PHP vs. ASP.NET vs. $OTHER

Kje so sploh dobili PHP programerje brez znanja o nevarnosti SQL injection?

In pri classic ASP je kaj drugače?

Še pri ASP.Net lahko brez težav napišeš spletno aplikacijo, ki je polna lukenj.

Na žalost so moje izkušnje takšne, da vsak jezik, ki omogoča enostavno sestavljanje nizov (string concatenation) v aplikaciji na spletne tehnologije neizogibno povzorči, da bodo amaterji pisali stavke v smislu "select * from XXX WHERE a=" + nekaj_kar_vpiše_uporabnik. To pa so danes praktično vsi programski jeziki.

Bolj pomanjkanje razumevanja. Ne razumejo nekaterih osnovnih konceptov programiranja, bi pa takoj začeli delat stvari z bazami podatkov.

Vsak začetnik bo raje napisal preprost SQL stavek v 1 vrstici, kot pa uporabil solato, ki jo nekateri frameworki ponujajo, kjer rabiš za nekaj enostavnega 5 vrstic kode, ki si jo težko zapomniš

SqlCommand cmd = "SELECT * FROM prvi = @prvi, drugi = @drugi, tretji = @tretji"
cmd.Parameters["@prvi"].Value = prvi
cmd.Parameters["@drugi"].Value = drugi
cmd.Parameters["@tretji"].Value = tretji
cmd.Execute

SqlCommand cmd = "SELECT * FROM prvi = '" + prvi + "', drugi = " + drugi + ", tretji = '" + tretji + "'"
cmd.Execute

Na žalost so moje izkušnje takšne, da vsak jezik, ki omogoča enostavno sestavljanje nizov (string concatenation) v aplikaciji na spletne tehnologije neizogibno povzorči, da bodo amaterji pisali stavke v smislu "select * from XXX WHERE a=" + nekaj_kar_vpiše_uporabnik. To pa so danes praktično vsi programski jeziki.

To je verjetno prej pomanjkanje enostavnosti s strani classov/frameworkov. Vsak začetnik bo raje napisal preprost SQL stavek v 1 vrstici, kot pa uporabil solato, ki jo nekateri frameworki ponujajo, kjer rabiš za nekaj enostavnega 5 vrstic kode, ki si jo težko zapomniš.

SqlCommand cmd = "SELECT * FROM prvi = @prvi, drugi = @drugi, tretji = @tretji"
cmd.Parameters["@prvi"].Value = prvi
cmd.Parameters["@drugi"].Value = drugi
cmd.Parameters["@tretji"].Value = tretji
cmd.Execute

SqlCommand cmd = "SELECT * FROM prvi = '" + prvi + "', drugi = " + drugi + ", tretji = '" + tretji + "'"
cmd.Execute

$result = $mysql->Query("SELECT * FROM tabela WHERE prvi = @prvi AND drugi = @drugi AND tretji = @tretji", array(
"prvi" => $prvi,
"drugi" => $drugi,
"tretji" => $tretji
));

V čemu je razlika?

V čemu je razlika? V temu, da pri prvem pristopu nimaš nevarnosti za SQL injection, pri drugem pa moraš sam zagotoviti preventivo.

Joj DejanL15... Si že kdaj slišal za retorično vprašanje in uspel prebrati vse, kar piše tam? Naj se citiram:

V čemu je razlika? V temu, da pri prvem pristopu nimaš nevarnosti za SQL injection, pri drugem pa moraš sam zagotoviti preventivo.

Primer v PHPju:

connector.Execute("SELECT * FROM tabela WHERE neki = @bla1 AND neki2 = @bla2", "bla", "blabla")

Naj ti dam primer za C#: var dejani = from s in Stranke where s.Ime == "Dejan" select s;

v LINQ primeru pa iz škatle samo MSSQL

Za LINQ vem, da "iz škatle" dobiš LINQ to SQL, ki podpira MSSQL, ne vem pa za podporo drugim RDBMS-jem.

Za LINQ vem, da "iz škatle" dobiš LINQ to SQL, ki podpira MSSQL, ne vem pa za podporo drugim RDBMS-jem.

linq provider se da obesit praktično na vse , celo na grafično(btw ja obstaja za mysql).

Še vseeno LINQ deluje samo z katastrofalnimi jeziki (C#, VB, F#, ...), ki so omejeni samo na eno platformo (Windows).

Katastrofali zaradi kode (veliko več je potrebno napisati za isti efekt kot pri alternativah, koda je katastrofa na pogled in za progrmairanje).

Za LINQ vem, da "iz škatle" dobiš LINQ to SQL, ki podpira MSSQL, ne vem pa za podporo drugim RDBMS-jem.

linq provider se da obesit praktično na vse , celo na grafično(btw ja obstaja za mysql).

Poudaril to, kar sem rekel. 3rd party ni iz škatle.

C#/F#/VB imajo tako vse skupaj nekaj nametano, da nobeden ne razume.
Java je dober, pa še OO je.

2.) Bolje to, kot pa System.Abcd.Something.AgainSomething.SthElse.Random.žnj(a, b);

4.) Debugger lahko to reši. Zend ima enega fajnega, pa tudi open source alternative so.

Ti pa očitno pozabljaš, da ima C# eno veliko pomanjkljivost. Deluje samo na najbolj nezanesljivi platformi - Windows.

poznaš kakšno veliko spletno aplikacijo napisano v ASPju (lahko tudi frameworku kot je .NET)?

Ne, nikakor ni bolje. Namespace-i obstajajo z dobrim razlogom.

Kakšnim? Da otežijo delo?

@BlueRunner: Odlicno spisano!

Ampak ni vse pravilno in kaj če pogledamo slabosti C#? Veliko več jih bo, ampak ta debata ni primerna za to novico.

Glej zlomka, kodo sem testiral doma na enem sistemu, preizkus v praksi pa je potekal na drugem. Nekje je delovalo, kot sem pričakoval, drugje ne, ob popolnoma enakih vhodnih parametrih. 100% kompatibilno ...