wozu braucht man eigentlich das associate => $query? das habe ich irgendwie nie kapiert... ein

taete es ja vermutlich auch, und man haette mehr kontrolle (wobei man sich genau ueberlegen sollte, ob man input ungeprueft als output verwenden sollte)

hab gerade query() implementiert. dauert aber noch ein klein bißchen,
bis ich's guten gewissens auf CPAN stellen kann.

[quote=esskar,08.01.2006, 21:47]Wir haben doch letztens über das Problem geredet, dass ein Angreifer die Kompilate ändern könne und dann eine Löschung der Festplatte auslösen könne.
Ich hab da nochmal etwas überlegt. Dadurch hat er dann also Rechte, die Kompilate zu ändern - wahrscheinlich hat er die selben Rechte wie das Script selbst.
Wenn das Script also den Befehl zum löschen der Festplatte lostreten kann, dann kann der Hacker das doch auch und muss nicht den Umweg über das Kompilat machen, oder?

Nur so meine Gedanken - wollte nicht, dass sie verloren gehen bis ich wieder im IRC bin.[/quote]
naja, möglicherweise kann er nur eine lücke in einem anderen cgi ausnutzen, das wiederum unter dem selben user läuft und das es irgendwie erlaubt, dateien zu ändern. dann könnte nicht unbedingt direkt befehle als der betreffende user ausführen.

die erzeugten kompilate haben beispielsweise den user www.
dann kann ein anderer nutzer sie verändern und andere dateien
löschen. die festplatte löschen natürlich nicht, ich weiß nicht,
wie esskar darauf kommt. www hat ja nicht das recht, alles
zu löschen.

aber klar, wenn du einen webserver mit mehreren usern hast, deren
skripte alle unter www laufen, hast du so oder so ein problem.

feature idee:


arbeitet wie perl's while; ist gant praktisch, wenn foo eine funktion ist, die über etwas iteriert, z.b. ein datenbank-cursor

hmm, ob das wirklich sinnvoll ist? aber gut, warum nicht. dürfte sehr
einfach zu implementieren sein, wenn foo eine methode sein darf.
also etwa als template-parameter object => $obj, und im
template
<tmpl_while object.iterate><tmpl_var _></tmpl_while>

das ist sehr sinnvoll.
siehe z.b. DBIx::Class::ResultSet

mir ist schon klar, dass iteratoren sinnvoll sind, aber gerade
datenbank-cursor im template abzuhandeln...
ist vielleicht ganz nett, aber vielleicht nicht immer das sauberste.
aber keine sorge, ich werd's einbauen =)