He estado pensando acerca de unas cuantas cosas que he hecho en PHP con CodeIgniter, me dí cuenta que sí en una función de PHP recibes 1 solo parametro entre controladores y modelos te ahorras unos cuantos teclazos….
Ejemplo de caso habitual de paso de parametros entre controlador y modelo:
****Controlador*****
<?php if (! defined('BASEPATH') ) { exit ('No direct script access allowed'); end();}
class Proove extends Controller{
function __construct(){
parent::Controller();
$this->load->model('proove');
}
function index () {$this->proove();}
function proove ($param1, $param2, $param3 = '', $param4 = -1){
if (empty ($param3) ) {$param3 = 'GUEST';}
//doing amazing stuff and stunts with this params
$var = $this->proove->get_users($param1, $param2, $param3);
if ($var) {
$data['records'] = $var;
$this->load->view('index.php',$data);
}
}
}
?>
****Controlador*****
<?php if (! defined('BASEPATH') ) { exit ('No direct script access allowed'); end();}
class Proove extends Model{
function __construct (){
parent::Model();
}
function get_users ($param1, $param2, $param3){
$sql = 'SELECT * ';
$sql .= ' FROM users ';
$sql .= ' WHERE type = \''.$param1.'\'';
$sql .= ' AND kind = \''.$param2.'\'';
$sql .= ' AND domain = \''.$param3.'\'';
$rsproove = $this->db->query($sql);
if ($rsproove->num_rows()){
return $rsproove->result();
} else {
return FALSE;
}
}
}
?>
Okay, continuemos… PHP te permite el uso de arreglos asociativos por lo cual podríamos usar esto para el paso de parametros a las funciones que sean necesarios. Lidiar con arreglos es muchas veces enfadoso, más sí no son asociativos, por que la iteración con bucles se vuelve pesada y más sí eres principiante como Yo y no sabes como accesar bien al índice que necesitas; en cambio con un arreglo asociativo (qué para mi gusto son como un hash de perl) puedes dirigirte perfectamente al índice que quieres del arreglo con el que estas trabajando…
La idea es principalmente usar los arreglos asociativos como parametro único, de esta manera podrías solo preocuparte por saber el nombre del índice que esperas y no por n parametros y validarlos todos.
Tengamos en mente el siguiente escenario de programación. Estás usando CodeIgniter (aplicación demo sin la aplicación de esta idea aquí)
Estas haciendo una clase que tiene varios metodos, uno de ellos necesita una serie de parametros muy específicos donde todos esos parametros son requeridos; haces tu validación con JS ó con algun framework, hasta aquí todo bien, te aseguras de que los parámetros llegan perfecto al método de la clase que quieres y haces de nuevo una validación para evitar “que te metan gol”. Una vez hecho eso, entonces comienzas a escribir chingomil (muchas) líneas de código con las que harás cosas impresionantes en tu aplicación. Bueno, imagina que tiempo después de que tu aplicación ha sido liberada alguien se encuentra TAMPER DATA en los agregados de FIREFOX y lo instala en su máquina *no estoy suponiendo que alguien va a hackearte, sino que un individuo curioso con el mínimo grado de conocimientos informáticos, decide probar lo que ha leído en un manualito de 20 minutos por que tiene tiempo libre*. Entonces comienza el juego, el píca un botón y le pregunta sí quiere modificar los parametros enviados, acepta la petición y pum a menear todo. Bueno, ahí tienes que tus validaciones con JavaScript han sido fácilmente burladas. Luego ¿qué sige?, fácil, tu controlador responderá de acuerdo a como ha sido creado, tomará los parametros y jugará con ellos, lo dificil del caso es cuando expones el borrado de usuarios de una tabla ó la alteración de los mismos, ya que puedes caer fácilmente en un SQL Injection Attack o algo por el estilo.
Veámos, aquí va el truco, como no puedes impedir que el usuario sea metiche y juegue con tu trabajo, entonces lo que sigue es ir un paso adelante; puesto que la mayoría de ataques exitosos de cualquier tipo a casi cualquier tipo de sitio son debido a un error humano, pués haremos esto más divertido, tanto para la persona que curiosea la respuesta del sitio como a nosotros mismos como programadores.
CodeIgniter tiene una librería para la base de datos llamada Active Record Class así como una cosa llamada SQL Binding, ambas dos sirven para cosas que tienen que ver con la base de datos. Active Record Class sabe defenderse de SQL Injection Attack, Cross Scripting Attack y otras chucherías del tipo nada más que para mi gusto, la librería es como un diamante en bruto, falta pulirla y en lo personal no me gusta. ¿Sí eres alguien que prefiere construir los queries a mano y sentir el poder del SQL en tus manos?, entonces el siguiente párrafo es para ti, veamos:
****Controlador*****
<?php if (! defined('BASEPATH') ) { exit ('No direct script access allowed'); end();}
class Proove extends Controller{
function __construct(){
parent::Controller();
$this->load->model('proove');
}
function index () {$this->proove();}
function proove (){
//El último parámetro (TRUE) en $this->input->post('variable', TRUE) protege tu entrada de XSS
$parametros[0] = $this->input->post('param1',TRUE) == '' ? $this->input->post('param1',TRUE) : '-1' ;
$parametros[1] = $this->input->post('param2',TRUE) == '' ? $this->input->post('param2',TRUE) : '-1' ;
$parametros[2] = $this->input->post('param3',TRUE) == '' ? $this->input->post('param3',TRUE) : '-1' ;
$parametros[3] = $this->input->post('param4',TRUE) == '' ? $this->input->post('param4',TRUE) : '-1' ;
$var = $this->proove->get_users($parametros);
if ($var) {
$data['records'] = $var;
$this->load->view('index.php',$data);
}
}
}
?>
****Modelo*****
<?php if (! defined('BASEPATH') ) { exit ('No direct script access allowed'); end();}
class Proove extends Model{
function __construct (){
parent::Model();
}
function get_users ($parametros){
if (is_array($parametros)){
$sql = ' SELECT * ';
$sql .= ' FROM users ';
$sql .= ' WHERE type = ? ';
$sql .= ' AND kind = ? ';
$sql .= ' AND domain = ? ';
$rsproove = $this->db->query($sql, $parametros);
if ($rsproove->num_rows()){
return $rsproove->result();
} else {
return FALSE;
}
} else {
return FALSE;
}
}
}
?>
Notarás que las modificaciones han sido mínimas, pero esto te da a cambio de modificar tu código un poco más de tranquilidad ya que puedes explotar la ventaja de escape de bad characters que un framework como CodeIgniter te ofrece, hay muchísimo más que publicar de esta herramienta y de otras tantas que apenas estoy conociendo y no he tenido tiempo de picar.
Espero que el artículo haya sido de interés y opines al respecto.
PHP CodeIgniter JavaScript Framework SQL Sql Injection Attack XSS
