Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Результаты анализа системой Coverity безопасности и качества..., opennews (??), 25-Фев-12, (0) [смотреть все] Нормально так Все ошибки показательны для языков программирования C, C и явля, Аноним (-), 12:44 , 25-Фев-12, (1) –31 // Ну хорошо, а большие проекты вебни страдают от CSRF, XSS, insecure data handling, Аноним (-), 14:45 , 25-Фев-12, (15) +16 // интересно что используя нормальные Фрэймворки -- довольно сложновато допустить , Xasd (ok), 22:40 , 25-Фев-12, (62) +4   // а где сложнее а с MsSQL это будет сложнее сделать зыжэто применимо для ЛЮБОГО я, ананим (?), 23:42 , 25-Фев-12, (79) –2   В java через JPA или любые языки работающие с SQL через связанные переменные , VoDA (ok), 00:32 , 26-Фев-12, (83)   Ха Через А jdbc там ужО отменили Через подставь_нужное можно и в подставь_лю, ананим (?), 01:29 , 26-Фев-12, (91)   В каком то смысле jdbc уже отменили в приложении ты можешь запросить работающий, VoDA (ok), 02:32 , 26-Фев-12, (94)   не в каком-то, а в прямом смысле вы передёргиваете мягко говоря или возможно дей, ананим (?), 04:40 , 26-Фев-12, (110) –2   причём тут можно или нельзя чащще всего ошибки допускаются -- в случаях когд, Xasd (ok), 04:57 , 26-Фев-12, (111) +1   Что ж Объясню ещё раз Php 8212 это язык Как и java И там и там можно исполь, ананим (?), 12:48 , 26-Фев-12, (138)   хорошо чтобы Вы поняли мою мысль -- я спрошу вот так почему в PHP -- те те, Xasd (ok), 14:35 , 26-Фев-12, (153) –1   you made my day no, really , arisu (ok), 14:39 , 26-Фев-12, (155) –2   присоединяюсь D, ананим (?), 14:57 , 26-Фев-12, (159) –1   не знаю, почему продолжаю отвечать нет таких языков нет в той же жабе без jdb, ананим (?), 15:08 , 26-Фев-12, (162)   Пожалуйста напиши мне пример JavaEE приложения на JPA с возможностью SQL-injecti, VoDA (ok), 11:42 , 26-Фев-12, (135) –1   Выше уже ответил ЗыжИ ещё потом удивляются отношения к жабистам, как к курице, к, ананим (?), 12:52 , 26-Фев-12, (139) +1   Это константы запретить В java уже запретили что-ли , Аноним (-), 23:06 , 02-Мрт-12, (238)   Справедливости ради, в jdbc никто не подставляет параметры в sql выражения путем, Tav (ok), 01:19 , 27-Фев-12, (190) –1   серьёзно никто-никто Dпример и не откуда-нибудь, а с IBM D http publib, ананим (?), 04:58 , 27-Фев-12, (194)   В PHP prepared statements добавили позже, следуя примеру JDBC И да, те, кто изн, Tav (ok), 11:15 , 27-Фев-12, (211)   На практике наблюдаю ровно противоположенное 8212 те кто и использовал php с, ананим (?), 14:40 , 27-Фев-12, (225)   Вы бы уж говорили за себя Потрудитесь почитать следующее http codeigniter com, Yankee (??), 12:40 , 27-Фев-12, (213)   в хоть программировали на этих языках, или это так, точка зрения жаба дотнет-код, Карбофос (ok), 15:14 , 25-Фев-12, (24) +4 // Плевки жабистов и дотнетчиков в сторону Сей и Крестов на форумах - это не точка , тоже Аноним (ok), 17:32 , 25-Фев-12, (39) +9 // Как будто они багов в том числе и ведущих к уязвимостям не делают , Аноним (-), 10:30 , 27-Фев-12, (201) Все программы имеют ошибки Капитан, Вы , Аноним (-), 15:17 , 25-Фев-12, (25) Многое пишется на явах, шарпах, но когда в статье говорится о ядре линукса, к пр, fork8 (ok), 15:33 , 25-Фев-12, (28) +10 Что касается С , то в 21-м веке уже нет никакой необходимости управлять памятью, Аноним (-), 21:23 , 25-Фев-12, (58) –4 // печаль тут в том что некоторые не только считают, но ещё е УПРАВЛЯЮТ в C ресур, Xasd (ok), 22:48 , 25-Фев-12, (63) // С надо вообще прибить как не нужный балласт между С и более высшими языками , pavlinux (ok), 23:03 , 25-Фев-12, (65) и тут Остапа понесло просто уровень абстракции несколько другой, но не до , Карбофос (ok), 23:22 , 25-Фев-12, (74) Вот я из-за принципа Ц не юзаю Рядом со мной сидят ещё трое, вот они там х я, pavlinux (ok), 23:31 , 25-Фев-12, (77) +2 Не знаю как где, но авторы С С позаботились о том, чтобы прикладным программер, Аноним (-), 23:55 , 25-Фев-12, (80) –1 наилучший Как насчёт почти-полностью отсортированных данных, где нужен radix,или, anonymous (??), 00:06 , 26-Фев-12, (82) +3 т-с-с как ты посмел сомневаться, неверный stl и libc созданы не человеками, но, arisu (ok), 00:46 , 26-Фев-12, (85) +2 Но там действительно наилучшие решения на данный момент времени Всегда Изобрет, Кирилл (??), 02:32 , 26-Фев-12, (95) Уважаемый, наилучших алгоритмов не существует Для любого данного алгоритма ес, Df232z (ok), 11:35 , 26-Фев-12, (133) +2 он не поймёт увы , arisu (ok), 13:47 , 26-Фев-12, (142) Раз уж вы завели ликбез-дуэт, допевайте куплет и эта самая оптимальность алгори, тоже Аноним (ok), 14:42 , 26-Фев-12, (156) ты что сказать-то хотел , arisu (ok), 14:58 , 26-Фев-12, (160) –1 Что стремление к оптимальности алгоритмов должно чем-то оправдываться Процессор, тоже Аноним (ok), 17:01 , 26-Фев-12, (170) а мужики до сих пор не знают 8230 наверное, ты просто всем сообщить не успел п, arisu (ok), 18:02 , 26-Фев-12, (175) –1 Сплошь и рядом - пофигу До и после сортировки может происходить много чего инте, тоже Аноним (ok), 22:36 , 26-Фев-12, (184) вот что интересно вроде бы и связно человек пишет, и вещи достаточно неглупые , arisu (ok), 22:44 , 26-Фев-12, (185) –2 По двум причинам Во-первых, это все-таки холиварный срач, приходится соблюдать , тоже Аноним (ok), 09:05 , 27-Фев-12, (198) не куда лучше , а всегда лучше вот на что стойку сделали , arisu (ok), 13:51 , 27-Фев-12, (215) Тут логическая нестыковка либо вы читаете оппоненту ликбез, либо предполагаете,, тоже Аноним (ok), 15:47 , 27-Фев-12, (226) Наилучший для общих случаев, которых 99 Да, исключительные условия, возможно, п, Аноним (-), 01:14 , 26-Фев-12, (86) Я искренне рад за тебя, и даже завидую Зафигачил qsort и радуешься , xxx (??), 01:22 , 26-Фев-12, (89) +1 ну какие-то мелочные они у тебя ко мне коллеги обычно обращаются с просьбами ра, Карбофос (ok), 23:58 , 25-Фев-12, (81) С такими принципами может и с линуксом завязать, где на сях много чё написано, д, fork (??), 02:56 , 26-Фев-12, (100) Помарочка - на плюсах, а не сях, fork (??), 02:57 , 26-Фев-12, (101) В XXI веке нет никакой нужды в этих галимых велосипедах, самолетах и поездах Ве, Аноним (-), 10:31 , 27-Фев-12, (202) +1 н-да большая часть, а именно Разыменование NULL-указателя Null Pointer Derefere, VoDA (ok), 00:34 , 26-Фев-12, (84) // И не говори, GC также жрет неуёмно память в runtime выполняется куча всякой лев, xxx (??), 01:25 , 26-Фев-12, (90) +3 // Да Тут выбор либо ошибки в коде или CPU работает за программиста Машина должна, VoDA (ok), 02:43 , 26-Фев-12, (98) +2 Как только появится язык, который принципиально уберет часть багов из java и C , fork (??), 03:27 , 26-Фев-12, (103) +5 Помарочка - сях да плюсах, fork (??), 03:29 , 26-Фев-12, (104) gt оверквотинг удален Начнем с начала, что в реал-тайме вообще выделение освоб, VoDA (ok), 11:30 , 26-Фев-12, (130) ну вот 8212 чего не хватишься, всё у них запрещают а почему, собственно, над, arisu (ok), 13:54 , 26-Фев-12, (144) Запрещать нужно для запрета совершать ошибки Даже на С освобождение памяти дин, VoDA (ok), 14:22 , 26-Фев-12, (148) с каких пор это костылище стало эталоном O_Oкаким образом это должно волновать , arisu (ok), 14:32 , 26-Фев-12, (151) Я уверен, что вы умеете писать программы так, что в них не содержатся ошибки Но, VoDA (ok), 17:40 , 26-Фев-12, (171) нет, я умиляюсь тому, как жабисты гордятся своими костылями p s как будто в жаб, arisu (ok), 18:04 , 26-Фев-12, (176) мемори ликов - нет пока сама JVM не течет, но и это давно отлажено в сферичес, VoDA (ok), 21:34 , 26-Фев-12, (180) –2 задумчиво совсем нет, ага только вот пардон, заякореные данные, к которым про, arisu (ok), 21:38 , 26-Фев-12, (181) А иногда и просто медвежья услуга Тем более что дебилушки не умеют им нормально, Аноним (-), 10:36 , 27-Фев-12, (205) Да как ни назови, если память так или иначе утекает, это утечки памяти Вообще, , Аноним (-), 10:40 , 27-Фев-12, (206) мне в реалтайме нужно обрабатывать поступающие из очереди запросы И как я это с, adolfus (ok), 21:47 , 27-Фев-12, (230) Предварительное аллоцирование по максимально возможному размеру запроса В RT вс, VoDA (ok), 00:55 , 28-Фев-12, (231) 8230 затачивались под стадо взаимозаменяемых обезьян вот и весь секрет нет к, arisu (ok), 04:24 , 26-Фев-12, (108) +5 Да-да, раньше вот были знатоки и профессионалы лошадь подкуешь, запряжешь, сиди, жабабыдлокодер (ok), 11:20 , 26-Фев-12, (128) –1 А сейчас в авариях погибают больше чем во время боевых действий Обезьяны, чего , Аноним (-), 11:51 , 26-Фев-12, (136) +1 Как впрочем и с Куда то толпу симула погромистов надо было девать нет как то, Df232z (ok), 11:28 , 26-Фев-12, (129) увы, он реально тупой да ещё и испорченый попыткой запихать туда концепции, кот, arisu (ok), 14:04 , 26-Фев-12, (146) +1 Будь последователен - расскажи в чем неконсистентность наличия примитивного и об, VoDA (ok), 14:25 , 26-Фев-12, (150) ты сам уже всё сказал если до сих пор не очевидно 8212 медицина бессильна p , arisu (ok), 14:33 , 26-Фев-12, (152) +1 Да, есть косяк Появился в лохматом году из за того, что на объектах работать сл, VoDA (ok), 17:47 , 26-Фев-12, (172) я же сказал я понимаю, зачем так было сделано я не понимаю, почему жабисты при, arisu (ok), 18:07 , 26-Фев-12, (178) Ок Это был маркетинговый ход для привлечения С ников, которых много и для кот, VoDA (ok), 21:39 , 26-Фев-12, (182) там для начала неплохо было бы саму JVM починить, с её боксингом всего и вся а , arisu (ok), 21:45 , 26-Фев-12, (183) Вы наверное удивитесь но замыкания в жаве внезапно есть , Аноним (210), 11:06 , 27-Фев-12, (210) я просто буду улыбаться, глядя на очередной костыль, про который жабисты сначала, arisu (ok), 13:56 , 27-Фев-12, (216) боксинг это фишка компилятора синтаксичекий сахарок замыкания в прочем тоже сах, VoDA (ok), 00:57 , 28-Фев-12, (232) боксинг 8212 это фишка VM которая VM не позволяет передавать указатели ссы, arisu (ok), 01:15 , 28-Фев-12, (233) Наверное про отладчик нужно писать для заманивания С или С Но явно не для jav, VoDA (ok), 11:34 , 26-Фев-12, (132) у жабистов отладка оборжака ребятки, когда у вас будет отладчик хотя бы в пол, arisu (ok), 14:00 , 26-Фев-12, (145) из того, что увидел на вики-учебнике про отладчик для смаллтока и что не присутс, VoDA (ok), 14:48 , 26-Фев-12, (157) не надо читать вики-учебники особенно по смолтолку пока ты с этой системой б, arisu (ok), 14:57 , 26-Фев-12, (158) Капитан как обычно суров но справедлив , Аноним (-), 10:34 , 27-Фев-12, (204) Поэтому жабисты пытаются переложить на нее даже думание Так, чисто глядя на под, Аноним (-), 10:32 , 27-Фев-12, (203) неа, зря ты этот, вроде, вполне адекватный , arisu (ok), 13:57 , 27-Фев-12, (217) Является ли вышеприведенный текст генетическим дефектом русского языка , Некто (??), 06:22 , 27-Фев-12, (197) Сегодня анализирует, завтра сама будет писать код Не далеко до кнопки Зделать , Аноним (-), 13:14 , 25-Фев-12, (4) –1 // Ну, на компьютере давно есть кнопка проверить орфографию - кто же ей пользуетс, тоже Аноним (ok), 14:15 , 25-Фев-12, (7) +11 Посмотреть так вообще не понятно как оно умудряется работать, однако-же работает, MrClon (?), 13:24 , 25-Фев-12, (5) // так и работает то тут отвалится, то там, 1 (??), 13:56 , 25-Фев-12, (6) +1 Вот это производительность труда Они устраняли 40 дефектов в час Или там прост, uy2qw (?), 14:20 , 25-Фев-12, (8) +2 // Инфа непонятно откуда, гугл по brl cad covernity почти ничего не находит , qux (ok), 14:36 , 25-Фев-12, (11) // Coverity, ваня (??), 14:44 , 25-Фев-12, (14) +1 // Точно, туплю Ну по крайней мере в англ варианте так же http blog coverity co, qux (ok), 14:50 , 25-Фев-12, (17) И что, ты не запатчишь 40 кривых использований указателей за час например Ну хо, Аноним (-), 15:20 , 25-Фев-12, (27) –1 // Ну, некоторые люди не просто перед каждым обращением указателю пишут if p re, Неиван (?), 16:15 , 25-Фев-12, (31) +4 // особенно интересно, как это выяснит система анализа, у которой вообще мозгов нет, arisu (ok), 23:09 , 25-Фев-12, (69) Мозги такие же, как у человека -- находит находит подобие в заданной базе обра, Кирилл (??), 02:37 , 26-Фев-12, (97) нененене, господа модераторы тут нам только что не напрягаясь решили основную п, arisu (ok), 14:14 , 27-Фев-12, (224) Да Но не только Нужно ещё эту базу образцов составить, т е научить Сколько, Кирилл (??), 17:30 , 28-Фев-12, (236) Не, ну что это за жирный троллинг Вам не кажется что потоньше троллить надо , Аноним (-), 10:43 , 27-Фев-12, (207) Возможно, ряд ошибок решался примитивной автозаменой - никто же не сказал, что о, тоже Аноним (ok), 17:34 , 25-Фев-12, (40) // Добавьте к этому, что одно конкретное плохое место в коде может выдавать дес, Ytch (?), 20:13 , 25-Фев-12, (50) // Ну, статический анализатор и должен показывать как раз это место, а не те места,, тоже Аноним (ok), 23:06 , 25-Фев-12, (66) Не, там ашипки типа while 1 for i 0 i 0 i if i , pavlinux (ok), 23:07 , 25-Фев-12, (68) Третье место 8212 неинициализированные переменные Как оно мимо gcc проходит , qux (ok), 14:32 , 25-Фев-12, (9) +3 // Видел ли ты что мимо IAR проходит Там вообще такое ощущение что разработчики ко, xxx (??), 17:20 , 25-Фев-12, (38) +2 // А как вам это удается, если не секрет Я давненько не имел дел с IAR овскими ком, Ytch (?), 20:27 , 25-Фев-12, (52) // Сейчас там в IAR в основном все специфичные вещи запиханы в pragma, которые GCC, xxx (??), 01:39 , 26-Фев-12, (93) По моему скромному опыту, абсолютный рекордсмен и чемпион в этом сомнительном де, Ytch (?), 20:44 , 25-Фев-12, (53) // Я уже давно стал полным сторонником того, что проприетарные средства разработки , xxx (??), 02:37 , 26-Фев-12, (96) +4 Странные джависты, что джаву на С или С меняют Возвожно как джависты не смогл, VoDA (ok), 02:49 , 26-Фев-12, (99) У меня, в этом смысле, аналогично С некоторыми а может и всеми сигнальниками, Ytch (?), 01:24 , 27-Фев-12, (191) если бы только у вас так 8230 проблема с нормальными сотрудниками 171 821, arisu (ok), 14:00 , 27-Фев-12, (218) Что ж ты от проприетарщиков то хотел, дяденька , Аноним (-), 10:45 , 27-Фев-12, (208) code include stdio h include string h const char TEXT 123456789 int ma, pavlinux (ok), 05:45 , 26-Фев-12, (113) // а с чего бы ему вякать, если неинициализированные глобальные статики попадают в , arisu (ok), 06:16 , 26-Фев-12, (115) +1 // А может сразу инициализировать, хрен ли мучатся Есть пример Рабочий Глючный , pavlinux (ok), 06:24 , 26-Фев-12, (118) +1 а ты тоже сразу отвечать не спеши, у меня волшебная кнопка редактора работает , arisu (ok), 06:25 , 26-Фев-12, (120) +1 Соревнуетесь кто кого техничнее поднае редактированием , Аноним (-), 10:47 , 27-Фев-12, (209) p s в любом случае за такой код надо тестикулы отрывать , arisu (ok), 06:26 , 26-Фев-12, (121) А в таком примере, переменная a может уползти далеко, за 3-4 функции, через 5 , pavlinux (ok), 06:29 , 26-Фев-12, (123) just don t do that есть же хорошая практика изначально присваивать переменной , arisu (ok), 06:35 , 26-Фев-12, (125) В ядре почти все свободные переменные неинициализируются Свободные, в смысле те,, pavlinux (ok), 06:46 , 26-Фев-12, (126) code char a if strlen TEXT 20 a A if , pavlinux (ok), 06:27 , 26-Фев-12, (122) Тогда или a , или p и отсутствие сегфолта, не Во втором случае оно еще и ру, qux (ok), 13:24 , 26-Фев-12, (141) , pavlinux (ok), 06:33 , 26-Фев-12, (124) Все просто - не инициализированные переменные активно используются Есть специал, Df232z (ok), 11:59 , 26-Фев-12, (137) // Где оно в ядре, взглянуть можно для интереса Пытался найти, не получилось, -Wno, qux (ok), 13:18 , 26-Фев-12, (140) // Кому нравятся ругань компилятора Правильно - никому Так что починим Правильно, Df232z (ok), 14:23 , 26-Фев-12, (149) –1 и что это должно продемонстрировать что компилятор неидеален, и иногда его ворн, arisu (ok), 14:37 , 26-Фев-12, (154) +1 Прикольно Но еще бы передачу между функциями увидеть Хотя не понял, как это раб, qux (ok), 15:01 , 26-Фев-12, (161) Ну вот напрямер http lxr linux no linux v3 2 7 drivers xen xen-selfballoon c , pavlinux (ok), 03:41 , 27-Фев-12, (193) эй, а разве static переменные внутри функции не в ноль инициализируютя по умол, Alex_S (??), 09:58 , 27-Фев-12, (200) а вот кстати не помню ау, у кого там стандарт под рукой , arisu (ok), 14:06 , 27-Фев-12, (221) А кстати да То есть работать должно нормально, хоть стиль и хромает If an obj, qux (ok), 16:03 , 27-Фев-12, (228) Практически везде в 0, но это скорее костыль чем фича , Noname (??), 17:36 , 27-Фев-12, (229) человек имел в виду совсем другое он утверждает, что в ядре активно используетс, arisu (ok), 14:03 , 27-Фев-12, (219) на самом деле даже средней тупости оптимизатор понаделает тут мегапроблем что, , arisu (ok), 14:09 , 26-Фев-12, (147) если это используется хотябы гдето я имею ввиду серъёзные проекты, а не на дома, Xasd (ok), 18:07 , 26-Фев-12, (177) // раньше использовалось тю, сам использовал ещё во времена DOS 8212 даже с раз, arisu (ok), 18:12 , 26-Фев-12, (179) Ага, щаз, сто тыщь раз gcc -fipa-pure-const test c a out 101 0-fipa-pure-cons, pavlinux (ok), 05:45 , 27-Фев-12, (195) // т-с-с-с ну что ты всё ломаешь щаз обидишь его, и он не скажет, какие именно уч, arisu (ok), 14:05 , 27-Фев-12, (220) Это должно работать очень ненадёжно Gcc любит оптимизацию работы со стеком следу, netch (ok), 16:53 , 28-Фев-12, (234) // нашёл кому верить видишь же на просьбу показать конкретный код чувак слился и , arisu (ok), 17:05 , 28-Фев-12, (235) Перечитал первый абзац 5 раз Так и не понял, как из 0,45 и 0,64 можно получить , Bizdelnick (?), 14:32 , 25-Фев-12, (10) +4 // читать надо учится первые два числа взяты в результате тестирования КОНКРЕТНЫ, Pahanivo (ok), 15:03 , 25-Фев-12, (20) +1 А запросто 0 45 и 0 64 -- это усреднение по проектам, а 1 0 -- по всем строкам , Антон (??), 15:04 , 25-Фев-12, (21) Где пометка 171 На правах рекламы 187 , gegMOPO4 (ok), 16:08 , 25-Фев-12, (30) +1 // Coverity абсолютно бесплатно тестирует все проекты под открытыми лицензиями, нуж, Аноним (-), 20:45 , 25-Фев-12, (54) // Мы без них потестируем Пущай код отдают А то блин всё проверят, а самое вкусно, pavlinux (ok), 23:15 , 25-Фев-12, (73) –2 Вот я хотел услышать о команде разработчиков ядра линукс , но об этом диплома, Buy (??), 16:19 , 25-Фев-12, (34) –2 // Зато у проприетастов всё хорошо Это хотел сказать , ананим (?), 16:44 , 25-Фев-12, (36) Вы хотели услышать, что в ядре Линукс до сих пор была россыпь ошибок, на устране, тоже Аноним (ok), 17:38 , 25-Фев-12, (41) // Не нашлось это синоним нет вообще Тогда почему ежемесячно обновляются ядра,, Аноним (-), 21:19 , 25-Фев-12, (57) // Еще лучше, еще быстрее , Аноним (-), 21:54 , 25-Фев-12, (60) –1 Ну, так и будьте реалистом, а не пустословом Устранение ошибок отнюдь не означа, тоже Аноним (ok), 23:11 , 25-Фев-12, (71) ChangeLog знает , arisu (ok), 23:11 , 25-Фев-12, (72) Пока писал ответ, тред удалили Фактически, да Объясняю подробнее не все комитте, Аноним (-), 21:13 , 25-Фев-12, (56) // Положим, студентов никто и не допускает ни до ядра и до СУБД Там есть специальн, жабабыдлокодер (ok), 21:43 , 25-Фев-12, (59) // По собственному опыту могу сказать, что в большинстве случаев, т н ревью кода, Аноним (-), 22:24 , 25-Фев-12, (61) Си появился поскольку у авторов было желание запустить убогий простаивающий в уг, anonymous vulgaris (?), 06:18 , 27-Фев-12, (196) http softwareintegrity coverity com coverity-5-5-webinar-registration htmlВот , pavlinux (ok), 23:22 , 25-Фев-12, (75) // в 12 лет сломала комп у брата вот как , Карбофос (ok), 23:28 , 25-Фев-12, (76) это же Director of Product Marketing они органически неспособны правду говорить, arisu (ok), 23:31 , 25-Фев-12, (78) +4 чувак, тетке около 45 , Serge (??), 23:26 , 26-Фев-12, (188) // а на вид ягодка сразу видно 8212 ни для честно не работала, только трудовой , arisu (ok), 23:28 , 26-Фев-12, (189) –1 // ягодка опять, Sergey722 (ok), 13:10 , 27-Фев-12, (214) Фотошоп рулит , pavlinux (ok), 03:28 , 27-Фев-12, (192) Срач java vs Qt и C vs Qt уже был , Аноним (-), 15:46 , 26-Фев-12, (163) // неа, можешь начинать , arisu (ok), 15:53 , 26-Фев-12, (164) +1 // Начинаю Библиотека Qt - это неплохая поддержка для голого С Сравнивать C , Аноним (-), 16:06 , 26-Фев-12, (166) // ну и с чем тут спорить ты что-нибудь провокативное вкидывай , arisu (ok), 16:14 , 26-Фев-12, (167) +1 PHP - глобальное и надежное решение для серьёзного бизнеса, а на сипипи пишут л, вкидывают (?), 09:21 , 27-Фев-12, (199) +2 уйди, мы тут о Qt , arisu (ok), 14:08 , 27-Фев-12, (223) Этот вентилятор уже так забросали, что он давно перестал крутиться , тоже Аноним (ok), 15:49 , 27-Фев-12, (227) Сравнивать языки принято с языками а библиотеки с библиотеками Выше было , anonimous (?), 12:06 , 27-Фев-12, (212) –2 ок тогда от жабы отдираем JVM, а от c Net никак иначе это 8212 рантаймов, arisu (ok), 14:07 , 27-Фев-12, (222) +1 почему не проанализировали plan9 это ж цитадель высокой мысли и идеальных решен, stimpack (?), 19:06 , 28-Фев-12, (237) Иногда такие быстрые исправления ошибок просто пужают Вон, несколько лет назад, Аноним (-), 01:04 , 03-Мрт-12, (239) 1,4,5,8,9,10,30,34,56,75,163,237,239

Сообщения

[Сортировка по времени | RSS]

	62. "Результаты анализа системой Coverity безопасности и качества..."	+4 +/–
	Сообщение от Xasd (ok), 25-Фев-12, 22:40
	интересно что используя нормальные Фрэймворки -- довольно сложновато допустить: CSRF, SQL-Inj, XSS 1. CSRF ...например -- в Django сделать CSRF ошибку -- по сути можно только если НАСИЛЬНО отключить CsrfViewMiddleware [отключают CsrfViewMiddleware (и их аналоги) в своих проектах -- только глупышки наподобие Александра Соловьёва -- https://bitbucket.org/piranha/byteflow/src/0109284f9a8d/sett... ] 2. SQL-Inj а допустить SQL-Inj -- ТРУДНО и в случае Объектно-Реляционного-Отображения (ORM) и в случае DB-API [зато очень ЛЕГКО допустить SQL-Inj -- в PHP при традиционном использовании там MySQL] 3. XSS создание XSS -- опятьже -- довольно ТРУДНО в Django-подобных-шаблонизаторах, которые поумолчанию всё экранируют, кроме случаев где это не надо ############################## из этого всего делаем вывод ############################## допускаемые ошибки -- сильно *зависят* от языка и библиотеки. а не только от опыта праграммирования
	Ответить | Правка | Наверх | Cообщить модератору

	79. "Результаты анализа системой Coverity безопасности и качества..."	–2 +/–
	Сообщение от ананим (?), 25-Фев-12, 23:42
	>[зато очень ЛЕГКО допустить SQL-Inj -- в PHP а где сложнее? >при традиционном использовании там MySQL] а с MsSQL это будет сложнее сделать? зыж это применимо для ЛЮБОГО языка программирования. и СУБД соответсвенно тоже. ну а для того, кто даже прочитать доку (по-русски!!! не в каждом мсдн найдёшь :D) http://php.net/manual/ru/security.database.sql-injection.php не удосужился,... конечно пыхпых виноват. странно что они в этом ещё сиквел-сервера не обвиняют. а то выдают понимаешь ли секюрную инфу всем подряд. а сравненние фрэйворком с языками программирования... и не знаю как это назвать.
	Ответить | Правка | Наверх | Cообщить модератору

	83. "Результаты анализа системой Coverity безопасности и качества..."	+/–
	Сообщение от VoDA (ok), 26-Фев-12, 00:32
	>>[зато очень ЛЕГКО допустить SQL-Inj -- в PHP > а где сложнее? В java через JPA или любые языки работающие с SQL через связанные переменные.
	Ответить | Правка | Наверх | Cообщить модератору

	91. "Результаты анализа системой Coverity безопасности и качества..."	+/–
	Сообщение от ананим (?), 26-Фев-12, 01:29
	Ха! Через. А jdbc там ужО отменили? Через <подставь_нужное> можно и в <подставь_любой_язык>. А можно даже свои фильтры написать. Зыж Когда в языках запретят прямой доступ к данным, тогда и придёт апокалепсис.
	Ответить | Правка | Наверх | Cообщить модератору

	94. "Результаты анализа системой Coverity безопасности и качества..."	+/–
	Сообщение от VoDA (ok), 26-Фев-12, 02:32
	> Ха! Через. > А jdbc там ужО отменили? > Когда в языках запретят прямой доступ к данным, тогда и придёт апокалепсис. В каком то смысле jdbc уже отменили. в приложении ты можешь запросить работающий EntityManager, а можешь запросить JDBC коннект. Потому несколько следствий: 1. с точки зрения приложения JPA не обертка поверх JDBC, поскольку приложение не имеет доступа к созданию JPA-инфраструктуры. 2. JPA может быть построен поверх иных нежели JDBC коннектов с системами хранения, в том числе и NoSQL. 3. поскольку все конфигуриврование инфраструктуры идет через архитектора проекта, а на боевых серверах через админа, то даже криворукие программеры не могут применить JDBC коннекты без разрешения архитектора. Коннекторов просто не создано в инфраструктуре.
	Ответить | Правка | Наверх | Cообщить модератору

	110. "Результаты анализа системой Coverity безопасности и качества..."	–2 +/–
	Сообщение от ананим (?), 26-Фев-12, 04:40
	>В каком то смысле jdbc уже отменили. в приложении ты можешь запросить работающий EntityManager, а можешь запросить JDBC коннект. не в каком-то, а в прямом смысле вы передёргиваете. мягко говоря. или возможно действительно не знаете о чём говорите (что гораздо хуже) - вот когда в жабе нельзя будет написать приложение, подверженное sql-injection, тогда и будете сравнивать технологии с языками программирования. но надеюсь я до до такого идиотизма не доживу.
	Ответить | Правка | Наверх | Cообщить модератору

	111. "Результаты анализа системой Coverity безопасности и качества..."	+1 +/–
	Сообщение от Xasd (ok), 26-Фев-12, 04:57
	> вот когда в жабе нельзя будет написать приложение, подверженное ... причём тут "можно" или "нельзя"? чащще всего ошибки допускаются -- в случаях когда их допустить ПРОЩЩЕ, чем НЕ допускать... ...а в случае когда-же ПРОЩЩЕ НЕ допускать ошибку, чем её допустить -- ошибки допускаются на порядок реже [если не сказать что не допускаются вообще]. выше указаны примеры библиотек/языков -- в которые постронны таким образом что ошибку (SQL-Injection, XSS, CSRF) там прощще НЕ допустить почему я оперирую термином "библиотека/язык" (а не просто "библиотека") ??? потомучто библиотеки строятся вокруг языка, а не в сферическом вакууме
	Ответить | Правка | Наверх | Cообщить модератору

	138. "Результаты анализа системой Coverity безопасности и качества..."	+/–
	Сообщение от ананим (?), 26-Фев-12, 12:48
	> причём тут "можно" или "нельзя"? Что ж. Объясню ещё раз. Php — это язык. Как и java. И там и там можно использовать различные технологии и техники. Включая и те что приводят/не_приводят к sql-injection. Упомянутый jpa — не язык, а технология. Сравнивать язык и технологию более некомпетентно, чем тёплое и мягкое.
	Ответить | Правка | Наверх | Cообщить модератору

	153. "Результаты анализа системой Coverity безопасности и качества..."	–1 +/–
	Сообщение от Xasd (ok), 26-Фев-12, 14:35
	>> причём тут "можно" или "нельзя"? > Что ж. Объясню ещё раз. > Php — это язык. Как и java. > И там и там можно использовать различные технологии и техники. > Включая и те что приводят/не_приводят к sql-injection. > Упомянутый jpa — не язык, а технология. > Сравнивать язык и технологию более некомпетентно, чем тёплое и мягкое. хорошо.. чтобы Вы поняли мою мысль -- я спрошу вот так:     почему в PHP -- те техники которые приводят (провоцируют) к SQL-Inhection -- не удалят из языка? (в других же языках их удалили, или не допустили изначально)
	Ответить | Правка | Наверх | Cообщить модератору

	155. "Результаты анализа системой Coverity безопасности и..."	–2 +/–
	Сообщение от arisu (ok), 26-Фев-12, 14:39
	you made my day. no, really!
	Ответить | Правка | Наверх | Cообщить модератору

	159. "Результаты анализа системой Coverity безопасности и..."	–1 +/–
	Сообщение от ананим (?), 26-Фев-12, 14:57
	присоединяюсь. :D
	Ответить | Правка | Наверх | Cообщить модератору

	162. "Результаты анализа системой Coverity безопасности и качества..."	+/–
	Сообщение от ананим (?), 26-Фев-12, 15:08
	> почему в PHP -- те техники которые приводят (провоцируют) к SQL-Inhection -- не удалят из языка? (в других же языках их удалили, или не допустили изначально) не знаю, почему продолжаю отвечать... нет таких языков. нет. в той же жабе без jdbc не будет и jpa. их отношения примерно такие же как https и tcp/ip. и они также смешны, как если бы вы утверждали, что https лучше, чем tcp/ip. зыж к примеру оракл поддерживает аж 3-и (!!!) драйвера jdbc в актуальном состоянии. а это единственный поддерживаемый путь получать данные на языке java из субд оракл. мс также выпускает jdbc драйвера для своей mssql, включая и для linux. запретить формировать запрос так, как удобно разработчику (не пользователю, повторяю!) НЕЛЬЗЯ. а то получится "пчёлы против мёда".
	Ответить | Правка | К родителю #153 | Наверх | Cообщить модератору

	135. "Результаты анализа системой Coverity безопасности и качества..."	–1 +/–
	Сообщение от VoDA (ok), 26-Фев-12, 11:42
	>>В каком то смысле jdbc уже отменили. в приложении ты можешь запросить работающий EntityManager, а можешь запросить JDBC коннект. > или возможно действительно не знаете о чём говорите (что гораздо хуже) - > вот когда в жабе нельзя будет написать приложение, подверженное sql-injection, тогда > и будете сравнивать технологии с языками программирования. Пожалуйста напиши мне пример JavaEE приложения на JPA с возможностью SQL-injection. ))) PS вообще проблема SQL-inject легко могла бы решиться если в СУБД запретить несвязанные переменные. ХЗ есть ли подобная возможность в современных СУБД.
	Ответить | Правка | К родителю #110 | Наверх | Cообщить модератору

	139. "Результаты анализа системой Coverity безопасности и качества..."	+1 +/–
	Сообщение от ананим (?), 26-Фев-12, 12:52
	Выше уже ответил. Зыж И ещё потом удивляются отношения к жабистам, как к курице, которая не птица. Ззыж И да, напишиТЕ. Соблюдайте хоть видимость вашего образования.
	Ответить | Правка | Наверх | Cообщить модератору

	238. "Результаты анализа системой Coverity безопасности и качества..."	+/–
	Сообщение от Аноним (-), 02-Мрт-12, 23:06
	> PS вообще проблема SQL-inject легко могла бы решиться если в СУБД запретить > несвязанные переменные. Это константы запретить? В java уже запретили что-ли?
	Ответить | Правка | К родителю #135 | Наверх | Cообщить модератору

	190. "Результаты анализа системой Coverity безопасности и качества..."	–1 +/–
	Сообщение от Tav (ok), 27-Фев-12, 01:19
	Справедливости ради, в jdbc никто не подставляет параметры в sql выражения путем конкатенации строк, для этого есть http://docs.oracle.com/javase/7/docs/api/java/sql/PreparedSt..., исключающий возможность инъекции и улучшающий производительность, за счет того, что разбор выражения выполняется один раз. API, в котором для подстановки параметров в sql выражения предполагается использовать конкатенацию или другие средства работы со строками, — неимоверный дебилизм.
	Ответить | Правка | К родителю #91 | Наверх | Cообщить модератору

	194. "Результаты анализа системой Coverity безопасности и качества..."	+/–
	Сообщение от ананим (?), 27-Фев-12, 04:58
	>Справедливости ради, в jdbc никто не подставляет параметры в sql выражения путем конкатенации строк, серьёзно? никто-никто? :D пример (и не откуда-нибудь, а с IBM!!! :D) http://publib.boulder.ibm.com/html/as400/v4r5/ic2979/info/ja... ... ResultSet rs = select.executeQuery ("SELECT * FROM "                 + collectionName + dmd.getCatalogSeparator() + tableName); зыж согласно вашему пониманию справедливости утверждаю, что в пыхпыхе никто не пользуется конкатенацией при формировании запросов. все исключительно пользуются переменными привязки, согласно документации http://www.php.net/manual/en/pdo.prepared-statements.php $stmt = $dbh->prepare("SELECT * FROM REGISTRY where name = ?"); if ($stmt->execute(array($_GET['name']))) {мwhile ($row = $stmt->fetch()) {print_r($row);}
	Ответить | Правка | Наверх | Cообщить модератору

	211. "Результаты анализа системой Coverity безопасности и качества..."	+/–
	Сообщение от Tav (ok), 27-Фев-12, 11:15
	В PHP prepared statements добавили позже, следуя примеру JDBC. И да, те, кто изначально испорчен общением с PHP, и в JDBC будут использовать конкатенацию. В примере IBM в запрос подставляетсе не значение колонки, а имя таблицы — его привязать нельзя. На практике имя таблицы редко получается непосредственно от пользователя (разве что в средствах администрирования), поэтому тут проблемы нет.
	Ответить | Правка | Наверх | Cообщить модератору

	225. "Результаты анализа системой Coverity безопасности и качества..."	+/–
	Сообщение от ананим (?), 27-Фев-12, 14:40
	> В PHP prepared statements добавили позже, следуя примеру JDBC. И да, те, кто изначально испорчен общением с PHP, и в JDBC будут использовать конкатенацию. На практике наблюдаю ровно противоположенное — те кто и использовал php  столкнулись и с инжекциями, и с методами их обойти. А вот  спорченные жабой даже не задумываются и верят что очередная жпа их спасёт. И за примерами ходить далеко не надо — тут, на опеннете пишут, что в жабе нет меморилик, нет sql-injection и тд. И пишут код соответсвенно.
	Ответить | Правка | Наверх | Cообщить модератору

	213. "Результаты анализа системой Coverity безопасности и качества..."	+/–
	Сообщение от Yankee (??), 27-Фев-12, 12:40
	Вы бы уж говорили за себя. Потрудитесь почитать следующее: http://codeigniter.com/user_guide/libraries/input.html Очень познавательно будет для Вас расширить кругозор и не тявкать впредь не удосужившись погуглить, как с этим XSS (ипрочими) эффективно борятьсяв толковых фреймворках.
	Ответить | Правка | К родителю #83 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема