🚀 go-pugleaf

On Sat, 07 Mar 2009 12:32:58 -0000, Marek <marek1967@spam.interia.pl> wrote:

> Nie do końca tak jest w praktyce - nie mówię o teorii. Po pierwsze -  
> ilość znaków formularza czasem przewyższa możliwości GET. Po drugie  
> znacząco utrudniam możliwość ręcznego wpływania na sposób funkcjonowania  
> aplikacji 

Ale POST wcale nie jest bezpieczniejszy niż GET! W obu przypadkach każdy ma możliwość przesłania ci dowolnych danych.

Nawet nie potrzeba do tego specjalnie hackerskich narzędzi, np. w Operze można otworzyć źródło strony, przerobić formularz, odświeżyć stronę z cache i wysłać przerobione dane.

Tak czy inaczej, przychodzące dane musisz sprawdzać. W przypadku PHP kod praktycznie nie różni się, czy użyjesz $_GET, $_POST czy $_SESSION.

> gdyż nie analizuję tego co ktoś z palca wpisze sobie z nudów w  
> adresie URL - w szczególności automatom spamerskim, które potrafią  
> udawać wypełnianie formularzy (co już doświadczyłem).

POST przyciąga spamerskie boty znacznie bardziej niż GET, a dobrym botom można zakazać GET w robots.txt.

>> Jeśli potem jeszcze przekierowujesz na stronę, która nie ma w URL  
>> parametrów wyszukiwania, to już kompletnie łamiesz bezstanowość HTTP i  
>> uzależniasz treść strony danych, o których istnieniu przeglądarka nie  
>> ma pojęcia (zmiany danych w sesji są niewidoczne dla klientów HTTP).
>
> Dokładnie tak jest. Jednakże łamanie konwenansów ma swoje zalety  
> również. Powrót do wyszukiwarki bez przekazywania do niej jakichkolwiek  
> informacji prezentuje ostatnio wyszukiwaną treść - wcale nie oznacza to  
> defektu lecz wręcz przeciwnie: jest to czasem bardzo użyteczne 

OK, ale proponuję to robić dodatkowo, a nie zamiast tworzenia niezawodnych URL-i.
 
> "powrót do wyszukiwarki". Wyobraź sobie co się stałoby gdyby po drodze  
> przytrafił się jakiś POST. Wtedy taki "wstecz" wywaliłby komunikat o  
> potrzebie re-akceptacji formularza. 

To nie ma związku z wyszukiwarką, szczególnie jakbyś prawidłowo użył GET. 

Kiedy potrzeba użyć POST, to ten bug obchodzi się wysyłając status 303 i przekierowanie. Tego się nie czepiam. Czepiam się, że używasz POST zamiast GET tam, gdzie się nie powinno.

-- 
http://pornel.net
this.author = new Geek("porneL");