On Sat, 07 Mar 2009 12:32:58 -0000, Marek <m...@s...interia.pl> wrote:

> Nie do końca tak jest w praktyce - nie mówię o teorii. Po pierwsze -
> ilość znaków formularza czasem przewyższa możliwości GET. Po drugie
> znacząco utrudniam możliwość ręcznego wpływania na sposób funkcjonowania
> aplikacji

Ale POST wcale nie jest bezpieczniejszy niż GET! W obu przypadkach każdy ma możliwość
przesłania ci dowolnych danych.

Nawet nie potrzeba do tego specjalnie hackerskich narzędzi, np. w Operze można
otworzyć źródło strony, przerobić formularz, odświeżyć stronę z cache i wysłać
przerobione dane.

Tak czy inaczej, przychodzące dane musisz sprawdzać. W przypadku PHP kod praktycznie
nie różni się, czy użyjesz $_GET, $_POST czy $_SESSION.

> gdyż nie analizuję tego co ktoś z palca wpisze sobie z nudów w
> adresie URL - w szczególności automatom spamerskim, które potrafią
> udawać wypełnianie formularzy (co już doświadczyłem).

POST przyciąga spamerskie boty znacznie bardziej niż GET, a dobrym botom można
zakazać GET w robots.txt.

>> Jeśli potem jeszcze przekierowujesz na stronę, która nie ma w URL
>> parametrów wyszukiwania, to już kompletnie łamiesz bezstanowość HTTP i
>> uzależniasz treść strony danych, o których istnieniu przeglądarka nie
>> ma pojęcia (zmiany danych w sesji są niewidoczne dla klientów HTTP).
>
> Dokładnie tak jest. Jednakże łamanie konwenansów ma swoje zalety
> również. Powrót do wyszukiwarki bez przekazywania do niej jakichkolwiek
> informacji prezentuje ostatnio wyszukiwaną treść - wcale nie oznacza to
> defektu lecz wręcz przeciwnie: jest to czasem bardzo użyteczne

OK, ale proponuję to robić dodatkowo, a nie zamiast tworzenia niezawodnych URL-i.

> "powrót do wyszukiwarki". Wyobraź sobie co się stałoby gdyby po drodze
> przytrafił się jakiś POST. Wtedy taki "wstecz" wywaliłby komunikat o
> potrzebie re-akceptacji formularza.

To nie ma związku z wyszukiwarką, szczególnie jakbyś prawidłowo użył GET.

Kiedy potrzeba użyć POST, to ten bug obchodzi się wysyłając status 303 i
przekierowanie. Tego się nie czepiam. Czepiam się, że używasz POST zamiast GET tam,
gdzie się nie powinno.

--
http://pornel.net
this.author = new Geek("porneL");