Skrypt konfiguracji ogólnej pisany przez profesionalistów... Opcje

[Adi32]

Sam nie jestem profesjonalistą ale ten kod to chyba kpina, pisany w jednej linij...
Może ja czegoś nie wiem, co Wy o tym myślicie?

[PHP] pobierz, plaintext 
<?public function __construct() {
global $db;
 
$this->name = 'konfiguracja';
$this->title = 'Konfiguracja serwisu';
 
$db->query("SELECT tresc FROM konfiguracja WHERE nazwa='blokada'");
$res = $db->getNextRow();
 
if ($res['tresc'] == 'tak') {
echo '';
$this->checked = 'checked';
} else {
echo '';
$this->checked = '';
}
 
switch ($_GET['do']) {
default:
$this->show();
break;
}
}
 
public function show() {
global $db;
 
$db->query("SELECT * FROM " . $this->name . " WHERE id_jezyk=%d", $_SESSION['id_jezyk']);
$r = $db->res();
 
for ($i = 0; $i < count($r); $i++) {
if ($r[$i]['id_fraza'] == 1)
$keyw = $r[$i]['tresc'];
if ($r[$i]['id_fraza'] == 2)
$opis = $r[$i]['tresc'];
if ($r[$i]['id_fraza'] == 3)
$tytul = $r[$i]['tresc'];
if ($r[$i]['id_fraza'] == 4)
$email = $r[$i]['tresc'];
if ($r[$i]['id_fraza'] == 5)
$szer = $r[$i]['tresc'];
if ($r[$i]['id_fraza'] == 6)
$wys = $r[$i]['tresc'];
if ($r[$i]['id_fraza'] == 7)
$s1 = $r[$i]['tresc'];
if ($r[$i]['id_fraza'] == 8)
$s2 = $r[$i]['tresc'];
if ($r[$i]['id_fraza'] == 9)
$konto = $r[$i]['tresc'];
 
if ($r[$i]['id_fraza'] == 10)
$licznik = $r[$i]['tresc'];
 
if ($r[$i]['id_fraza'] == 11)
$updateczas = $r[$i]['tresc'];
 
if ($r[$i]['id_fraza'] == 12)
$updateczestosc = $r[$i]['tresc'];
}
 
if (isset($_POST['save'])) { //zapisz do bazy
 
if ($r) {
$db->query("DELETE FROM " . $this->name . " WHERE id_jezyk=%d", $_SESSION['id_jezyk']);
}
 
$db->query("INSERT INTO " . $this->name . " (id_fraza,id_jezyk,tresc) VALUES (%d,%d,'%s')", 1, $_SESSION['id_jezyk'], $_POST['keyw']);
$db->query("INSERT INTO " . $this->name . " (id_fraza,id_jezyk,tresc) VALUES (%d,%d,'%s')", 2, $_SESSION['id_jezyk'], $_POST['opis']);
$db->query("INSERT INTO " . $this->name . " (id_fraza,id_jezyk,tresc) VALUES (%d,%d,'%s')", 3, $_SESSION['id_jezyk'], $_POST['tytul']);
$db->query("INSERT INTO " . $this->name . " (id_fraza,id_jezyk,tresc) VALUES (%d,%d,'%s')", 4, $_SESSION['id_jezyk'], $_POST['email']);
$db->query("INSERT INTO " . $this->name . " (id_fraza,id_jezyk,tresc) VALUES (%d,%d,'%s')", 5, $_SESSION['id_jezyk'], $_POST['szer']);
$db->query("INSERT INTO " . $this->name . " (id_fraza,id_jezyk,tresc) VALUES (%d,%d,'%s')", 6, $_SESSION['id_jezyk'], $_POST['wys']);
$db->query("INSERT INTO " . $this->name . " (id_fraza,id_jezyk,tresc) VALUES (%d,%d,'%s')", 7, $_SESSION['id_jezyk'], $_POST['szkontakt']);
$db->query("INSERT INTO " . $this->name . " (id_fraza,id_jezyk,tresc) VALUES (%d,%d,'%s')", 8, $_SESSION['id_jezyk'], $_POST['s2']);
$db->query("INSERT INTO " . $this->name . " (id_fraza,id_jezyk,tresc) VALUES (%d,%d,'%s')", 9, $_SESSION['id_jezyk'], $_POST['konto']);
$db->query("INSERT INTO " . $this->name . " (id_fraza,id_jezyk,tresc) VALUES (%d,%d,'%s')", 10, $_SESSION['id_jezyk'], $_POST['licznik']);
$db->query("INSERT INTO " . $this->name . " (id_fraza,id_jezyk,tresc) VALUES (%d,%d,'%s')", 11, $_SESSION['id_jezyk'], $_POST['updateczas']);
$db->query("INSERT INTO " . $this->name . " (id_fraza,id_jezyk,tresc) VALUES (%d,%d,'%s')", 12, $_SESSION['id_jezyk'], $_POST['updateczestosc']);
 
if ($_POST['blokada'] == 'tak') {
$db->query("UPDATE konfiguracja SET tresc='tak' WHERE nazwa='blokada'");
} else {
$db->query("UPDATE konfiguracja SET tresc='nie' WHERE nazwa='blokada'");
}
 
 
//pobierz meta
$db->query("SELECT * FROM konfiguracja WHERE id_jezyk=%d", $_SESSION['id_jezyk']);
$mres = $db->res();
if ($mres)
foreach ($mres as $d => $b)
$_SESSION['meta'][$b['id_fraza']] = $b['tresc'];
 
header("location:admin.php?module=" . $this->name . "&msg=Zmiany zapisane");
}
else { //pokaz
?>
<h1>Konfiguracja serwisu</h1>
<a href="admin.php?module=pomoc&do=<? echo $this->name; ?>">Pomoc</a>
<form action="" method="post">
<table cellpadding="0" cellspacing="0" style="width:90%">
<tr>
<td style="width:200px">Słowa kluczowe: </td>
<td><input type="text" class="pole" size="60" name="keyw" value="<? echo $keyw; ?>" /></td>
</tr>
<tr>
<td >Opis strony: </td>
<td><input type="text" class="pole" size="60" name="opis" value="<? echo $opis; ?>" /></td>
</tr>
<tr>
<td >Tytuł strony: </td>
<td><input type="text" class="pole" size="60" name="tytul" value="<? echo $tytul; ?>" /></td>
</tr>
<tr>
<td >E-mail kontaktowy: </td>
<td><input type="text" class="pole" size="60" name="email" value="<? echo $email; ?>" /></td>
</tr>
<tr>
<td >Licznik: </td>
<td><input type="text" class="pole" size="60" name="licznik" value="<? echo $licznik; ?>" /></td>
</tr>
<tr>
<td >Dane do wpłat: (bank, numer, dane odbiorcy) </td>
<td><textarea style="width: 379px; height: 69px;" name="konto"><? echo $konto; ?></textarea></td>
</tr>
<tr>
<td >Szybki kontakt: </td>
<td><textarea name="szkontakt" /><? echo $s1; ?></textarea></td>
</tr>                    
<tr>
<td >Update produktów - ostatni: </td>
<td><input type="text" class="pole" size="60" name="updateczas" value="<? echo $updateczas; ?>" /></td>
</tr>
<tr>
<td >Update produktów - częstość (min): </td>
<td><input type="text" class="pole" size="60" name="updateczestosc" value="<? echo $updateczestosc; ?>" /></td>
</tr>
 
</table>
<input type="submit" class="go" name="save" value="Zapisz" />
<input type="button" class="go" name="cancel" value="Anuluj" onclick="window.location='admin.php'" />
</form>
[PHP] pobierz, plaintext 

Ten post edytował Adi32 13.07.2012, 08:45:11

[Sephirus]

Znaczy powiem tak, żeby nie było - luk bezpieczeństwa jakichś mega tu nie ma - ale jest nieład, niedbalstwo i co najgorsze - choć może tu nie najistotniejsze - brak pomyślunku jeśli chodzi o wydajność...

Może się już mu nie chce...

Co do wydajności to to:

[PHP] pobierz, plaintext 
$db->query("INSERT INTO " . $this->name . " (id_fraza,id_jezyk,tresc) VALUES (%d,%d,'%s')", 1, $_SESSION['id_jezyk'], $_POST['keyw']);
$db->query("INSERT INTO " . $this->name . " (id_fraza,id_jezyk,tresc) VALUES (%d,%d,'%s')", 2, $_SESSION['id_jezyk'], $_POST['opis']);
$db->query("INSERT INTO " . $this->name . " (id_fraza,id_jezyk,tresc) VALUES (%d,%d,'%s')", 3, $_SESSION['id_jezyk'], $_POST['tytul']);
$db->query("INSERT INTO " . $this->name . " (id_fraza,id_jezyk,tresc) VALUES (%d,%d,'%s')", 4, $_SESSION['id_jezyk'], $_POST['email']);
$db->query("INSERT INTO " . $this->name . " (id_fraza,id_jezyk,tresc) VALUES (%d,%d,'%s')", 5, $_SESSION['id_jezyk'], $_POST['szer']);
$db->query("INSERT INTO " . $this->name . " (id_fraza,id_jezyk,tresc) VALUES (%d,%d,'%s')", 6, $_SESSION['id_jezyk'], $_POST['wys']);
$db->query("INSERT INTO " . $this->name . " (id_fraza,id_jezyk,tresc) VALUES (%d,%d,'%s')", 7, $_SESSION['id_jezyk'], $_POST['szkontakt']);
$db->query("INSERT INTO " . $this->name . " (id_fraza,id_jezyk,tresc) VALUES (%d,%d,'%s')", 8, $_SESSION['id_jezyk'], $_POST['s2']);
$db->query("INSERT INTO " . $this->name . " (id_fraza,id_jezyk,tresc) VALUES (%d,%d,'%s')", 9, $_SESSION['id_jezyk'], $_POST['konto']);
$db->query("INSERT INTO " . $this->name . " (id_fraza,id_jezyk,tresc) VALUES (%d,%d,'%s')", 10, $_SESSION['id_jezyk'], $_POST['licznik']);
$db->query("INSERT INTO " . $this->name . " (id_fraza,id_jezyk,tresc) VALUES (%d,%d,'%s')", 11, $_SESSION['id_jezyk'], $_POST['updateczas']);
$db->query("INSERT INTO " . $this->name . " (id_fraza,id_jezyk,tresc) VALUES (%d,%d,'%s')", 12, $_SESSION['id_jezyk'], $_POST['updateczestosc']);
[PHP] pobierz, plaintext 

Można dać w jednym zapytaniu... itd... itp...

No i global $db :/ to mi nie da zasnąć...

Ten post edytował Sephirus 13.07.2012, 08:57:49

[redeemer]

Znaczy powiem tak, żeby nie było - luk bezpieczeństwa jakichś mega tu nie ma.

Zależy co to za obiekt $db i jak wygląda metoda query. Jeśli argumenty tej metody nie są escape'owane to mamy SQL injection.

[PHP] pobierz, plaintext 
$db->query("INSERT INTO " . $this->name . " (id_fraza,id_jezyk,tresc) VALUES (%d,%d,'%s')", 2, $_SESSION['id_jezyk'], $_POST['opis']);
[PHP] pobierz, plaintext