VELIK505
16.02.2012 - 11:53
Да наверное перепутал. Но я всё равно всегда использовал и буду использовать switch
zeromind да используй switch
killer8080
16.02.2012 - 11:54
Цитата (zeromind @ 16.02.2012 - 09:04) |
получается эта уязвимость реализуется, только при том условии, что данный GET параметр иклюдится в моем скрипте? |
Не обязательно $_GET, любые пользовательские данные, будь то хоть $_POST, $_COOKIE, $_REQUEST, $_FILES или $_SERVER['HTTP_...
Цитата (zeromind @ 16.02.2012 - 09:04) |
тогда думаю надо поставить или свич или самому текстом писать название файла)) и нет проблем.. |
само собой, это говнокодерская уязвимость.
andrey888
16.02.2012 - 14:35
благодарю аплоад сделал .. возник следующий вопрос.
скажем присваиваю я всем изображениям пришедшим от пользователей имя следующим образом
$image=time().'.'.$extension;
Вопрос такой может ли быть присвоено одно и то же имя разным изображениям при условии если они будут внесены в одно и то же время (до секунды).
Как здесь работает сервер ? - он ставит все запросы в очередь и тогда как следствие повторения быть не может при любом раскладе .. либо он может обработать два запроса вместе, и тогда такое может случиться ?
_____________
Прогноз на следующие 5 лет : Россия, Китай - две величайшие державы.
США в Ж*пе. Справедливость восторжествует. )
inpost
16.02.2012 - 14:40
andrey888Может, добавь ещё какую-нибудь random цифру.
_____________
Обучаю веб-программированию качественно и не дорого:
http://school-php.comФрилансер, принимаю заказы: PHP, JS, AS (видео-чаты). Писать в ЛС (Личные сообщения на phpforum).
andrey888
16.02.2012 - 14:43
inpost ок пасибо .
А вдруг преключиться что вместе с датой еще и рандом совпадем - понимаю что вероятность 0.00000000.... % - но все же.
Тогда наверно стоит добавлять номера групп и подгрупп и + еще рандом цифру. - чтоб еще снизить процент вероятности.
_____________
Прогноз на следующие 5 лет : Россия, Китай - две величайшие державы.
США в Ж*пе. Справедливость восторжествует. )
killer8080
16.02.2012 - 14:49
или так
$name = time();
$i = 0;
$file_name = $name.$ext;
while(file_exists($file_name))
$file_name = $name.(++$i).$ext;
inpost
16.02.2012 - 14:50
andrey888Проверяй на file_exists, если тебе так легче будет
_____________
Обучаю веб-программированию качественно и не дорого:
http://school-php.comФрилансер, принимаю заказы: PHP, JS, AS (видео-чаты). Писать в ЛС (Личные сообщения на phpforum).
andrey888
16.02.2012 - 14:52
killer8080 дак тогда получается что сервер все таки ставит запросы в очередь .. ?
если нет тогда теоретически для обеих картинок проверка на file_exists(); может показать что файла нет ?? или я ошибаюсь ?
_____________
Прогноз на следующие 5 лет : Россия, Китай - две величайшие державы.
США в Ж*пе. Справедливость восторжествует. )
killer8080
16.02.2012 - 14:54
Цитата (andrey888 @ 16.02.2012 - 12:52) |
killer8080 дак тогда получается что сервер все таки ставит запросы в очередь .. ? |
Да.
andrey888
22.02.2012 - 14:46
Извеняюсь за оффтоп небольшой.. Еще один вопрос здесь же.
Если есть регистрация пользователей , важно ли (с точки зрения безопасности) выносить все файлы которые "обслуживают" пользователя в отдельную папку ? либо это вообще неважно при условии что все правила "общения" с бд учтены (mysql_real_escape_string(),htmlspecialchars(),(int)).
На некоторых ресурсах вижу например что после регистрации я перехожу вообще на ПодДомен .... для чего это делается ?
Спасибо за ответы.
_____________
Прогноз на следующие 5 лет : Россия, Китай - две величайшие державы.
США в Ж*пе. Справедливость восторжествует. )
killer8080
22.02.2012 - 14:49
Цитата (andrey888 @ 22.02.2012 - 12:46) |
важно ли (с точки зрения безопасности) выносить все файлы которые "обслуживают" пользователя в отдельную папку ? либо это вообще неважно при условии что все правила "общения" с бд учтены (mysql_real_escape_string(),htmlspecialchars(),(int)). |
Ну можно делать под юзера отдельную папку для аплоада, но к безопасности это отношения не имеет.
andrey888
22.02.2012 - 14:57
ок спасибо.
_____________
Прогноз на следующие 5 лет : Россия, Китай - две величайшие державы.
США в Ж*пе. Справедливость восторжествует. )
Вопрос по теме - насколько правильно использовать в названии изображения время его загрузки? Может быть присваивать каждому изображению уникальный id и его настоящее имя, например 1_oldname.png 2_img055.png и т.д. Как будет правильнее?
killer8080
22.02.2012 - 15:45
Цитата (Guest @ 22.02.2012 - 13:42) |
Может быть присваивать каждому изображению уникальный id и его настоящее имя, например 1_oldname.png 2_img055.png и т.д. |
а как будешь определять текущий id?
olegod
22.02.2012 - 23:34
Может быть хранить в бд ид последнего изображения? Хотя наверное это лишняя нагрузка на сервер. Всё таки как правильнее?
Быстрый ответ:
Powered by dgreen
Здесь расположена полная версия этой страницы.