Vojtěch Vondra

Kontrola syntaxe PHP skriptů

Vojtěch Vondra — Thu, 09 Sep 2010 07:45:09 +0000

Na Albeři jsem před týdnem slyšel dobrou historku o tom, jak se muselo počítat s chybama v minulosti. Matfyzák si napsal program, poctivě naděrkoval a strčil do stroje. Po nějaké době chroustání doběhl o dvě patra výše pro výpis chyb a začal na novo. Pořádně si rozmyslel jestli for začne od nuly nebo od jedničky.

Sám procedurální části kódu v PHP často píšu tak, že si dám dohromady celý kód, a pokud nemám k dispozici IDE, které mi rovnou syntax errory zvýrazní, skript nechám běžet a zjistim, jestli v něm nejsou chyby. Samozřejmě má ten přístup své nevýhody: často mi unikne chybějící čárka či středník v knihovně, kterou nespouštím přímo, nebo prostě mi jeden nebo víc souborů uteče.

Standarní PHP CLI binárka má šikovný parametr -l (lint), který bere jako argument PHP soubor a vypíše, jestli v něm nění nějaký Parser error. Pro pohodlnost lze použít tento příkaz, který projede rekurzivně všechny soubory v současném adresáři a zkontroluje u nich syntaxi:

find -type f -name '*.php' -exec php -l {} \; | grep "Parse error"

Výsledkem pak může být třeba:

vojta@vvondra-laptop:~/public_html$ sh syntax.sh
PHP Parse error:  syntax error, unexpected T_STRING in ./app/extensions.php on line 10
PHP Parse error:  syntax error, unexpected T_REQUIRE in ./app/bootstrap.php on line 14

Pomocník automatický

Ještě šikovnější věc jsem ale viděl v našem repozitáři pro phpBB na GitHubu, pre-commit hook, který zabrání commitu, pokud je v nějakém souboru syntax error.

To už je jen na vás, jak zpracujete.

Mýty o bezpečnosti phpBB

Vojtěch Vondra — Thu, 12 Aug 2010 10:05:04 +0000

Přes včerejší odkaz na Intervalu s názvem WordPress bezpečnější než phpBB, Joomla a Drupal jsem se dostal k Separatistovi a jeho článku, kde odkazuje na studii od společnosti Qualys.

Jejich přispěvatel totiž publikoval kratší studii o bezpečnosti aplikací, kde pomocí nástroje BlindElephant zjištoval procenta využívaných verzí aplikací a následně z nich vyvodil celkový podíl napadnutelných aplikací oproti všem nainstalovaným.

U phpBB (a nejen u něj, Drupal nebo phpMyAdmin byly také neprávem označené jako nebezpečné) bohužel nedotáhl svoji rešerši příliš daleko a udělal několik klíčových chyb:

V phpBB 3.0.7 se objevila středně závažná chyba, která mohla přes RSS odkrýt obsah některých jinak nepřístupných příspěvků. Do dvou týdnů byla publikovaná oprava a podíl webů využívajících tuto verzi je reálně v řádu promilí. Opravnou verzi 3.0.7-PL1 do přehledu nezahrnul i přes to, že už byla dlouhou dobu před publikováním studie vydaná.
Navíc poměrně neštastně označil všechny předcházející verze také jako nebezpečné, přestože u nich chyba vůbec neexistovala.
A na závěr míchá dohromady phpBB2 a phpBB3, které nemají společný jediný řádek kódu.

phpBB má naopak velmi příznivý záznam o bezpečnostních chybách, Secunia za celou dobu existence phpBB3 zjistila 4 (čtyři!) chyby, z toho 3 málo závažné. Žádní z nich neměla za následek kompromitaci údajů nebo nabourání se do kteréhokoliv fóra. Přestože Qualys nakonec publikovala opravnou zprávu, souhrny z první již bohužel putují po internetu bez kontroly.

Kontrolovat bezpečnosti webových aplikací a upozornit je na jejich chyby je určitě přínosné. Motat dohromady nesouvisející fakta, neověřit si své informace a publikovat je takto oficiálně už bohužel není. Nakonec srovnání výsledků před opravou a po opravě:

A přeci jenom ani po opravě se nedokázal vyhnout chybám. Předpokládá, že verze phpBB 2.0.x jsou zasaženou stejnou chybou, přitom mají úplně jiný kód.

Nezobrazují se JPEGy v IE a Chromu

Vojtěch Vondra — Thu, 12 Aug 2010 09:35:05 +0000

Na současném projektu jsme dokončili rozhraní pro správu bannerů a klient už nám po několika minutách volal s chybou, že se nahraný obrázek nezobrazí. Podíval jsem se na něj ve Firefoxu a v Opeře a vše v pořádku. Ptám se tedy na prohlížeč a zjištuji, že jde o IE8.

Po chvilce na Google jsem přišel na příčinu, která by mě rozhodně dříve nenapadla. Některé (třeba starší IE s tím nemají problém) verze Internet Exploreru a Chromu (snad i starší Firefox byl postižen) mají problém s renderováním JPEGů uložené s CMYK barvami.

Řešení je snadné, pokud jde o designové prvky na webu, které máte pod palcem, a pokud máte po ruce Photoshop nebo GIMP. U obou shodně přejděte v menu na Obrázek / Image > Režim / Mode a zvolte RGB, GIMP dokonce nic jiného neumí.

Problém je, pokud to uživatelé nahrávají na web. Pak je potřeba obrázek načíst přes GD a znovu uložit. Nejnovější funkce imagecreatefromjpeg() a imagejpeg() to převedou do RGB. GD s CMYK pracovat neumí a nevýhoda tohoto řešení je ztráta kvality při změně barev.

$image = imagecreatefromjpeg('/cesta/k/souboru');
imagejpeg($image, '/cesta/k/souboru');

Detekovat jestli je obrázek RGB nebo CMYK lze snadno s funkcí getimagesize()

$info = getimagesize('/cesta/k/souboru');
if (sizeof[$info['channels']) == 3)
{
    echo 'RGB!';
}
else if (sizeof($info['channels'] == 4))
{
    echo 'CMYK!';
}

Tiskové styly v CSS

Vojtěch Vondra — Tue, 27 Apr 2010 19:05:36 +0000

V minulém článku jsem nakousl jednu drobnost, která se může hodit při vytváření tiskových stylů: vložení URL za odkaz při tisku. Nedalo mi to a ten stylopis, na kterém jsem pracoval, jsem dotáhnul až do konce. Své postřehy s tvorbou tiskových stylů si pro sebe i pro vás vypíšu přehledně tak, abych vytvořil checklist pro tiskové styly, který by vám měl zajistit funkční a přístupné stránky k tisku.

Zavedení tiskových stylů

Jak? Jednoduše. Přidat vedle běžného stylu tiskový je otázka zkopírování link tagu a přidání atributu media.

<link rel="stylesheet" type="text/css" media="print" href="print.css">

Barvy a fonty

Moje či vaše webové stránky mohou být černé či modré, červené nebo zelené. Pro papír je ale lepší se držet klasické bílo-černé kombinaci (konkrétně černý text, bílé pozadí).

Na papíru se čtou lépe serifové fonty než sansserifové a také neškodí vyresetovat velikost písma.

body {
  background: #fff;
  color: #000;
  font-family: serif;
  font-size: 100%;
}

Šířka obsahu

U fixních layoutů máte obsahový div nastylovaný s pevnou šířkou v pixelech. Pixely jsou pro web super a vždy vám dají očekávaný výsledek, u papíru, pro kterého je stránka k tisku určena tomu tak ale není. Vždy je lepší odstranit horizontální dělení a nechat prohlížeč, aby text “rozlil do stránky” podle zvoleného zarovnání textu.

body {
  width: 100%;
}
#content, #obsah {
  width: auto;
  float: none;
}

Používejte width: auto; nebo šířku v procentech pro všechny blokové elementy s obsahem.

Skrýt nepotřebný obsah

Typická situace, kdy si uživatel bude tisknout vaší stránku je taková, kdy bude potřebovat její obsah, tedy text. Navigační prvky jako menu, patičku, do jisté míry hlavičku nebo třeba seznam odkazů můžete s klidem ze stránky vyhodit a nic se nestane. Naopak uživatel bude mít na papíře pouze ty informace, které potřebuje.

#menu, #nav, #footer, #links {
  display: none;
}

Odkazy

O odkazech jsem mluvil již v předchozím článku.

Print-only prvky

Pro verzi stránky k tisku může být dobré přidat komentář, který počítá s tím, že ho uživatel bude číst na papíře. Může jít o zprávu typu “Toto je verze stránky pro tisk. Pro další odkazy a články navštivte nás na ….”, poděkování za přečtení článku nebo jen drobný easter-egg pro uživatele se zajímavou hláškou.

Jednoduše si na stránce vytvořte div s třídou .print-only a v tiskovém stylu jí nastavte display: block; a v normálním display: none;

(Ne)zalamování textu

Pokud máte na stránce obsah, u kterého chcete, aby se zobrazoval na další stránce, opět pomůže CSS:

#comments {
  page-break-before: always;
}

Zde konkrétně pro sekci s komentáři. Uživatel si tak může vybrat, jestli si vytiskne pouze první stránky s textem a nebude se mu tam míchat sekce s komentářema, anebo jestli chce vytisknout úplně všechno. Pomocí zalomení mu zjednodušíte omezení rozsahu tisku.

Dejte si také pozor, abyste nevyresetovalo nezalamování po nadpisech. Ve výchozím ostylování HTML prvků tato definice už je, umět jí definovat explicitně je ale plus pro každého kodéra:

 h1, h2, h3, h4, h5, h6 
{
  page-break-after: avoid;
}

Nestane se vám tak už, že by na konci jedné stránky byl nadpis a na začátku druhé první odstavec.

Přidání URL za odkaz v tiskovém stylu

Vojtěch Vondra — Mon, 26 Apr 2010 19:11:05 +0000

Pokud si pro váš web připravujete tiskové styly (což byste rozhodně měli), může se vám hodit tato drobná finta:

a:after {
  content: " (" attr(href) ") ";
  font-size: 90%;
}

Nyní se za každým odkazem zobrazí v závorkach URL, kam odkaz vede. Pokud má někdo vytištěnou stránku, má jednoduchý způsob jak zjistit, co se skrývá pod jednotlivými odkazy. Je dobrý nápad tuto definici omezit pouze na obsahové části stránky, aby se nevložili URL odkazů, které nechcete (e.g. navigace).

Toto řešení funguje ve všech prohlížečích kromě IE 6 a IE 7 (osmá verze už :after selektor podporuje).

Zapomněli jsme ale na jednu drobnost, a to pokud jsou odkazy relativní k doméně. Je dobrým nápadem pro takové odkazy předsadit URL, aby se v tiskové verzi zobrazila plnohodnotná adresa:

a[href^="/"]:after {
	content: " (http://www.ameeck.net" attr(href) ") ";
	font-size: 90%;
}

IDF2010 – moje postřehy

Vojtěch Vondra — Thu, 08 Apr 2010 13:29:06 +0000

Přestože jsem včera stačil dorazit až na půlku přednášky Davida Grudla o webových aplikací, druhá část programu na mě stihla udělat docela dojem. Jednoznačně jsem byl potešený organizací, snad jedině clip-on mikrofony chyběly a brzdilo to některé přednášky. Skvělá byla i spontaneita přednášejících, např. u Jirky Knesla bylo rozhodně zajímavé koukat i na psání kódu a přednášku to rozhodně nebrzdilo.

Většina prezentací by si zasloužila hodiny dvě. U Davida Grudla by mi přišla přednáška prázdná. Na to, jak vytvořit v Nette autocomplete by se mohl udělat stránkový tutorial. Chtělo by se to spíše zaměřit na konkrétnější a zajímavější věci.

Až na výjimky vypadali přednášející připraveně, někde mohl být projev plynulejší nebo přednáška mohla být lépe strukturovaná. Honza Král povídající o NoSQL by mohl začátek prezentace udělat přehlednější, byl určen lidem, co neznají základní pojmy u databází a právě pro ty to mohlo být špatně srozumitelné.

Je mi dost líto, že jsem nestihl přednášku D. Steigerwalda o objektech v JavaScriptu, ohlasy u oběda byly docela pozitivní. Pro mě nejpřínosnější byly příklady z praxe od Jirky Knesla, zvlášť co se komunikace týče. Zároveň mě přesvědčil, abych důkladněji se věnoval testům u svých aplikací.

Celkově mi příšlo IDF jako výcuc, který mohl mít na třídenní přednáškovou konferenci se skvělým obsahem. Příště by to chtělo stejnou či lepší úroveň přednášejících, delší a hlubší příspěvky, klidně více specializované. Přednášky by měly konceptuálně navazovat, systém “od všecho trochu” mi přijde trochu nešťastný. Vyhozených (studentských) šest stovek to ale nebylo.

Jeden den Ivana Děnisoviče – Alexandr Solženicyn

Vojtěch Vondra — Tue, 09 Mar 2010 21:53:17 +0000

Poslední dobou čtu novější díla a autory, jedna z nich je klasické dílo od ruského autora Alexandra Solženycina. Solženycin je trochu netradiční autor, je známý svou tvorbou především z politických důvodů. Popisoval situaci v Sovětském svazu v padesátých letech i jindy a dlouho žil v emigraci. Další jeho známé dílo je Souostroví Gulag.

Netradiční je kvůli jeho stylu psání. Text není umělecký, jazykově bohatý nebo stylově vytříbřený. Je strohý, přesto živý, popisný a názorný. Jednoduše sděluje myšlenky svých hrdinů a přímo, bez popisů a zbytečných průtahů popisuje okolí, situace a děj.

Jeden den Ivana Děnisoviče vypráví o jedom dni politického věžně I. D. Šuchova. Je vězněn řadu let v pracovním táboře na Sibiři. Solženycin názorně ukazuje, jak vypadal život vězňu, v jakých podmínkách žili. Nezaujímá k tomu vlastní názor, je na čtenáři, aby si udělal svůj obraz z vylíčené situace.

Klíčovým prvkem knihy jsou hodnoty. Kniha končí jakoby dobře, I.D. se povede ten den spousta věcí (dostane dvě porce polévky, udělají více práce, neonemocní), při bližším pohledu na věc se ale odkrývá smutná skutečnost, kam podobná situace člověka dožene. V knize sám Šuchov zmiňuje, že už ani neví co by se svobodou dělal, že na ní nemá proč myslet, akorát by na to v táboře dojel. Všechny postavy jsou smířeny se svým osudem uržet se naživu uprostřed pustiny.

Šuchov neměl ani špetičku tabáku a neměl ani vyhlídku, že by dnes nějaký sehnal dřív než večer. Proto byl při čekání tak napjatý a připadalo mu, že po tom konečku cigarety v tuhle chvíli touží snad víc než po samé svobodě.

Nechci, aby za mě někdo rozhodoval

Vojtěch Vondra — Wed, 24 Feb 2010 16:51:50 +0000

Zdeněk Fojtík, místopředseda svazu odborářů služeb a dopravy, dnes na Aktuálně.cz odpovídal lidem, kteří se zcela rozumně ptali, proč by měli odnášet protesty odborářů oni, když se akorát chtějí dostat do práce.

Místo benefitů si sám naložím se svým platem

Místo hybridního systému odměn s benefity bych vždy preferoval stálý (či proměnný plat), který bych dostal celým obnosem, řádně zdanil a sám se rozhodl, jak ho použiju. Nejsme snad v Rusku, abychom dostávali stravenky, protože se nedají propít, umíme si sami zvolit naše potřeby, které nám nejvíce vyhovují. V menších firmách mohou některé benefity fungovat jako motivační a odměňovací program, který opravdu dá člověku benefit nad rámec jeho běžného platu, u velkých společností, které většinou zaštítují zrovna stávkující odbory, si ale berou peníze na benefity opět z položky platů v rozpočtu.

Souhlasím s několika mála prostředky, jako jsou příspěvky na penzi či na spoření, které budou jednou z věcí, která nás za 50 let zachrání od státního bankrotu, s režijkama nebo stravenkama už je to u mě bledší. Hra na panem et circences se dá chvíli hrát, rozhodně se mnoha lidem člověk zavděčí, z dlouhodobého hlediska je to ale naprostá šílenost.

Stávkujeme i za ostatní zaměstnance

Podle Fojtíka spustí “stávku se solidárnosti”. No to mě po…těš. Kdo se vás o to prosil? Jakým právem mluvíte za ostatní? Kdo vás k tomu zmocnil? Pokud někdo s vámi bude souhlasit, ať si se svými odbory taky táhne do ulic, neházejte ale špínu i na něj.

Vzhledem k tomu, že se běžně ve svém životě potkávám se svými přáteli a známými, mohu Vám říci, že většina firem, ve kterých jsou zaměstnáni, jim benefity (stravování, lázně atd.) poskytuje.

Někdo, kdo bere jako reprezentativní vzorek své známé a kamarády rozhodně ztrácí soudnost v projevu svých názorů. Ať si každý řiká co chce, některé si i rád poslechnu, jiné budu ignorovat, vydávat názor svůj za názor ostatních je ale nechutný.

Stávka by neměla být “bežný postup”

Stávka je poslední možnost, kterou odborobé svazy k vynucení svých požadavků mají. Jako taková by se měla používat s extrémní opatrností a mělo by se zvážit, jestli je opravdu nutná.

Vážená paní, vážím si profese, ve které pracujete a chápu, že péče o zdraví a životy pacientů nedovolí stávku provést tak, aby ohrozila jejich životy (přestat pracovat), to však neznamená, že v jiných profesích právo zastavit práci zcela legálně lze, což je zcela běžný postup.

V tomto tvrzení se Fojtík snaží naznačit, že je naprosto morální a v pořádku omezit možnost pohybu a práce ostatním lidem, protože jedna skupina obyvatel nesouhlasí s poměrně banální změnou v zákoně. Zákonné to možná je, přesto by se měl dvakrát zastavit než stávku nazve běžným postupem.

Nějak mě ta celá aféra rozhorčila, až jsem se panu Fojtíkovi rozhodl napsat mail, publikuju ho i zde:

Dobrý den,

přečetl jsem si váš on-line rozhovor na serveru Aktuálně.cz: http://aktualne.centrum.cz/ekonomika/prace/clanek.phtml?id=661683&online

Rád bych se vás zeptal na několik věcí, které se týkají odpovědí z rozhovoru.

Co mě nejvíce zarazilo je vaše přesvědčení, že zastupujete i zaměstnance z jiných sektorů. Co vás k takovému názoru vede? V rozhovoru jste se mnohokrát oháněl demokracií, vystupovat za ostatní občany bez jejich souhlasů mi přijde jako čin, který jde právě proti principům, které s sebou demokracie nese. Zapojit se do stávky je právo každého zaměstanance v odborech, ať tak ale učiní ze svého osobního rozhodnutí. Těmito lidmi pak můžete svůj záměr zaštiťovat, ostatními ne.

Druhá zásadní věc je význam stávky v občanském prostředí. Stávka je poslední možností odborů a zaměstnanců jak projevit svůj nesouhlas a vynutit si změnu v zákoně. Chápal bych rozhořčenost při případném radikálním rozhodnutí benefity odejmout (třeba i se zvýšením platu a ponechaní rozhodnutí jak naložit se svými prostředky lidem). Přes poměrně usilovné snažení jsem nikde nenašel pádnou argumentaci, která by přesvědčivě vylíčila, čím je současný spor tak zásadní pro zaměstnance. Zneužitím prostředku stávky se akorát znevažuje její síla a význam.

S pozdravem,

Vojtěch Vondra

Írán: řešení hrozby

Vojtěch Vondra — Sat, 20 Feb 2010 20:11:27 +0000

Na seminární práci do školy jsem zpracoval dnešní situaci v Íránu, dávám svoji práci všanc i on-line pro zájemce.

Resumé

Írán je v dnešní mezinárodní situaci významným bodem konfliktu, který ovlivňuje všechny části světa. Dnešní mocnosti jsou bezradné, jak omezit další pokrok v íránském jaderném programu, který by mohl vést k sestrojení atomové bomby.

Uplatňovány jsou nejrůznější sankce a omezení, které ve všech případech nemají rozhodující význam. Navíc je tlak jednotlivých zemí nejednotný z důvodu ekonomických a politických zájmů zemí, které mají možnost se aktivně zapojit svoji vahou do mezinárodního dění.

Práce poskytuje shrnutí západních zájmů, potenciálních íránských hrozeb a současný přístup zainteresovaných stran.

Seminární práce v PDF

Seznam CAPTCHA plug-in pro phpBB

Vojtěch Vondra — Thu, 04 Feb 2010 21:54:23 +0000

S vydáním phpBB 3.0.6 přibyla výrazná nová funkce, možnost vytvořit plug-iny pro alternativní CAPTCHA systémy. Kromě toho Seznam (tim myslím Seznam.cz) vydal už před delší dobou velmi jednoduché API pro čitelnou a použitelnou CAPTCHU. Já se rozhodl ty dvě věci spojit dohromady.

Naštěstí to moc práce není. Rozhraní pro implementaci plug-inu je pouze o využití několika funkcí definovaných v abstraktní třídě captcha_abstract.php a přizpůsobit kód způsobu kontroly zadaného kódu.

Celý zdroj je k dispozici na GitHub a je uveřejněný pod MIT licencí. Dejte si ale pozor na smluvní podmínky od Seznamu, které například omezují použití CAPTCHY pro komerční účely. Na webu API najdete celé znění podmínek. Limity pro využití jsou nastaveny následovně: max. 500 dotazů za 10 sekund, nebo 1 000 dotazů za 60 sekund.

CAPTCHA nabízí i odkaz pro přehraní kódu zvukově, což je příjemné pro handicapované uživatele.

Stáhnout Seznam CAPTCHA plug-in pro phpBB
Diskuze na phpBB.cz

Rozhodně bych uvítal minimálně slovenský překlad, pokud má někdo možnost i jiných, rozhodně dejte vědět.