WWW-ohjelmointi ANTTI SAND TIETA12

Transkriptio

1 WWW-ohjelmointi ANTTI SAND TIETA12

2 Palvelinohjelmoinnin perusteet 2

3 HTTP -protokolla 3 Asiakas lähettää pyynnön Palvelin lähettää vastauksen Request Response protocol Yksi transaktio = yksi pyyntö + yksi vastaus Transaktiot ovat yksittäisiä, mikään ei sido kahta transaktiota toisiinsa Ne ovat tilattomia Käytännössä monissa sovelluksissa tarvitaan kuitenkin tilaa Määritetty RFC dokumenteissa

4 RFC Pyynnössä on Request line Request message headers Vastauksessa on Status line Response message headers Body Body on aina vapaaehtoinen Headereissa on pakollisia ja vapaaehtoisia tietoja Pyyntöä tai vastausta ei voi olla ilman headereita

5 Käytännön esimerkki 5 Request GET /index.php HTTP/1.1 Host: localhost [linefeed] Response HTTP/ OK Content-Lengt: 11 Content-Type: text/html; charset=utf8 [linefeed] Hello World STATUS CODES: 200 OK 3** Redirection 4** Client error 403 Unauthorized 404 Not found 5** Server error List_of_HTTP_status_codes

6 HTTP osat 6 Vastaus koostuu kolmesta osasta: Status line (HTTP/ OK) Headers (Content-Type: text/html, Content-Length:11) Body (Hello World) Ohjelmointikielet sallivat lähettää ensin osan bodyä ja sitten vasta headereita Tuloksena virhe headers already sent Tämä sisältää tyhjätilamerkit Joko pidät huolen, että headerit lähetetään ensin, tai paketoit vastauksen Ob_start(); koodia ; ob_end_flush();

7 HTTP Verbit 7 Yleisimmät verbit: GET pyydetään resurssi POST luodaan resurssi PUT/PATCH päivitetään resurssia DELETE poistetaan resurssi Verkkolomakkeiden kanssa käytännössä vain GET ja POST Jos halutaan toteuttaa RESTfull suunnittelua, voidaan lisätä ylimääräinen piilokenttä lomakkeelle, joka voi tarkemmin määrittää halutun metodin

8 PHP ja HTTP, Superglobaalit 8 Kuinka lukea syötettä? $_SERVER sisältää kaikki headerit Method, Uri, Protocol, $_POST HTTP POST parametrit $_GET HTTP GET parametrit $_REQUEST Kuinka vastata pyyntöön? Status line ja muut headerit voidaan määrittää header() funktiolla Kaikki mitä tiedosto tulostaa siirtyy vastauksen body:yn Useimmiten vastaus-headerit voivat olla implisiittisiä. PHP tai palvelin asettaa ne automaattisesti. Voidaan asettaa, jos pyynnön vastauksena halutaan selaimen tallentavan tiedoston Vastaus ei ole html dokumentti, vaan vaikkapa JSON objekti JavaScript -sovellukselle

9 GET 9 Pyydetään resurssi palvelimelta Voidaan antaa parametreja osana kyselyä (query string) Index.php?nimi=antti&ika=32 Ovat osa pyynnön osoitetta Kyseiset parametrit voidaan tallentaa vaikkapa selaimen suosikkeihin Ovat näkyvissä osoiterivillä Voidaan käsitellä PHP:ssa $_GET superglobaalin kautta:

10 POST 10 Ei ole osa pyynnön osoitetta Tulevat useimmiten lomakkeilta Tai vaikkapa mobiilisovellukselta, CURLista, Eivät näy selaimen osoiterivillä Ei voida lisätä kirjanmerkkeihin selaimessa Voidaan käsitellä PHP:ssa $_POST superglobaalin kautta

11 GET vai POST 11 GET jos rivi halutaan osaksi kyselyä Tuotteet.php?tuotenumero=1111 Selaa.php?sivu=1&jarjestys=laskeva&naytaSivulla=50 Toimipaikat.php?toimipaikka=Tampere POST jos tieto on sensitiivistä tai transaktiokohtaista Kirjautumistiedot Lomakkeen tiedot Chat.php?viesti=moikka lähettäisi saman viestin jokaisella sivunlatauksella

12 Muuttujat 12 syötteessä Double quotes Voidaan sisällyttää muuttujia, mutta ei taulukoita \ sallii lainausmerkin osana merkkijonoa Single quotes Ei voida sisällyttää muuttujia

13 Tietoturvavaroitus! 13 Älä koskaan tulosta käyttäjältä tullutta syötettä sellaisenaan! Verkossa ei tule koskaan luottaa käyttäjään.

14 Escape user input 14 Meillä on kaksi natiivia funktiota syötteen sanitoimiseen: htmlentities() ja htmlspecial chars(). Molemmat muokkaavat tulostettavaa syötettä tehden siitä turvallisempaa. htmlspecialchars() on varmaankin se funktio, jota käytetään 90% ajasta. Se etsii syötteestä sellaisia merkkejä, joilla on syktaktista merkitystä (esim. <, >, &) ja muuntaa ne vastaaviksi HTML entiteeteiksi. htmlentities() on kuin htmlspecialchars(), mutta paljon innokkaampi. Se etsii kaikki sellaiset merkit, joilla on HTML entiteettipari. Eli esimerkiksi skandinaavisen kirjainmerkit. TIETA A.S.

15 HTTP POST 15 POST parametrit tulevat usein lomakkeilta Isset() tarkistaa onko avainta asetettu. Sellaisen avaimen arvon hakeminen, jota ei ole asetettu, aiheuttaisi virheen.

16 Error, Warning, Notice 16 E_ERROR E_WARNING E_PARSE E_NOTICE Fatal run-time errors. These indicate errors that can not be recovered from, such as a memory allocation problem. Execution of the script is halted. Run-time warnings (non-fatal errors). Execution of the script is not halted. Compile-time parse errors. Parse errors should only be generated by the parser. Run-time notices. Indicate that the script encountered something that could indicate an error, but could also happen in the normal course of running a script.

17 Kontrollilauseet 17

18 Kehittämisen ajaksi virheet näkyviin 18 Jos ohjelman suorittamisen aikana tulee poikkeuksia (Exception) tai varoituksia, ne on hyvä tuoda kehittäjän tietoisuuteen Poikkeus ohjelman suorituksessa palauttaa Server Error 500 virhesivun, jonka kautta virheen syytä ei voi selvittää Mutta debug tietoja ei haluta käyttäjän nähtäville, sillä niiden kautta voi löytää haavoittuvuuksia Oletuksena koulun palvelimella kaikki virheet, poikkeukset ja varoitukset kätketty Täytyy erikseen sallia ne riveillä error_reporting(e_all); ini_set('display_errors', 1);

19 Kontrollilauseet 19 Ternary operator: $var = (ehto)? Tosi : epätosi; If else If else ==, >=, <=,!= &&,

20 Kontrollilauseet 20 Reitityksen ja sivupohjien yksinkertainen esimerkki

21 Taulukot 21

22 Taulukot 22 Taulukko on useimpien kielten perustietorakenne PHP:ssa taulukko luodaan $myarray = []; tai $myarray = array(); $myarray = [ item 1, item 2, item 3, ]; $arr = array( item 1, item 2, item 3 ); PHP:ssa taulukko on myös sekä jono, että pino Array_push(), array_pop(), array_shift(), array_unshift()

23 Taulukko on iteroitava 23 For($i = 0, $len = count($arr); $i < $len; $i++) { echo $arr[$i]; } Foreach($arr as $item) { echo $item; }

24 Taulukko voi olla assosiatiivinen 24 $people[ antti ] = 32; $people[ someoneelse ] = 65; Echo $people[ antti ]; // 32 Myös $age = array("peter"=>"35", "Ben"=>"37", "Joe"=>"43"); echo "Peter is ". $age['peter']. " years old.";

25 Taulukot ja 25 HTML Sama lopputulos Ylempi tapa voi olla helpompi, jos tulostuslauseke tuottaa paljon HTML -merkkejä

26 Array keys and values 26 Esimerkissä $key ja $value ovat geneerisiä, yleensä on parempi käyttää mahdollisimman kuvaavia muuttujannimiä. Mutta tässä esimerkissä ne kuvaavat kirjaimellisesti esitettyä asiaa. TIETA A.S.

27 Taulukot sallivat käyttäjältä paljon 27 $person = [ age => 32, hair => brown ]; $person[ name ] = Antti ; //Lisätään uusi avain $person[ age ] = 33; // Muutetaan avaimen arvoa

28 28 Master template esimerkki 1 Jaetaan näkymä palasiin, jolloin vältytään toistolta

29 29

30 Include vai require? 30 Molemmat komennot yrittävät liittää tiedoston sisällön pyynnön kohtaan Eroavaisuus löytyy poikkeuskäytöksestä Jos tiedostoa ei voida liittää include aiheuttaa varoituksen Jos tiedostoa ei voida liittää require aiheuttaa poikkeuksen Aikanaan pidettiin hyvänä ominaisuutena jos ohjelma pyrki suoriutumaan virheistä huolimatta (vertaa JavaScript, jossa pitää erikseen mainita use strict, jos halutaan vähemmän virheistä toipumista)

31 31 Tila ja tilattomuus Evästeet ja istunnot

32 Tila ja tilattomuus 32 HTTP protokolla on tilaton Seuraava pyyntö palvelimelle ei tiedä mitään edellisestä pyynnöstä Ongelma, koska sovelluksilla yleensä on tila Verkkokauppa ostoksia on ostoskorissa Kirjautuminen ei anneta salasanaa joka sivunlatauksen yhteydessä Selain ei lähetä itse mitään yksilöivää tunnistetta

33 Tilan luominen 33 Lisätään tunniste jokaiseen pyyntöön? Query string parametri index.php?session=xyz123b Lomakekenttä <input type= hidden name= session value= XYZ123B > Hyvin vaikea liittää jokaiseen pyyntöön Evästeet? Yleisin tapa luoda tila Palvelin lähettää headerin Set-Cookie Selain lähettää sen takaisin headerilla Cookie Yleensä 32 merkkinen uniikki tunniste Voidaan luoda monia evästeitä per domain Voidaan asettaa automaattisesti vanhentumaan

34 Tila ja istunto 34 Tilan luo uniikki tunniste, joka identifioi käyttäjän istunnon Istunto yleensä sitoo dataa käyttäjän tilaan Ostoskorissa on tuotteita Käyttäjä on kirjautunut nimellä, käyttäjällä on rooli, Jos käyttäjä poistaa evästeen Istunnon data ei postu, mutta ei ole enää käyttäjän käytettävissä Istunnon poistaminen luo tarpeen poistaa myös evästeen

35 Selain voi luoda tilan paikallisesti 35 Selaimet tukevat nykyään localstoragea ja sessionstoragea Näihin voidaan kirjoittaa tietoa, joka on saatavilla myöhemmin samalla sivulla, mutta vain selaimen saatavilla, jollei niitä lähetetä palvelimelle osana pyyntöä Mutta ei yleinen tapa luoda tilaa selaimen ja palvelimen välille REST API:en ei tulisi luoda tilaa Jokainen pyyntö on itsenäinen transaktio joka korkeintaan lähettää autentikointitietoa palvelimelle REST API:n päälle rakennettu selainohjelma sen sijaan voi luoda itselleen tilan paikallisesti

36 PHP ja evästeet 36 Eväste voidaan asettaa setcookie() metodilla Setcookie($nimi, $arvo, $vanhenemisaika, $polku) Eväste voidaan lukea $_COOKIE superglobaalista Evästeitä voi olla useita, käytetään usein käyttäjän seuraamiseen ja mainontaan Evästeen sisältö on luettavissa selaimen kehitystyökalujen kautta Käyttäjä voi poistaa evästeet selaimen kautta

37 37

38 38

39 PHP ja istunnot 39 Istunto (session) luo tilan ja tallentaa tietoa palvelimelle Istunto aloitetaan session_start() metodilla Luo evästeen, jossa on satunnainen uniikki arvo Luo palvelimelle tiedoston jossa sess_[uniikki_id] $_SESSION superglobaalilla voidaan asettaa ja lukea istunnon arvoja $_SESSION[ avain ] = arvo ; $arvo2 = $_SESSION[ avain ]; Istunnon eväste on vain satunnainen merkkijono, istunnon data sijaitsee palvelimella

40 40

41 41

42 Istunnon tiedot palvelimen päässä 42 Oletuksena istunnon tiedot tallennetaan tiedostojärjestelmään Paljon trafiikkia palvelevilla sivuilla voi olla järkevää tallentaa istunnon tiedot tietokantaan tai muistissa oleviin tietorakenteisiin (redis, memcached)

43 Tietoturvavaroitus! 43 Jos palvelin on huonosti määritetty, hyökkääjä voi päästä lukemaan istunnon tiedot palvelimen tiedostojärjestelmästä. Jos istunnon tiedot siirtää tietokantaan, ongelma siirtyy tietokannan luotettavuuteen. Jos käyttää shared hosting -palvelua ei voi itse vaikuttaa levyjärjestelmän turvallisuuteen paljoa, mutta tietokannan turvallisuuteen saattaa voida vaikuttaa enemmän. Jos pyörittää omaa virtuaalipalvelinta, kaikki vastuu on itsellä. Avoimessa verkossa ilman SSL/TLS:ää istunnon tunniste voidaan kaapata samassa verkossa olevan toimesta ja näin päästä järjestelmään kirjautuneena käyttäjänä. Käyttäjän tulee varoa avoimia verkkoja. Ja kehittäjän tulee käyttää TLS:ää.

44 Ympäristön tiedot 44 Palvelin ja selain jakavat ympäristötietoja Palvelimen IP-osoite, käyttäjän IP-osoite, käyttäjän user agent, eli yleensä selain, PHP asettaa nämä kahteen superglobaaliin $_SERVER $_ENV Phpinfo() funktio tulostaa tietoja php:n asetuksista, palvelimesta, ladatuista moduuleista, ym. Tämä on vain debuggaukseen, älä vain jätä phpinfo.php nimistä tiedostoa julkisesti ladattavaksi, koska tämä avaa hyökkääjälle liian paljon tietoja.

45 Sessioista ja sessioiden tallentamisesta 45 tietokantaan edistyneemmille

46 PHP on tulkittava kieli 46

47 Ohjelmakoodin elämänkaari 47 PHP pysyy siinä muodossa, missä se kirjoitettiin, kunnes se suoritetaan Sitä ei tarvitse kääntää ajettavaksi ohjelmaksi Kun ohjelma suoritetaan, se tulkitaan Zend Opcode machine-code komennoiksi, joita Zend Engine suorittaa Tulkittavat kielet ovat luonteeltaan hitaampia suorittaa Koska Facebook tarvitsi enemmän tehoa, he kehittivät ensin PHP-to-C++ - kääntäjän Käännetty C++ -ohjelma on nopea suorittaa, mutta kääntämiseen kuluva aika kasvattaa kehittäjän feedback loop aikaa Tämän korjatakseen, he kehittivät HHVM:n, joka muuntaa PHP:n tavukoodiksi, joka JIT-tulkataan x86_64 konekoodiksi

48 Hyödyllistä luettavaa most common mistakes PHP programmers make What are PHP Lambdas and closures?

49 Kysymyksiä? 49