NoFollow Free!
SHIFT Weblog

Dieses Blog ist ein Online-Magazin für erfahrene Website-Entwickler und Webdesigner, die PHP und Webdesign lieben.

Kategorie: PHP

PHP

XSS: Der richtige Schutz vor Cross-Site-Scripting mit PHP

Max' Versuch Nummer drei

Wenn es in den Welten des Internets das “Gut und Böse” gibt, so gehören zu den Bösen sicherlich die Menschen, die Schwachstellen von Webseiten ausnutzen, um Schadcode auf der Seite zu injizieren. Die Rede ist hier vom “Cross-Site-Scripting” (oder kurz: XSS) und bedeutet, dass die Bösewichte bösartigen Script-Code auf fremden Seiten unterzubringen. Dies ist immer dann möglich, wenn ein Nutzer einer Webseite die Möglichkeit hat, etwas einzugeben und diese Zeichenfolge dann später wieder ausgegeben. Wenn es hierbei dem Bösen gelingt, Schadcode einzufügen, spricht man im Englischen von einer “Code Injection”.

Weiterlesen ›

PHP, Quickies

How-To: Objekt mit unbekanntem Klassennamen erstellen

Im Bereich der objektorientierten PHP-Entwicklung kann es vorkommen, dass eine unbekannte Klasse aufgerufen werden muss. In einer Factory-Klasse beispielsweise muss man Objekte mit unbekannten Namen und unbekannter Anzahl an Parameter erzeugen.

Ein erster Schritt könnte dieser Versuch sein:

$variable_classname = 'MeineKlasse';
$instanz = new $variable_classname;

Soweit, so gut. Jedoch könnte man Schwierigkeiten haben, wenn dem Konstruktor noch Parameter überladen werden müssen. Da Klassennamen und somit auch die Klassen unterschiedlich sind, könnte jede dieser Klassen eine unbekannte Zahl an Parameter erhalten.

Dann gibt es ja auch noch die Funktion call_user_func_array. Damit könnten wir folgendes anstellen:

$parameter = array('Foo', 'Bar');

$instanz = new MeineKlasse();
call_user_func_array(array('MeineKlasse', '__construct'), $parameter);

Jedoch ist diese Funktion nur sinnvoll, wenn bereits eine Instanz des Objektes besteht. Das bedeutet aber, dass alle erwarteten Konstruktorparameter nur optional sind – und dies ist bei den wenigsten Konstruktoren der Fall. Folgende Idee funktioniert nicht:

$parameter = array('Foo', 'Bar');
call_user_func_array(array(new MeineKlasse, '__construct'), $parameter);

call_user_func_array ist also leider nicht wirklich in der Lage, direkt ein neues Objekt mit unbekannter Parameteranzahl zu erzeugen und dabei den Konstruktor aufzurufen. Was also tun?

Hier findet sich ein nützlicher Einsatz für sogenannte Reflektionsklassen (Reflection Class). Eine Reflektionsklasse könnte als fast untätiges Spiegelbild eines Klassennamens angesehen werden. Und so können wir mit Hilfe einer Reflection Class unser Vorhaben verwirklichen:

$rc = new ReflectionClass('MeineKlasse');
$class = $rc->newInstanceArgs(array('Foo', 'Bar'));

echo $class->tuIrgendwas();

PHP

Namensräume: PHP Namespace Tutorial

Telefon

Jeder PHP-Entwickler, der sich schonmal durch den Quellcode umfangreicher, objektorientierter Projekte wühlen musste oder Einführungen zu selbigen angesehen hat, wird festgestellt haben dass mittlerweile alle mit den sogenannten Namespaces arbeiten, die mit PHP Version 5.3.0 eingeführt wurden. Weil für jedes Projekt ein eigenener Namensraum definiert werden kann, kommt es so hinterher nicht zu möglichen Namenskollisionen: Ohne eigenen Namespace dürfte jeder Klassenname nur einmal während der Laufzeit vorkommen. Mit intelligent gestalteten Namespaces ist es auch möglich, innerhalb eines Projektes weitere “Unter-”Namespaces zu vergeben. Soweit die Theorie.

Denn ich habe bisher, obwohl ich schon lange objektorientiert arbeite, die Namespaces nie richtig verstanden. Dies liegt zum zum Teil aber auch daran, dass ich noch nie die Motivation hatte, mich damit zu beschäftigen. Jetzt, wo ich an meinem eigenen Framework arbeite, wollte ich dieses nützliche Feature allerdings nicht in meinem Projekt außen vor lassen. Zugegeben, mit der Einführung von PHP Namespaces auf der offiziellen Dokumentationsseite habe ich nicht viel anfangen können, erst durch einige Forenbeiträge und Online-Lektüren konnte ich für mich selbst das “Geheimnis” der Namespaces lüften. Dieses möchte ich euch nicht vorenthalten.

Weiterlesen ›

PHP

PHP: OOP-Crashkurs, Teil 2

oopcc

Was bisher geschah…

Im ersten Teil des OOP-Crashkurses haben wir gelernt, was (statische) Klassen und Objekte, Konstruktoren, Eigenschaften und Methoden sind. In diesem Teil versuche ich zu vermitteln, was magische Methoden sind und wie man die Sichtbarkeit der Klassenelemente verwaltet.

Inhalt:

Weiterlesen ›

Allgemein, PHP

PHP: OOP Crashkurs, Teil 1

oopcc

Viele Softwareentwickler können sich das Leben ohne OOP (Objektorientierte Programmierung) gar nicht mehr vorstellen. Bereits seit PHP 4 sind wir in der Lage, unseren Code objektorientiert zu erstellen – allerdings sind die Möglichkeiten hier sehr begrenzt. Seit dem Einzug von PHP 5 stehen uns mächtige Werkzeuge zur Verfügung, um nahezu komplett objektorientiert arbeiten zu können.

Doch was bedeutet überhaupt “Objektorientierte Programmierung”? Die Idee hinter dieser Programmiermethode ist, einzelne Bereiche (Variablen und Funktionen) einer Anwendung in einer Klasse zu hinterlegen. Innerhalb des Objektes können diese Funktionen verschiedene Daten untereinander austauschen. Um die Klasse zu benutzen, wird eine Instanz von ihr erzeugt. Bei gründlicher Planung sind Klassen wiederverwendbar und können auch erweitert werden.

Weiterlesen ›