na nej vytahne a jeho obrana je vlastne utok misto vysvetleni, to je dalsi ukazka toho, jake maji panove na zdrojaku sebevedomi.
Samozrejme chtit po nekom, aby opravoval nebo nejak resil sve stare kody je docela blbost. Pokud vec opravdu probehla tak jak probehla, tak nevidim zadny duvod Zdrojak nejak resit.
Nutnost ventilovat sve jednani na twitteru je jistym znakem toho, ze pan Hassman neni uplne dusevne vyrovnan a vlastne si neni jist, ze dela dobre. Chce slyset, ze udelal dobre, ze je dobrej a ti ostatni jsou zli a neslusni a on je pastyrem co vyvede zbloudile deti... nebo jak to bylo ;-).
Najde se spousta jinych webu a diskusi, ktere jsou uzitecnejsi nez je Zdrojak. Tak na nej kaslete a nechte je tam zhnit.
-
Ze to napsal clovek, ktery pred 6 lety mel takove sebevedomi, ze sve dilo zverejnil, i kdyz jeho znalosti prace s db v php byly temer nulove, to docela dost vypovida (pokud je tedy pravda to, co zde uvedli diskutujici).
Jednou jsem měl na pohovoru zájemce o zaměstnání (ing.), k diplomové práci psal program v PHP a MySQL (?!?!? - no ale to teď nechám stranou). Prostě LAMPa
Když jsme se ho ptali (protože se hlásil na místo technika), na takové věci, jak se MySQL instaluje, provozuje a zálohuje, nebyl schopen odpovědět. Stejně tak neznal vůbec žádný systém správy verzí. Nevěděl, jak se nastavuje Apache. Neveděl vlastně nic.
Přiznám se, že mi to leží v hlavně dodnes. Jak vůbec může takový člověk dostat akademický titul? Tohle běžně zvládají středoškoláci.
Takže to, že autor článku na zdrojáku neví nic o tématu článku by se tak nějak dalo pochopit. Co ale nelze pochopit vůbec je fakt, že mu ten článek někdo otiskl.
-
Jednou jsem viděl mnohem větší pecku: v javascriptu na straně klienta se vytvořil celý SQL dotaz a ten se jen
poslal do skriptu na serveru, který ho tak jak přišel provedl ;D
Hlavně si myslím, že nejhorší jsou právě lepiči kódu z internetu, prostě je to jen příklad a někdo na tom klidně slepí ostrou aplikaci (to je smutné)
Co se týče novodobých easy-vysokoškoláků tam u některých jsem si jist, že jejich IQ nepřesahuje 90 bodů. Jsem přesvědčen, že kdysi by stěží dali výuční list.
-
Proto je nezodpovědné nechávat někde vyset vyloženě špatný kód.
mazej to opravit :D
-
Najde se spousta jinych webu a diskusi, ktere jsou uzitecnejsi nez je Zdrojak. Tak na nej kaslete a nechte je tam zhnit.
njn. teď na Zdrojáku vychází agitky o MS Azure a pak tyhle perly jako "SQL Injection pre každého". On i ten autor tam o sobě píše "Autor je absolventom softvérového inžinierstva na Univerzite Karlovej v Prahe, pracuje ako Windows Azure a Windows Phone vývojár v Inmite, občas publikuje a prednáša." Prostě vrána k vráně sedá a celé to podtrhuje Hassman se svým mindrákem a cenzorským fetišem. BTW: taky nechápu ty jeho výlevy na twitteru, kde se naváží do žen a snaží se působit snad sexisticky a "chlapácky". Asi mu v minulosti nějaká hodně ublížila (nebo aspoň on má pocit, že mu bylo ublíženo).
-
Proto je nezodpovědné nechávat někde vyset vyloženě špatný kód.
mazej to opravit :D
Pardon, když jsem si to po sobě četl, tak jsem se taky zhrozil. Původně jsem chtěl psát "vystavit" a pak si to rozmyslel a dopadlo to takhle. Prosím někoho z moderátorů o opravu, ať neprzníme češtinu.
-
Tak on se špatný kód dá bez problému i vyset.
Třeba po serverech nebo klientech :P
-
> Nutnost ventilovat sve jednani na twitteru je jistym znakem toho, ze neni uplne dusevne vyrovnan
Vy mi dáváte! :-)))
-
Každopádně je skvělé, jak jsou všichni nadávající velmi důsledně anonymní, aby na ně náhodou nemohl někdo vytáhnout chybu, kterou před šesti lety udělali.
-
> Nutnost ventilovat sve jednani na twitteru je jistym znakem toho, ze neni uplne dusevne vyrovnan
Vy mi dáváte! :-)))
Předpokládám, že tím byla myšlena ventilace těch smazaných komentářů (potažmo prosba o veřejné schválení tohoto jednání), nikoli psaní na Twitter obecně, což provozuješ třeba i ty (někdy je to vtipné, někdy méně, někdy zajímavé... ale žádný mindrák z toho AFAIK nevyzařuje).
Každopádně je skvělé, jak jsou všichni nadávající velmi důsledně anonymní, aby na ně náhodou nemohl někdo vytáhnout chybu, kterou před šesti lety udělali.
Psát jako "nepřihlášený anonym" nutí člověka používat fakta a argumentovat, protože nemůže názor podpořit autoritou své osoby. Je to zajímavé cvičení, schválně si to někdy zkus :-) Případně takové zamyšlení: jak by působily tvoje příspěvky nebo komentáře jiných známých lidí, kdyby nebyly podepsané...
-
P.S. kritiku tady i na zdrojáku tu máš i od přihlášených uživatelů, dokonce jsi jedním z nich. A asi se všichni shodneme, že ten článek opravdu za moc nestál. Jediný, kdo si to odmítá přiznat je Martin Hassman, který radši smaže deset komentářů, obviní uživatele z kde čeho a okolíruje screenshoty na twitter - místo aby si přečetl článek, který se chystá vydat, a poslal připomínky autorovi.
-
Proto je nezodpovědné nechávat někde vyset vyloženě špatný kód.
mazej to opravit :D
Pardon, když jsem si to po sobě četl, tak jsem se taky zhrozil. Původně jsem chtěl psát "vystavit" a pak si to rozmyslel a dopadlo to takhle. Prosím někoho z moderátorů o opravu, ať neprzníme češtinu.
;D to bylo jen tak ze srandy, chyby dela kazdej ;)
* jinak, jak uz tu nekdo psal, doporucuji najit nejaky lepci zdroj informaci - zdrojak je IMHO zumpa a sem rad, ze se oddelili od roota (i kdyz root na tom neni o moc lip ::)) - HaTlaMatLaniny je IMHO nudna oblast IT
Každopádně je skvělé, jak jsou všichni nadávající velmi důsledně anonymní, aby na ně náhodou nemohl někdo vytáhnout chybu, kterou před šesti lety udělali.
* je sice pekny, ze se umis zaregistrovat pod jmenem , ale pro me ses stejne anonymni jako ostatni neprihlaseni - jak poznam, ze ses jeden znamy cesky HaTlaMatLac? IMHO registraci anonymitu neeliminujes (ve smyslu potvrzeni identity)
-
David Grudl? Co ten tady dělá? Měl jsem za to že co prodal La Trine se topí v milionech a nějaké nářky uhrovitých klučinů na linuxovém fóru ho netrápí :)
-
David Grudl? Co ten tady dělá? Měl jsem za to že co prodal La Trine se topí v milionech a nějaké nářky uhrovitých klučinů na linuxovém fóru ho netrápí :)
Když se někdo topí v miliónech, tak je to pro tebe znamením, že se nesmí trápit nářky uhrovitých klučinů? Snad právě naopak se jim _může_ náležitě věnovat a nemusí se nechat omezovat omezenci.
-
ET: Pokus o flame? Mně zase třeba přijde k smrti nudné dokola nastavovat firewally, to bych si radši strkal špendlíky pod nehty, ale spoustu lidí to určitě baví, takže nemám důvod je urážet. Měj se fajn.
-
Ja bych to moc neresil.. "zdrojak.cz" je dost specificky server. Me treba hodne dlouho vadilo, ze tak nejak svym jmenem implikuje server o programovani obecne, a pritom se venuje pouze omezene mnozine "webovych technologii" a znovuobjevovani kola.. ale zase chapu, ze jsou asi lide, pro ktere to je nejak prinosne. Nastesti se brzy "zdrojak" oddelil od root.cz, a ja ho muzu v klidu 100% ignorovat, coz bych doporucil i ostatnim.
-
Sice už jsem sem nechtěl psát, ale přeci jen se musím ohradit proti očerňování mojí osoby.
Matrin Hassman na twitteru napsal (https://twitter.com/hassmanm/status/491559389774745601)
Ukazuje se, že FUD už není tak známá zkratka jako před pár lety. Tehdy jí byly debaty plné.
Nestačí znát zkratku a nálepkovat s ní cokoli, co se mi nelíbí, je taky potřeba vědět, co znamená:
FUD = Fear, Uncertainty, Doubt = Strach, nejistota, pochyby
jedná se o marketingovou strategii, která má poškodit konkurenci pomocí dezinformací. Já ale dezinformace nešířím - buď píšu fakta a snažím se je citovat a odkazovat, nebo otevřeně píšu svoje názory (každý gramotný čtenář by z toho měl pochopit, co jsou moje subjektivní názory a nemělo by ho to dezinformovat).
Na Zdrojáku M.H. píše:
Chobot nejen v tomhle, ale i ve smazaném komentáři, neřeší chyby v článku, ale snaží se cíleně poškodit osobu autora jako takovou a to přesně v souladu s principy FUDu, šířením informací, které mají vyvolat pochybnosti o autorově osobě jako takové (všechna ta tři písmenka jdou na tohle aplikovat), navíc demagogickým způsobem.
Což není pravda.
O autorově neumětelství tam začali psát dávno předemnou jiní (např. David Grudl, HonzaMarek a legraci si z toho začali dělat i další: OndrejMirtes, JakubKohout, Jan Prachař atd. - všichni registrovaní uživatelé mimochodem). A pak tam Martin Prokeš vytáhl autorovu diplomku. Až na to jsem zareagoval a napsal:
Náhodně jsem kouknul na jeden zdroják a hle, co jsem tam našel:
$alias = $db->getCell("SELECT id FROM content WHERE alias='{$_POST["alias"]}'");
a podobné ukázky toho příšerného kódu tam přidali i ostatní. Přišlo mi to jako pořádná ironie, že autor článku o SQL injection má ve svém frameworku, kterým se pyšní (http://www.kulman.sk/content/modularcms) na svém webu, takovéhle hrůzy, kód prolezlý SQL injection.
David Grudl se pak ptal, co z toho vyplývá, co s tím:
Co z toho vyplývá, že někdo před šesti (?) lety psal děsný kód?
Nevím, kde vzal šest let, jtak jsem mu odpověděl, že á tam vidím poslední aktualizaci před dvěma lety a snažil jsem se navrhnout nějaké konstruktivní řešení, jak si myslím (názor!), jak by v takových případech autoři měli postupovat:
1) V tom jeho repozitáři vidím poslední změny „2 years ago“
2) Jestliže se někdo poučil o SQL injection a prozřel natolik, že o tom začne psát edukativní články na servery pro vývojáře, tak si snad zamete před vlastním prahem, ne? To znamená:
a) buď ty zdrojáky opravit (ideální řešení)
b) nebo je stáhnout, aby nikoho nevedly špatným směrem (např. čtenáře, který se tam nějak prokliká)
c) nebo tam aspoň dát velkou ceduli: TAKHLE SE TO NEDĚLÁ a prohlásit to za odstrašující případ.
BTW: já začínal s PHP dříve než autor a už tehdy jsem se dočetl o SQL injection a odzačátku důsledně používal parametrizované dotazy, místo abych lepil stringy a $_POST parametry ;-)
Skutečně si myslím, že je dobré si vybrat jednu z těch tří možností a neplést čtenáře - neučit je špatné praktiky.
Hassman ale kritiku nerad slyší, tak to označil za FUD a pohrozil mazáním komentářů.
Aspoň je dobré vědět, jaké mají priority a čím tráví pracovní dobu - já bych raději uvítal server, kde redaktoři tráví víc času před vydáním čtením článků, jejich připomínkování a konzultacím s autory.
-
Jednoduše:
- žádný učený z nebe nespadl
- každý skutečný odborník byl někdy laik
- takže u sebeodbornějšího i špatného článku lze dohledat informaci, podle níž autor tématu kdysi nerozuměl
Z čehož vyplývá, že taková informace je zcela irelevantní. A zdůrazňování zcela irelevantní informace je argumentační faul, porušení konverzační maximy kvantity, nebo jednoduše: nefér útok.
Je to něco podobného, jako kdybys měl narážky na vzhled autorovy matky.
Pod špičkovým článkem se vyjadřovat o vzhledu autorovy matky by bylo stupidní. Pod špatným článkem (a on je špatný) je to stále úplně stejně stupidní. Možná i víc, protože přeci samotný článek dává toliko prostoru k rýpání do autora (sám jsem neodolal), že není třeba faulovat.
Jsem rád, že na rozdíl od řady jiných serverů, kde na to redakce kašle, si dává Martina Hassman tu práci a komentáře moderuje, tj. maže všechny útoky na matku autora a podobné irelevantní věci. Což rozhodně není cenzura. Čtenář na podobné nesmysly není zvědavý.
Zda by měli autoři nezveřejňovat špatné zdrojáky je zase úplně jiné téma. Klidně o něm diskutuj, ale jelikož naprosto nijak nesouvisí s tématem článku, kterým bylo SQL injection, tak to nepiš do tamějších komentářů. Opět je fajn, že Martin Hassman out of topic komentáře maže.
-
Amen, Davidku. Amen, pravim vam.
-
Nevím, kde vzal šest let, jtak jsem mu odpověděl, že á tam vidím poslední aktualizaci před dvěma lety…
Před dvěma lety naimportoval kódy (https://github.com/igorkulman/ModularCMS/commits/master) ze šest let staré diplomky. Co myslíš tou „poslední aktualizací“?
-
Martin Hassman na Zdrojáku (http://www.zdrojak.cz/clanky/sql-injection-pre-kazdeho/?show=comments#comment-26411):
Třeba ono „Preferujete smazani podnetnych komentaru pred zpetnou vazbou autorovi“ je jeden z mnoha nesmyslů, na kterých tahle debata stojí.
K tomu mám dotaz:
1) Mluvil jste s autorem o těch kritizovaných zdrojácích? Předal jste mu zpětnou vazbu? Co na to říkal? Bude s tím něco dělat nebo je mu to jedno?
2) Četl jste ten článek, než jste ho vydal? Jak jste spokojen s jeho závěrem? Připadá mi nedostatečně stručný. A hlavně se mi nezdá ta sanitizace - důvody dobře popisuje David Grudl ve svém komentáři (http://www.zdrojak.cz/clanky/sql-injection-pre-kazdeho/?show=comments#comment-26325).
3) Je Zdroják komerční web? (jelikož je tam reklama, tak bych řekl, že ano) Jak jste na tom s licencí k tomu XKCD stripu? Pokud vím, jejich licence dovoluje pouze nekomerční použití.
4) Stáhl jsem si program Havij ze stránek odkazovaných v článku a proskenoval ho antivirem. Hned několik antivirů hlásí (http://virusscan.jotti.org/cs/scanresult/0c0139c97c311c68be2100f31d9d769cff86e51b/aaf3ff200cc452ead058e9e6ce2c259dcb791ad3), že se jedná o mallware/trojana. Další report je třeba tady: herdProtect (http://www.herdprotect.com/havij.exe-f79c9e82de92ae8271961ca455ca450b5d166d1f.aspx) (podle nich je to mallware). Prověřoval jste nějak, zda jde o planý poplach, zda je program bezpečný a můžete ho takto doporučit čtenářům?
Na tenhle problém upozornil už GraslT 18.7.2014 v 09:53 (http://www.zdrojak.cz/clanky/sql-injection-pre-kazdeho/?show=comments#comment-26320) - dnes je 22.7., navíc bych čekal, že kontrola proběhne PŘED vydáním článku, než to pustíte mezi lidi.
-
Martin Hassman na Zdrojáku (http://www.zdrojak.cz/clanky/sql-injection-pre-kazdeho/?show=comments#comment-26411):
Prestoze v principu souhlasim s kritikou clanku, i pana Hassmana, nechapu ceho se zde snazite dosahnout. Rozjet flame? Zanadavat si? Dosahnout toho, ze VSICHNI uzname, ze VY mate PRAVDU a Hassman ne?
A myslite ze rozmazavanim jednoho hloupeho radku kodu znovu a znovu toho dosahnete?
Za me musim rict, ze diky Vasemu zpusobu argumentace k Vam rychle ztracim prvotni sympatie, ktere jsem ze zacatku mel, a prestoze pana Hassmana nijak v lasce nemam, zacina mi byt vice a vice sympaticky. To jste ale asi nechtel, ne? Takze ja byt Vami, tak to proste necham plavat. Internet je velky, a miliony lidi se na nem kazdy den ztrapnuji a zesmesnuji tim, ze se snazi resit, ze "SOMEONE IS WRONG ON THE INTERNET". Nebudte jeden z nich.
-
Nevím, kde vzal šest let, jtak jsem mu odpověděl, že á tam vidím poslední aktualizaci před dvěma lety…
Před dvěma lety naimportoval kódy (https://github.com/igorkulman/ModularCMS/commits/master) ze šest let staré diplomky. Co myslíš tou „poslední aktualizací“?
Viz GitHub:
igorkulman authored December 28, 2012
Že to "jen naimportoval" znamená, že mu to prošlo rukama, že se rozhodl to znovu zveřejnit (nebo to za něj dělal nějaký robot a on neví, že se to v prosinci 2012 objevilo na GitHubu?). Nejde o nějaký zapomenutý deníček z dětství, který by náhodou spadl z půdy na ulici a někdo ho našel bez vědomí autora. V takovou chvíli se soudný člověk zamyslí, jestli jeho dílo stojí za zveřejnění a jestli k němu není potřeba přidat nějaký komentář/varování/poznámku nebo ho opravit.
Pod špičkovým článkem se vyjadřovat o vzhledu autorovy matky by bylo stupidní.
Jenže s matkou se nebudeš chtít jen tak vyspat na základě toho, že dcera vypadá dobře.
Ale chtít se něco naučit nebo se inspirovat ze zdrojáků autora, kterému vycházejí články na serverech pro vývojáře, to je celkem pravděpodobné.
Jak jsem psal, považuji za součást profesní etiky to, že autor nebude plést ostatní svými nekvalitními výtvory "z mládí" (a buď je opraví, stáhne, nebo opatří varováním). Zvlášť pokud jde o autora, který veřejně publikuje a získává nějaké jméno.
Ale koukal jsem, že autor dělá pro MS Azure a Windows Phone, tak tam mají asi jinou "profesní etiku (http://www.catb.org/~esr/halloween/)".
Pod špatným článkem (a on je špatný) je to stále úplně stejně stupidní. Možná i víc, protože přeci samotný článek dává toliko prostoru k rýpání do autora (sám jsem neodolal), že není třeba faulovat.
V předchozím komentáři jsem byl snad dostatečně věcný a snažil jsem se rýpat jen do článku.
-
Martin Hassman na Zdrojáku (http://www.zdrojak.cz/clanky/sql-injection-pre-kazdeho/?show=comments#comment-26411):
Prestoze v principu souhlasim s kritikou clanku, i pana Hassmana, nechapu ceho se zde snazite dosahnout. Rozjet flame? Zanadavat si? Dosahnout toho, ze VSICHNI uzname, ze VY mate PRAVDU a Hassman ne?
A myslite ze rozmazavanim jednoho hloupeho radku kodu znovu a znovu toho dosahnete?
Za me musim rict, ze diky Vasemu zpusobu argumentace k Vam rychle ztracim prvotni sympatie, ktere jsem ze zacatku mel, a prestoze pana Hassmana nijak v lasce nemam, zacina mi byt vice a vice sympaticky. To jste ale asi nechtel, ne? Takze ja byt Vami, tak to proste necham plavat. Internet je velky, a miliony lidi se na nem kazdy den ztrapnuji a zesmesnuji tim, ze se snazi resit, ze "SOMEONE IS WRONG ON THE INTERNET". Nebudte jeden z nich.
Sohlas, lepší bude to už neřešit. Nesmím se nechat vyprovokovat a stáhnout. Jdu dělat něco užitečnějšího, slibuji :-)
-
Právě došlo (http://www.zdrojak.cz/clanky/sql-injection-pre-kazdeho/?show=comments#comment-26420) k úpravě článku:
Pozor: Zdá se že program Havij byl infikován, použijte raději jinou aplikaci.
(a zároveň k zablokování dalších komentářů - pod článkem už nelze diskutovat)
Tohle mi přijde jako FUD - strach, nejistota, pochyby - článek je v zásadě o programu Havij, ale v poznámce se dočtu, že může být "infikován" - mám strach, abych si nezaviroval počítač, nejsem si jistý, zda program můžu použít nebo ne. Na jednu stranu o něm vydali článek a doporučují ho tam, na druhou stranu tam píší tohle - jsem na pochybách.
A to celé až pět dní po vydání článku a prvním upozornění od čtenáře - kolik lidí si to asi nainstalovalo do té doby. Infikovali si počítač?
-
Tak Martin Hassman je podle vsech indicii trochu kreten, takovy klaun z televariete.
David Grudl je persona a souhlasim s tim co pise, teda az na tu cas o Hassmanovi.
Hassman je zakernej a nijak bych ty jeho excesy neospravedlnoval. Jeho reakce jsou neadekvatni.
-
Pohled od twitteru p. Hassmana je smutný... https://twitter.com/hassmanm
Ale píšu skrzevá toto: http://www.lupa.cz/clanky/vyvojar-mobilnich-aplikaci-inmite-zamiril-po-kridla-firmy-avast/ - blahopřejem, Avast získal v osobě autora článku prvotřídního oborníka na bezpečnost ::) !
-
Ale to je uz stara znama vec, ze Hassman a Grudl tvoria duo, ktore neunavne bojuje za pravdu... zial len tu svoju :) Hassman tym, ze maze kazdy komentar, ktory sa mu co len trochu nepaci a nenecha si nikdy nic vysvetlit (ale hlavne, ze na twitteri prednasa o sebareflexii) a Grudl tym, ze chodi na ine diskusie a prekrucuje a prekrucuje.
-
Nahodou, moje prispevky tam nechal :D Ale byl to opruz, o tom zadna.
-
Z té debaty to skoro vypadá, že se autor toho zmiňovaného článku svým kódem nějak chlubil nebo něco podobného...zatímco on se jenom snažil napsat článek (možná jeho první), který se žel bohu moc nepovedl. A až teprve potom nějaký hnidopych odněkud z "hlubin internetu" vytáhnul nějaké obstarožní zdrojáky. To je snad fér? Ano článek fakt není dobrý, ale Martin je zase fétový v tom, že snahu autorů ocěňuje tím, že článek publikoval a následně autora brání před nefér jednáním. Co je na tom sakra špatného?
-
Co je na tom sakra špatného?
Na autorovi nic špatného není, stačilo se k tomu vyjádřit "Máte pravdu, je to zranitelné, přidávám tam upravené read.me a děkuji Vám. Víc se v tom hrabat nechci, jsou to staré věci."
Jenže místo toho se tam jeden duševně nemocný člověk chová jako blázen (není se co divit).
Tento ubožák, asi neléčený, místo toho, aby tam uvedl "Máte pravdu, Autor byl upozorněn, ale tuto OT větev tématu zamykám.", tam šířil svojí psychopatii promazáváním slušných postů. (Můj první post slušný byl.)
To je to, co většina lidí kritizuje.
Nestranné posouzení sporu/problému by totiž předpokládalo soudného a duševně zdravého člověka, lidé z Rootu jsou na to zvyklí, pan Krčmář, přesněji řečeno PAN Krčmář, taky občas (VELMI ZŘÍDKA) něco smázne, ale vždy se snaží být nestranný a maximálně věcný. Musím se přiznat, že pana Krčmáře doceňuji naprosto nedostatečně.
Tím nechci říct, že pan Hassman je blázen nebo psychopat, pouze mi tak připadá.
Minimálně mi přijde jako ubohý, zakomplexovaný a nemocný člověk, který tyto své slabosti zakrává předstíranou blbostí a nepředstíraným ignoranstvím. Vy si udělejte svůj vlastní názor, tohle nechci nikomu vnucovat, jedná se čistě o můj osobní názor.
Nejsem bůh, abych věděl všechno, berte mne prosím jako mýlícího se člověka.
-
Nevidím důvod, proč by se k tomu autor měl vyjadřovat (neřekl bych, že má autor povinnost vyjádřit se ke všemu, co se objeví v diskusi pod článkem). A nevidím nic špatného na mazání komentářů, které s článkem nesouvisí - byť jsou třeba slušné. Copak mazání příspěvků mimo téma něčím porušuje nestrannost nebo věcnost? Právě naopak... Aspoň pak ta diskuse může mít alespoň nějakou minimální úroveň.
Ze strany redakce vidím jediný (ale dost vážný) problém v tom, že takový článek vůbec vyšel - jak má neznalý člověk poznat, zda jde o článek od někoho znalého, nebo o nešťastný pokus?
-
David Grudl? Co ten tady dělá? Měl jsem za to že co prodal La Trine se topí v milionech a nějaké nářky uhrovitých klučinů na linuxovém fóru ho netrápí :)
Když se někdo topí v miliónech, tak je to pro tebe znamením, že se nesmí trápit nářky uhrovitých klučinů? Snad právě naopak se jim _může_ náležitě věnovat a nemusí se nechat omezovat omezenci.
Tesat do kamene. Linuxackovske zabomysi valky jsou prca.