Keskustelu: Ohjelmointikysymykset: PHP: JWT authentikointi kysymys #1

Hei,

Kehittelen JWT authentikointia ja olen saanut systeemin jo toimimaan oikein. Mutta sellainen kysymys, että miten korjaan alla olvan koodin tietotuvallisemmaksi? Nythän kun vaikka 1000 asiakasta yrittää asentaa ohjelmistoni yhtäikaa niin installed.txt menee aluksi DOCUMENT_ROOT -kansioon.

<?php
set_include_path(implode(PATH_SEPARATOR, array(
		'library',
		get_include_path()
)));
require_once ('Zend/Loader.php');

Zend_Loader::loadClass('Zend_Loader_Autoloader');

$autoloader = Zend_Loader_Autoloader::getInstance();
# Saves 1st POST body to $file.
# Currently on apache $file needs to exist, be empty and:
#  permissions: rw
#  owner: www-data

$file = "./installed.txt";
if (! filesize($file))
	file_put_contents($file, file_get_contents('php://input'));

$file = file_get_contents('./installed.txt');
$phpNative = Zend_Json::decode($file);

mkdir("./customers/".str_replace('https://', '', $phpNative['baseUrl']), 0777, true);

rename("./installed.txt", "./customers/".str_replace('https://', '', $phpNative['baseUrl'])."/installed.txt");

unlink("./installed.txt");

Miksi tuossa edes säädetään installed.txt:llä? Koodissa voisi olla aivan hyvin vain mkdir ja sitten file_put_contents suoraan oikeaan paikkaan.

Metabolix kirjoitti:

Miksi tuossa edes säädetään installed.txt:llä? Koodissa voisi olla aivan hyvin vain mkdir ja sitten file_put_contents suoraan oikeaan paikkaan.

Siksi säädetään installed.txt:tä kun olen antanut väärät ohjeet työkokeilijalle, joten se ei ole sen syy, että homma on alun perin tehty väärin vaan minun syy kun en antanut työkokeilijalle oikeita ohjeita.

Eihän se vaadi ihmeitä, että poistaa kyseisen tiedoston käsittelyn tuosta koodista. Koodia ei tarvitse käytännössä edes muokata muuten kuin turhia rivejä poistamalla.

Jos se ei onnistu sinulta itseltäsi, niin miksi sitten käsket ohjelmoijaa tekemään jotain, mistä et itse ymmärrä? Ja jos se ei onnistu siltä koodariltakaan, niin sitten olette isossa kusessa.

The Alchemist kirjoitti:

(22.06.2020 08:54:47): Eihän se vaadi ihmeitä, että poistaa kyseisen...

Olen jo muokannut koodin toimivaksi. Eikä olla isossa kusessa, sillä pilvipalveluani ei vielä ole lanseerattu Atlassian Marketplaseen. Jos olisi niin sitten oltais isommassa kuin isossa kusessa.

Pilvipalvelu kyllä tehdään valmiiksi, mutta menee aluksi mietintämyssyn alle, että lanseerataanko se ollenkaan Atlassian Marketplaceen, koska asiassa on aika pikkusen vastuita siinä vaiheessa jos ees joku hassu asiakas ostaa palvelun hintaan 2 USD per käyttäjä per kk mitä se maksaa yli 10 hlo yrityksille ja 1-10 hlo yrityksille se maksaa vain 10 USD / kk. Vastuut ovat mm. se, että voi joutua todelliseen kuseen jos palvelu on alhalla luvattoman kauan. Eikä meillä ole tällähetkellä kuin yksi tavallinen virtuaalipalvelin jossa on 8 ytiminen prossu ja 16 Gt muisti, jne.

Joten homma nyt alustavasti tehdään vain kokemuksen ja osaamisen kasvattamisen takia.

Onneksi Atlassian antaa heidän pilvituotteet kehittäjille ilmaiseksi niin kauan kuin on kyse 1-10 hlo yrityksestä ja asiakaspalvelusysteemin ilmaiseksi niin kauan kun käyttäjiä on 1-100 kpl yrityksessä. Ihan vaan huvikseen ei kannata sijoittaa pennin jenniä mahdollisesti myyntiin tuleviin palveluihin jos ei ole 100 % varmaa että siitä tulee elinkeino ja tämä ei tarkoita sitä, että vain muutama asiakas ostaa tuotteen, koska sillä ei elä kukaan vaan elinkeino tästä tulee vain jos joku 100-1000 asiakasta ostaa palvelun.

Jos vakavasti ottaen tekisi softaa kaupalliseen käyttöön, niin sitä tuskin rakentaisi sellaisen sovelluskehyksen päälle, joka on kuollut ja kuopattu jo neljä vuotta sitten. Eiköhän ole aika opetella ensin koodaamaan tietoturvallisilla työkaluilla ja sitten vasta miettiä, mitä muita mutkia matkassa onkaan.

Työharjoittelijan kannalta tuollaisessa jopissa ei opi yhtään mitään, koska ikivanhalla freimiksellä ei voi oppia 1) nykyaikaista php-ohjelmointia 2) työmarkkinoilla tarvittavia työkaluja. Teet siis hallaa niin nuorelle klopille kuin itsellesikin, kun tuhlaat resursseja liki hyödyttömään työharjoitteluun.

The Alchemist kirjoitti:

(24.06.2020 11:09:17): Jos vakavasti ottaen tekisi softaa kaupal­li­seen...

Kyllä Zend Framework 1.12 vielä tarvitaan joissain firmoissa työmarkkinoilla ja kyllä minä voin koodata koko P.A.S.K. ja niin ees päin uudemmalla Zend Frameworkillä, jonka uusimman version nimi on nyt vaihtunut uuteen.

Vai suositteltko uusimman "Zend Frameworkin" sijaan uusinta Laravelia? Senkin minä osaan yksin.

PS: Minun mielestä kaikesta työharjoittelusta on hyötyä sillä jos on tekemättä ei yhtään mitään vaikka 5-10 vuotta niin se heikentää työllistymistä. Ja minulle itselle ei koskaan ole maksettu palkkaa työharjoitteluista ja jos en tähän kuvioon olisi suostunut niin en todennäköisesti olisi nykyään täysipäiväisesti töissä, koska ei olisi mitään näytetöitä, yms. kokemusta.

Tässä muuten turvallisuusmääräykset Atlassian -pilviappseille, jos jotakuta kiinnosta:
https://developer.atlassian.com/platform/marketplace/security-requirements/
Minulla on vielä paljon tekemistä, että nämä kaikki vaatimukset saadaan täyettyä.
Muutta ainakin alla olvat ovat nyt kunnossa ja näistä on maksettu lakimiehelle 2. tutahta EUROa.
https://www.i4ware.fi/#privacy
https://www.i4ware.fi/#data
Sitä paitsi jos yllä olevat sopparit eivät ole kunnossa voi joutua vaikeuksiin.
Rahani olen saanut jo pois näistä maksuista, koska kokonais liikevaihto omalle serverille asennettavissa versioissa Markeplace Appseista on jo nyt 36k USD. Koska paljon ostetaan isoja lisenssejä Fortune 100 -tason yrityksistä ja nehän maksaa tuhansia USD (ellei yli 10k USD) ensimmäisellä maksulla, joka on lisenssimaksu ja sen jälkeen alkaa juosta asiakkaalle 50 % ylläpitomaksu joka vuosi niin kauan kun asiakas on valmis maksamaan tuotteesta ylläpitoa.

Tosi kiva.

walkout kirjoitti:

näistä on maksettu lakimiehelle 2. tutahta EUROa

Etkö löytänyt ilmaisia neuvoja jakavia lakimiehiä jostain Lakiputkasta?

Matti Holopainen kirjoitti:

walkout kirjoitti:

näistä on maksettu lakimiehelle 2. tutahta EUROa

Etkö löytänyt ilmaisia neuvoja jakavia lakimiehiä jostain Lakiputkasta?

No en löytäynyt. Ja lakimiehet maksulliset sellaiset maksaa siinä 200-300 € / tunti + ALV 24 %. Ja en halua ostaa näitä 5 USD Fivveristä, koska ne mitään osaa kunnolla. Olen kyllä yrittänyt mutta tuli vaan sutta ja sekundaa.

Sitäpaitsi minun on nyt otettava jostain maksullisia miehiä/naisia jotka osaa korjata minun bugit (mutta en pysty asiaan juuri nyt, koska tuotteiden lisensejä ostetaan liian vähän ja satunnaisesti), koska alihankintana tulee taas kysymykseen Ext JS:n lisenssit ja en voi antaa omiani alihankijoille, koska lisenssiehtosopimusen mukaan nillä pitää olla omat ja ne eivät voi ostaa sellasia, koska 5 kehittäjälle ne maksaa vaähän yli 5000 € ja pienempiä paketteja ei saa kertamaksulla ja ne vuosimaksulliset ovat liian riskaapeleja yhdelle kehittäjälle.