Главная

Новости

Статьи и обзоры
  Горожанин
  Обнинск в Internet
  Web Design
  Hardware
  Software
  Безопасность
  Серфинг
  Игродром
  Relax
  Технологии
  Web-обзор
  Интернет-ликбез
  Опросник
  УП-Технологии
  ART.net

Ссылки

Архив

О нас

Контакты

Форумы

POPULAR.RU

АРХИТЕКТУРА КРУПНЫХ ФОРМ

© Артемий Ломов

ГЛАВНОЕ - ПЕРВЫЙ ШАГ

Сложные многошаговые приложения обычно состоят из нескольких взаимосвязанных скриптов, но есть и исключения - некоторые вполне солидные и полнофункциональные приложения могут быть организованы в виде одного единственного исполняемого файла. Достоинство первого подхода состоит в том, что разрозненные скрипты являются достаточно простыми, более "шустрыми" в плане производительности и менее требовательными к памяти. Недостатком же является тот факт, что во множестве скриптов неизбежно повторяются одни и те же базовые инструкции, отвечающие, к примеру, за чтение и разбор строки запроса. Второй подход пусть и сопряжен с некоторой громоздкостью "монолитного" кода, дает возможность описывать унифицированные процедуры лишь однократно, что предпочтительнее с точки зрения оперативности внесения изменений в такие блоки кода. В контексте данной темы, как мне представляется, целесообразно будет рассмотреть практический пример логики построения реально существующего онлайнового магазина.
Итак, интернет-магазин состоит из двух скриптов. Один из них выполняет поиск в базе данных по нескольким критериям, заданным пользователем. При запуске выводится форма, с помощью которой можно определить условия поиска, после чего эти параметры отправляются тому же самому скрипту методом GET. Этот метод был избран для того, чтобы была возможность поставить извне непосредственную гипертекстовую ссылку на тот или иной отчет. Форма для задания параметров поиска выводится всякий раз при обращении к скрипту, вне зависимости от того, производился сам поиск или еще нет. Это позволяет искать интересующие товары неограниченное число раз. Найденные по запросу позиции выводятся в виде очередной веб-формы с полями для указания требуемого количества напротив каждого наименования. Выборка могла быть большой (до нескольких сотен товаров), но было принято решение не разбивать обширные отчеты на отдельные страницы, потому что при таком подходе до товаров, находящихся в середине списка, существенная часть потенциальных покупателей никогда не доберется. Данные о требуемом количестве заказываемых товаров отправляются второму скрипту методом POST (этот метод выбран в первую очередь вследствие потенциально крупных размеров выборок). Скрипт занимается пополнением "корзины заказа", предоставляя пользователю на выбор три возможности:
- продолжить выбор необходимых наименований при помощи первого скрипта
- очистить корзину
- заполнить анкету с личными данными и тем самым подтвердить заказ.
В анкете, в свою очередь, некоторые поля являются обязательными, а часть значений проверяется на наличие недопустимых символов и на соответствие определенному формату. Использование метода POST позволило предусмотреть в форме анкеты элемент для разного рода дополнительной информации, не ограниченной по объему. Данные анкеты отправляются администратору магазина, но лишь в том случае, если в корзине наличествуют товары, а форма при этом заполнена правильно. Значения полей анкеты, естественно, сохраняются, и пользователь может в любой момент исправить свою ошибку, не заполняя все поля заново. А может перед повторной отправкой анкеты вспомнить что-то важное и добавить в свою корзину еще десяток дополнительных товаров.<br> Теперь коснемся другого аспекта - служебных данных, используемых для организации взаимодействия между смежными шагами работы приложения. Здесь тоже можно выделить два подхода. Информацию такого рода можно как передавать напрямую при помощи НТТР-запросов, так и сохранять в файле или базе данных доступным скрипту для чтения и модификации. В интернет-магазине, рассмотренном выше, корзина товаров представляет собой обычный текстовый файл, сохраняемый скриптом в своем рабочем каталоге. Имя этого файла совпадает с идентификатором заказа, который, в свою очередь, формируется один раз в начале каждого сеанса работы на основе даты, времени и IP-адреса пользовательской машины, после чего передается каждому последующему шагу с помощью скрытых полей форм. Способ организации взаимодействия в данном случае зависит от объема данных. Корзина в теории может иметь сколь угодно большой размер, а идентификатор сеанса ограничен несколькими цифрами. Передача служебной информации по протоколу НТТР реализуется проще, но имеет существенный недостаток, связанный с небезопасностью, которая вам вовсе не нужна.<br> <br> ДОВЕРЯЙ, НО ПРОВЕРЯЙ<br> <br> Нельзя доверять данным, передаваемым в пользовательском запросе, даже если речь идет о значении скрытых полей форм, предусмотренных самим разработчиком. Значения, отправляемые методом GET, чрезвычайно легко подменить - достаточно лишь отредактировать URL отчета. Передать скрипту "нехорошие" параметры при помощи метода POST чуть сложнее, но это доступно любому веб-мастеру, знакомому с HTML-формами. Чуть ли не любой подросток, начитавшись статей с хакерских сайтов, наверняка захочет самоутвердиться. Ни в коем случае не следует надеяться, что, если логикой работы приложения предусмотрен запуск n -го скрипта только после (n-1)-го, то никто не сможет его вызвать напрямую, обратившись непосредственно по имени. Проверка переменной окружения HTTP_REFERER фактически бесполезна, потому что продвинутый взломщик может сгенерировать произвольный НТТР-запрос с какими угодно значениями каких угодно полей. Любой скрипт после запуска должен проверять состав и значения параметров, переданных ему посредством НТТР-запроса. Любой "подозрительный" параметр, тем не менее, не должен служить основанием для паники. Неверное значение не обязательно передано взломщиком - оно вполне может являться следствием непреднамеренного действия законопослушного пользователя или объясняется сбоем в сети. <br> <br> ПРОБЛЕМА ПУСТЫХ ФОРМ<br> <br> При первом запуске приложения пользователь неизбежно увидит перед собой девственно чистую форму. Первым запуском в данном случае может являться следствие нажатия кнопки "Назад" в браузере или же повторное прямое обращение к скрипту после кратковременной отлучки на другой сайт. Решить проблему можно при помощи cookies. По умолчанию принимается время до окончания текущего сеанса работы, но при помощи поля expires можно установить любые дату и время истечения актуальности этих данных (в последнем случае они сохраняются на диске клиентского компьютера в виде текстового файла). Браузер отправляет серверу значение cookies в заголовке НТТР-запроса, в результате чего сервер может оперировать сохраненными ранее данными. Cookies позволяет пользователю увидеть в полях формы значения, введенные им при последнем обращении, даже спустя несколько дней, при условии, что их не стирали из системы.<br> </p><br> <!-- bot.txt --> </td> <td bgcolor="#00cccc"><img src="../../Images/tochka.gif" width=5 height=1 alt="" border="0"></td> </tr> </table> <!-- Низ --> <table cellpadding="0" cellspacing="0" border="0" width="750"> <tr><td bgcolor="#cc3300" colspan="2"><img src="../../Images/tochka.gif" width=750 height=5 alt="" border="0"></td></tr> <tr bgcolor="#99ccff" valign="top"><td align="left"> <!-- SpyLOG v2 f:1211 --> <script language="javascript"> u="u185.15.spylog.com";d=document;nv=navigator;na=nv.appName;p=1; bv=Math.round(parseFloat(nv.appVersion)*100); n=(na.substring(0,2)=="Mi")?0:1;rn=Math.random(); z="p="+p+"&rn="+rn;y=""; y+="<a href='http://"+u+"/cnt?f=3&p="+p+"&rn="+rn+"' target=_blank>"; y+="<img src='http://"+u+"/cnt?"+z+ "&r1="+escape(d.referrer)+"&r="+escape(parent.document.referrer)+ "&pg="+escape(window.location.href)+"' border=0 width=88 height=31 alt='SpyLOG'>"; y+="</a>"; d.write(y); if(!n) { d.write("<"+"!--"); } //--></script><noscript> <a href="http://u185.15.spylog.com/cnt?f=3&p=1" target=_blank> <img src="http://u185.15.spylog.com/cnt?p=1" alt='SpyLOG' border='0' width=88 height=31 > </a> </noscript><script language="javascript1.2"><!-- if(!n) { d.write("--"+">"); }//--></script> <!-- SpyLOG --> <!-- HotLog --> <script language="javascript"> hotlog_js="1.0"; hotlog_r=""+Math.random()+"&s=17885&im=105&r="+escape(document.referrer)+"&pg="+ escape(window.location.href); document.cookie="hotlog=1; path=/"; hotlog_r+="&c="+(document.cookie?"Y":"N"); </script> <script language="javascript1.1"> hotlog_js="1.1";hotlog_r+="&j="+(navigator.javaEnabled()?"Y":"N") </script> <script language="javascript1.2"> hotlog_js="1.2"; hotlog_r+="&wh="+screen.width+'x'+screen.height+"&px="+ (((navigator.appName.substring(0,3)=="Mic"))? screen.colorDepth:screen.pixelDepth)</script> <script language="javascript1.3">hotlog_js="1.3"</script> <script language="javascript">hotlog_r+="&js="+hotlog_js; document.write("<a href='http://click.hotlog.ru/?17885' target='_top'><img "+ " src='http://hit2.hotlog.ru/cgi-bin/hotlog/count?"+ hotlog_r+"&' border=0 width=88 height=31 alt=HotLog></a>") </script> <noscript> <a href=http://click.hotlog.ru/?17885 target=_top> <img src="http://hit2.hotlog.ru/cgi-bin/hotlog/count?s=17885&im=105" border=0 width=88 height=31 alt="HotLog"></a> </noscript> <!-- /HotLog --> </td> <td align="right"><font color="#000099" style="font-size : 8pt;">Copyright © <a href="mailto:lightnet@obninsk.ru">Свет в Internet</a>   Designed by <a href="mailto:lightnet@obninsk.ru">Свет в Internet</a></font>  </td></tr> </table> <!-- Низ --> </td></tr> </table> </body> <!-- bot.txt --> </html>