שאלת תם - מה כל כך נורא בPHP?

[מוטי אורן]

@www אמר בשאלת תם - מה כל כך נורא בPHP?:

נראה לי עלוב לכנות את זה פרצת אבטחה.
גם השרת אינטרנט הוא 'פרצת אבטחה' שמאזין לכל בקשה ברשת בלי שום אימות.
בכל מקרה הפיצ'ר הזה זה המעלה של PHP...

אולי זה לא פרצת אבטחה, אבל זה מתכון בטוח (שהוכחה היעילות שלו) לפרצות אבטחה מהזן המסוכן יותר.
הדוגמה הפשוטה ביותר היא מנגנון העלאת קבצים ב-PHP. כל עוד המתכנת לא בודק בצורה המחמירה ביותר את הקבצים, ניתן לקבוע כמעט בוודאות שתיווצר אפשרות להריץ קוד מרוחק על המערכת שלו. קח דוגמא את הקוד הזה שהשתמשתי בו פעם (באיזה אתגר של Remote execution שמצאתי):

system($_GET["shell"]);

מה שעשיתי היה די פשוט. הכנסתי את הקוד הזה לקובץ, העליתי את הקובץ לשרת, ולאחר מכן ביצעתי קריאת GET לשרת (לנתיב שהעליתי אליו את הקובץ) עם הפרמטר shell שמכיל את הערך של פקודה כלשהי, והוא בהחלט רץ על השרת. אם אני זוכר נכון, את אותה פגיעות בדיוק מצאו בתוסף וורדפרס הפופולארי 'ווקומרס' לפני כשנתיים. פרצה המבוססת על חוסר בבדיקת הקבצים המועלים לשרת.

[chv]

@nigun אמר בשאלת תם - מה כל כך נורא בPHP?:

הציק לי בPHP שלא מכריזים על משתנה (אולי קיים בעוד שפות)

אני משער שאתה מתכוין 'מצהירים' declare.
בהרבה שפות לא מצהירים על משתנה. הדוגמא הראשונה כנראה היא פייתון.

בפייתון אם אתה משתמש במשתנה שלא הוצהר, זה מחזיר None (זה סוג של null בפייתון. לא מדויק..)

[nigun]

@chv
אז זה גם מתכון לצרות
למה לא לזרוק שגיאה אם משתמשים במשתנה שלא קיים?

[chv]

@nigun זה לא נכון, לרוב היוזקייסים, לזרוק שגיאה על עצם השימוש במשתנה שהערך שלו הוא None (בפייתון, או undefined ב-JS וכו').
שגיאה תיזרק לך אם יש איזו פרוצדורה שאתה מנסה לבצע מתוך הערך של המשתנה. לדוגמא אם אתה מנסה להוציא מפתח מתוך אובייקט שבעצם לא קיים, כמובן ייזרוק לך שגיאה (בפייתון/JS וכו').
אבל בהחלט יש מצבים שדווקא כן תנסה להשתמש בערך של המשתנה - גם אם הוא None.
זה יהיה תנאים על פי הערך של המשתנה הזה, אם הוא קיים תעשה X אם לא תעשה Y וכדו'

[nigun]

@chv אמר בשאלת תם - מה כל כך נורא בPHP?:

אבל בהחלט יש מצבים שדווקא כן תנסה להשתמש בערך של המשתנה - גם אם הוא None.

למה שתרצה להשתמש בערך של משתנה שמעולם לא הוגדר?

[dovid]

@chv פייתון וJS לא מהווים דוגמה למופת של שפת תכנות בטוחה...
אבל @nigun זה לא חכמה לבוא לשפה של שטח מסויים ולבוא אליה בטענות שהיא לא חיה אחרת לגמרי.
זה PHP ויש בזה מעלות רבות. שפות בטוחות סובלות מעודף בירוקרטיה תכנותית בפרט לדברים קלים ולמפתחים מתחילים.

[nigun]

@dovid
אני מנסה להבין מה פיצ'ר בכך שאפשר להעביר משתנה שלא קיים לתוך פונקציה
למה זה לא מחזיר שגיאה שעוצרת את הקוד.
בכל אופן הכרזה על משתנה זה ביורוקרטיה קטנה שעושה הרבה סדר, אני יכול להבין את המעלה בפיצ'ר הזה (של שימוש בלי הכרזה) אבל בפועל זה נראה שהנזק רב על התועלת.

[nigun]

ואיך שכחתי את הקובץ PHP.INI שרוב האנשים לא מכירים את כל ההגדרות שלו
וכך יש לך הבדלים בין סביבת פיתוח לפרודקשן שזה מתכון לצרות.
(בפרט שלא ברור איפה הקובץ הזה יושב ובכל שרת אפשר למצוא אותו במקום אחר, אולי יש בזה כללים אבל אני זוכר שהיה בזה כאב ראש)

[nigun]

עוד כאב ראש זה התאימות לאחור בין הגרסאות
אם בפייתון צריך להתמודד רק עם השינויים בין גרסא 2 ל 3
מPHP זכור לי שיש יותר כאבי ראש ויותר מעברים בין גרסאות (נראה לי שעכשיו זה אוחז ב8.1 כשיש לך שרתים שרצים רק על 5.6)
ואם אתה רוצה להריץ סקריפטים מגרסאות שונות זה כאב ראש רציני.

[dovid]

@nigun אתה הופך כל תסכול שהיה לך לטענה של ממש על השפה,
זה טענות שבמקרה הטוב נכונות ל"למה אני מעדיף X" ולא לטענות למה PHP לא טוב.
מי שמחליט רציני לפתח בPHP צולח בתחילת דרכו את הטענות שלך (ודי בקלות) והם הופכים די מהר ללא רלוונטיים, הכל די מוגדר וקל לפחות מהבחינות שהעלית.

[nigun]

@dovid
אני לא חושב שיש נקודה אחת שגורמת לאנשים לא לאהוב את PHP
אלא מכלול של פרטים שמציקים לכל אחד בפינה אחרת
ואני לא אומר שPHP זה שפה גרועה/רעה, אלא פשוט שפה ישנה שעדיף ללמוד שפות אחרות ולא להיכנס לפינות של השפה הזו, ומי שיש לו 10 שנות ניסיון בPHP אולי כדאי לו להישאר שם (אני אישית שמח שלא נשארתי שם, אבל זה היה טוב לשפה ראשונה).

[WWW]

@nigun אמר בשאלת תם - מה כל כך נורא בPHP?:

עוד כאב ראש זה התאימות לאחור בין הגרסאות
אם בפייתון צריך להתמודד רק אם השינויים בין גרסא 2 ל 3
מPHP זכור לי שיש יותר כאבי ראש ויותר מעברים בין גרסאות (נראה לי שעכשיו זה אוחז ב8.1 כשיש לך שרתים שרצים רק על 5.6)
ואם אתה רוצה להריץ סקריפטים מגרסאות שונות זה כאב ראש רציני.

דווקא בזה אני ממש חולק עליך.
ב PHP אם אתה מפתח בגרסה נמוכה יחסית, אין לך שום כאב ראש.
כאבי הראש מתחילים, כשאתה רוצה להתקין ספריה שמעודכנת לגרסה 8 ולך יש 5.6 בשרת. (אתה מכיר את זה כי עבדת עם אסטריסק, ו-FREEPBX היו בזמנו תקועים ב 5.6, זה לא מקרה סטנדרטי, כל שרתי האחסון מעדכנים מיד לגרסה האחרונה).

@nigun אמר בשאלת תם - מה כל כך נורא בPHP?:

ואיך שכחתי את הקובץ PHP.INI שרוב האנשים לא מכירים את כל ההגדרות שלו
וכך יש לך הבדלים בין סביבת פיתוח לפרודקשן שזה מתכון לצרות.
(בפרט שלא ברור איפה הקובץ הזה יושב ובכל שרת אפשר למצוא אותו במקום אחר, אולי יש בזה כללים אבל אני זוכר שהיה בזה כאב ראש)

זה נכון, זה קשור לזה שההגדרות חלות על שרת האינטרנט, וגם לזה שלפעמים יש 5 גרסאות PHP מותקנות על השרת (הבעיה הזאת קיימת בעוד שפות אני חושב).

[nigun]

@www אמר בשאלת תם - מה כל כך נורא בPHP?:

ב PHP אם אתה מפתח בגרסה נמוכה יחסית, אין לך שום כאב ראש.

מה אתה עושה אם יש פיצ'ר חדש ב8 שאתה ממש רוצה להשתמש בו ויש לך ספריה אחרת על השרת שתואמת רק ל5.6? גם אם זה פרוייקטים נפרדים זה כאב ראש להפריד ביניהם (אולי אני טועה וזה ממש קל להגדיר לכל פרוייקט גרסה שונה) אבל באותו פרוייקט זה נראה לי בלתי אפשרי.

[איש נחמד]

@nigun אמר בשאלת תם - מה כל כך נורא בPHP?:

@www אמר בשאלת תם - מה כל כך נורא בPHP?:

ב PHP אם אתה מפתח בגרסה נמוכה יחסית, אין לך שום כאב ראש.

מה אתה עושה אם יש פיצ'ר חדש ב8 שאתה ממש רוצה להשתמש בו ויש לך ספריה אחרת על השרת שתואמת רק ל5.6? גם אם זה פרוייקטים נפרדים זה כאב ראש להפריד ביניהם (אולי אני טועה וזה ממש קל להגדיר לכל פרוייקט גרסה שונה) אבל באותו פרוייקט זה נראה לי בלתי אפשרי.

אני לא יודע באיזה מבנה היישום שלך בנוי, אבל יש את התחביר הזה:

if (version_compare(phpversion(), '5', '>='))
{
       // act accordintly
}

וורדפרס למשל היא דוגמא לקוד PHP שנועד לעבוד עם טווח גרסאות אפשרי.

[nigun]

@איש-נחמד
לא הכרתי.
אבל עדיין אם יש לך קוד שנכתב ב5.6 בזמן שלא היה גרסה 8 בעולם
אז איך המפתח אמור לדעת איפה להוסיף את זה? ולהוסיף אחר כך זה לכאורה עבודה קשה.

[davidnead]

אני חושב, שיש הרבה סיבות לא לאהוב PHP, ורובם הוזכרו כאן לעיל. אבל הסיבה האמיתית ש"קוברת" את השפה (ענין של זמן, רק האקוסיסטם מחזיק אותה) זה ה"קוד ספגטי".
הבשורה של PHP (אי שם במאה ה-14) היתה היכולת לכתוב HTML בצורה דינמית, ובשפה קלה ונגישה.
לוקחים שורת HTML וכתובים אותה בלולאה, או מכניסים בה משתנה.
הבשורה, הזו, שהיתה בשורה אי שם, הפכה לחושך בעיניים של כל מתכנת מודרני. הערבוב בין הלוגיקה והAPI לבין הHTML - יצר את הביטוי קוד ספגטי, שאני לא מוצא גרוע ממנו. מכוער, קשה להבנה ולהתחזוק, ולא גמיש בגרוש.
עם הזמנים יצאו פתרונות שונים, ופריימוורקים שונים, ותבניות MVC וכדומה, אבל הם פותרים בקושי נקודת פתיחה גרועה.

אז נכון, ככל שהBACK שלך גדול יותר, והHTML שולי יותר זה פחות משנה.
אבל אם זה המצב - אז גם בשביל מה PHP. למה לא שפה נקיה ומודרנים יותר וחפה מבעיות? ולמה פריימוורק בצד שרת שמנסה להסתדר עם המגבלות של השיטה הישנה כשיש פרייוורקים טובים בצד לקוח שעושים את העבודה בJS, בהפרדה חזקה מהשרת ובהפרדה חזקה בין הJS לHTML?
בעבר גם היכולות של JS ושל דפדנים היו מוגבלות מאוד, והיכולת של עיבוד HTML נוח בצד שרת היתה חשובה. אבל היום? SPA זו המילה האחרונה.

אני חושב, שבסוף בחוויית מפתח, זה מה שקובר את השפה. לא רק הכלים שלה, אלא הייעוד שלה לא מתאים לעשור שלנו.

[WWW]

@nigun אמר בשאלת תם - מה כל כך נורא בPHP?:

ויש לך ספריה אחרת על השרת שתואמת רק ל5.6?

כמעט ואין דברים כאלה.
הם שומרים הרבה על תאימות.