🚀 go-pugleaf

On Sun, 13 Mar 2011 21:36:46 -0000, aaaa <aaaa@aaaaaaaaaaaaaaaaaaa.com>  
wrote:

>>> chociaz ja bym proponowal raczej tak:
>>>
>>> ?>
>>> <script type="text/javascript">
>>> window.alert('<?php echo $text ?>');
>>> history.go(-1);
>>> </script>
>>> <?php
>>
>> Nigdy nie wykonuj echo $zmienna. Bez escape'owania prosisz się o XSS  
>> albo przynajmniej złą interpretację niektórych wartości.
>
> Jesli nie wiem co jest w $zmienna to tak, ale jesli wiem- to po co  
> dodawac kodu?

Bo z doświadczenia wiem, że takie "oszczędzanie kodu" wygląda fajnie i  
prosto, gdy go piszesz, ale 6 miesięcy i 30 zmian później nie będziesz już  
pewien, co w tej zmiennej może siedzieć i będziesz musiał robić audyt  
kodu, żeby odkryć wszystkie mikrooptymalizacje kosztem  
bezpieczeństwa/poprawności (albo po prostu zapomnisz o problemie i  
będziesz mieć luki/bugi).

Porządny kod łatwiej przyśpieszyć (jeżeli w ogóle to się okaże potrzebne),  
niż załatać luki w kodzie trzymającym się kupy jak rakietowa wersja małego  
fiata.

-- 
regards, porneL