Solange wie der offizielle Weg, eine Datenbankverbindung ueber die einzelnen Funktionen, ohne Abstaktion
Ja, das wäre natürlich schön, wenn es in der Standarddistribution schon mit drin wäre.
und vernuenftigem Escaping
Und was ist mit
mysql_real_escape?
nunja, ich waere eher schockiert gewesen, wenn sowas ueberhaupt nicht moeglich waere. Aber s.o.: Der Programmierer wird fast provoziert, die schlechten PHP Stammfunktionen zu nehmen. Es gibt nicht mal einen bloeden Hinweis auf der PHP Seite zu einer Abstraktionsebene.
Naja, die ist in der Distribution halt nicht drin. Im C-Standard will ich ich nicht lesen, welche Erweiterungen hier und da noch erfunden sind ;) Klar, ein Hinweis ist immer nett, aber man kann meiner Meinung nach keinen Vorwurf draus machen, wenn es nicht gemacht wird.
Ja nicht mal ein Hinweis, dass man escapen sollte :(
Ein expliziter Hinweis da wäre nett, ist aber nicht wirklich zwingend dort. Die Beispiele benutzen dafür aber schon Escaping, veranschaulichen dem abschriebenden Anfänger gleich wie man das zu benutzen hat. Und wenn man dann guckt, was mysql_real_escape ist, sieht man auch gleich dort: "This function must always (with few exceptions) be used to make data safe before sending a query to MySQL.".
Aber prepared Statements sind eh cooler, also:
Nunja. Dafuer brauchst du ein DBMS, was das kann.
Oder eine Abstraktionsebene, die das macht.
Eben. Und mein Argument ist, dass man sich in, meinetwegen, Python die Freiheit schlechten Code zu schreiben, erstmal erkaempfen muss.
Das glaube ich garnicht unbedingt. Ja, du hast die Prepared-Statements (bzw. ähnlich implizites Escaping) gleich dabei. Ich glaube trotzdem dass mehr als genug Anfänger sowas wie
name = "John
db.cursor.execute("SELECT name, nummer FROM phonebook WHERE name = '"+name+"')
schreiben. Und das war jetzt nicht mit wirklich viel Kampf.
Nicht mal die vorzeige Softwareschreiber benutzen eine Art Abstraktion.
Seit dem 15.05.2007 gibt es sogar eine Klasse db_mysql_connector (Commsy 5.2.3) ;) Die ist allerdings (noch?) ziemlich klein und macht leider auch kein Escaping o.ä. [28] Aber vielleicht wird das ja noch was ;)
Ich kenne bisher nur eine verwundbare Python Applikation.
Ich kenne keine. Aber das liegt nunmal daran dass ich auch nicht wirklich Python-Webapplikationen kenne. Wie mein anonymer Vorsprecher schon sagte, es gibt wesentlich mehr PHP-Anwendungen. PHP kriegst du auf jedem Webserver nachgeschmissen und damit wird sich jeder (mehr oder weniger der Sicherheitsprobleme bewusste) Programmieranfänger am ehesten auf PHP stürzen und da ne Menge Fehler machen. Wenn man mit Webanwendungen anfängt, ist in PHP arbeiten nunmal massiv einfacher als Python, weil die Webserver das eben am schnellsten mitbringen.
Das Codequalitätargument ist damit (meiner Meinung nach) hier gleichzusetzen mit der Argumentation dass Unixe sicherer gegen Viren sind, weil man sowenige Unixviren oder gar Epidemien sieht. Das ist ne einfache Verbreitungssache, wäre Python zuerst gekommen und hätte heute jeder Webhoster Python, sähe der Python-Code weltweit gesehen nicht besser aus als der PHP-Code heute.
