обычно  содержимое страницы у меня меняется в зависимости от переменной $module


но сейчас стал понимать что так можно организовывать только маленькие проекты, т.к. если есть регистрация, авторизация, обычные страницы, фотогалерея, новостная лента и т.д., то получается вообще хлам... а если нужно добавить какой то модуль, нужно незабыть прописать в switch case его

как обычно это реализуется в больших проектах? желательно так, чтобы модули можно было подключать не изменяя код руками постоянно)

в БД есть список страниц с путями и названием страницы. приходящее название просто подставляется в запрос

ну, для такой структуры сложно что-то придумать простое. разве что регистрацию модулей, как в вордпрессе.
именно поэтому лично я не люблю вообще такую систему.
с какой стати индекс сайта должен показывать галерею? у нее что - своего индекса нет?

не понял. Сейчас у меня по умолчанию в примере выводиться модуль pages.php, который отвечает за вывод обычных текстовых страниц. А что за галерея? О_о


bars80080, так?
module_id | name                | url
+++++++++++++++++++++++++++++++++++++
1               Контент           ./module/pages.php
2               Регистрация    ./module/users/reg.php
3               Авторизация    ./module/users/login.php
4               Фотогалерея    ./module/photos/index.php

согласно первому посту:

module_id | name                |module                   | url
+++++++++++++++++++++++++++++++++++++
1               Контент              pages                     ./module/pages.php
2               Регистрация      registration             ./module/users/reg.php
3               Авторизация      login                        ./module/users/login.php
4               Фотогалерея     gallery                     ./module/photos/index.php [/quote]

запрос:

... where module="'.mysql_real_escape_string($module).'"

я не знаю, о какой фотогалерее вы вели речь в первом посте. вам лучше знать

А зачем лишний запрос? В таких двигах как dle или ipb ничего придумывать не стали. Как вариант вынести просто этот блок кода в отдельный файл и его инклудить.

затем, что файла login нет в папке modules

bars80080,  спасибо. На данном этапе вроде все понятно, завтра попробую реализовать это.

но вот сейчас вопрос возник, для моего проекта это не столь значительно, но вот в серьезных проектах как это.

есть движок, есть к нему доп. модули которые можно устанаваливать, а можно не устанавливать. В идеале голая цмс это только модуль отвечающий за вывод текстовых страниц.

в движке есть папки к примеру
/module/news/ - модуль новостей
/templates/default/news/show.tpl - шаблон новостей скина по умолчанию
/templates/black/news/show.tpl - шаблон новостей темного скина

если мы следующие папки с файлами
/module/gallery/
/template/dafault/gallery/
скопируем дополнительного модуля в папку с нашим движком, то скрипт будет работать корректно на скине default, а если выберем скин black, то там естественнно не обнаружаться шаблоны для модуля галереи.

Если это сайт мой, то естественно я могу и в папку black закинуть нужные файлы, для меня не составит труда. А если движок мой, а скины пишут абсолютно разные люди (ну как на вордпресс, ипб, и пр.), им придется в свой скин встроить всевозможные модули?))) я знаю что я щас бред написал, но по логике получается так...

мда... думаю надо мне будет заглянуть в какую нибудь цмс и посмотреть какие файлы в модулях они устанавливают и скины из чего состоят.... но раз напсиал это сообщение, надеюсь что кто-нибудь общий принцип объяснит 

Добавлено через 5 минут и 19 секунд


начал отвечать на первую цитату и до меня дошло о чем вы спрашивали.

индекс всего сайта содержит подключение модулей, конфига, функций разных.
у фотогалереи есть индекс, но он инклудится в индекс сайта.
на сайте ведь обычно верх футер и левая/правая колонки одинаковые, меняется только центр. 
если я не прав, поправьте, как должно быть правильно, буду очень благодарен.

значит, по логике скины для  модулей появляются сами по себе, без участия человека. из космического пространства

а мне вот интересно, что будет, если у галереи появятся свои модули...

Добавлено через 7 минут и 51 секунду

а это здесь при чем?
какая разница, что меняется, а что не меняется?

Ваня решил сделать сайт где будет выкладывать свои шаблоны для zzzCMS
Миша же пишет для zzzCMS и модули и скины к своим модулям

а я пользуюсь zzzCMS, зашел к Мише на сайт и скачал модули, потом зашел к Ване и скачал крутой скин. Кстати, Миша не знает о существовании Вани и пишет шаблоны только для default скина.
В итоге у меня установлен скин "superskin", но система не хочет работать, т.к. там есть megascript у которого нет шаблонов в superskin'е.

Добавлено через 9 минут и 16 секунд

такое ощущение что вы хотите чтобы я вам доказал что моя структура движка правильная, а я же хочу чтоб мне указали что я делаю не правильно и показали КАК НАДО ДЕЛАТЬ.


начнем с этого

а что должен показывать индекс сайта? по моему представлению он показывает ВСЕ. в зависимости от переменной module.
если бы индекс сайта не включал в себя индекс фотогалереи, то индекс фотогалереи выглядел бы вот так 


т.е. почти все тоже самое что имеет индекс сайта

вы хотите уподобиться еще одному участнику этой дискуссии
он тоже все ищет себе религию, чтобы к ней прильнуть, и больше уже не думать.
увы, так не получается. 
придумать Один Правильный Закон На Все Случаи Жизни невозможно.

если какая-то часть сайта является достаточно самостоятельным сложным проектом, то не надо ее запихивать в ошейник ко всем остальным. ей будет неудобно. и причин никаких нету, кроме как чтобы сделать Правильно.

плюс к этому вы сильно путаете между собой структуру программы и внешний вид сайта
а они никак между собой не связаны. вообще никак.

ваша самая главная ошибка заключается в том, что вы полагаете, будто index.php нужен для того, чтобы написать в нем include "left.tpl"
а этого в индексе вообще не должно быть.

ладно, я был не прав, я хочу чтоб мне показали в какую сторону думать)) 
вы же сами говорите что сейчас я делаю не правильно


я и раньше догадывался что его там не должно быть, но где он должен быть? в шаблоне?
у меня шаблоны деляться на части 
header.tpl
footer.tpl
left.tpl
и шаблоны для модулей. 

Дело не в частях. Делить можно как угодно.
Дело в структуре приложения. И ложных представлениях о ней.

принцип работы веб приложения должен быть такой:
сначала подготавливаются все данные, предназначенные для вывода на странице
и только потом в браузер отдается хотя бы одна строчка. 

следовательно, пока модуль не подготовил все данные - никакого вывода быть не должно.
следовательно, если сам по себе индекс никакой информации не выводит, то и вывода шаблона в нем быть не должно.
то есть, меняется вся структура индекса. ему остаются только диспетчерские функции
следовательно, если не используется mod_rewrite, то надобность в таком индексе просто отпадает.

Это сообщение отредактировал(а) Ипатьев - 8.11.2009, 12:31

у меня так.

g27, если $module никак не проверяется, то Вас могут взломать

как вам вот такой код



если $module никак не проверяется, то как могут взломать в данном случае? ведь хоть что прописывай, все равно условие будет либо true либо false и левая переменная явно будет false и перекинет на 404

а при чем здесь условие-то вообще?
речь о том, что подставят вместо модуля что-нибудь.
другое дело, что вряд ли какой-нибудь index.php может представлять интерес для взлома.

и никогда не делай так - @include
чтобы проверить, существует ли файл на диске, есть функции. is_readable() например

это код не мой, но мне он показался правильным


пример можно этого чего-нибудь?


почему? часто вижу такое в разных скриптах



если в папке modules не оказалось папки равной значению переменной $module, то переменная $module больше никуда и не идет. Поэтому я и сделал вывод, что хоть что пиши в переменную $module все равно ничего страшного не будет

Что значит "больше никуда не идет"? 
А куда она вообще может пойти? Даже если никакой проверки не будет?


никогда больше не повторяйте этих слов.
большая часть скриптов годится только на помойку.
учиться надо у тех, кто понимает, что делает.
а не у таких же новичков, которые точно так же копируют друг у друга, без малейшего понятия.

Оператор @ подавляет сообщение об ошибке. Чего делать нельзя ни в коем случае.

Добавлено через 49 секунд
да, и еще. по поводу "никуда не идет"

я так понимаю, что вы наивно полагаете, будто эта конструкция прекращает работу скрипта?

 потому что эти скрипты писали идиоты, не знающие php.

непонимаю что тут у меня плохо. 

например в базу данных если бы я ее вписывал или выводил на сайт.


а как узнать того кто понимает что делает? по книгам? книги так же тупо перепечатывают все кому не лень, английский язык я к сожалению плохо знаю чтоб читать зарубежных авторов


почему нельзя? я как администратор должен видеть ошибки, а пользователям то зачем их показывать? где то читал что mysql_error() нивкоем случае нельзя показывать пользователям, а использовать только при разработке и отладке скрипта.


не знаю, а разве нет? ну даже если и нет, то после этого у меня идет простой вывод шаблонов.

вы так и не привели пример что можно передать в переменную $module чтобы взломать сайт, ну или хотя бы как-нибудь заставить понервничать админа.

вот это правильно.

но собака подавляет ошибки для всех. именно поэтому ее не надо использовать.
тем более, что в данном контексте она совсем не для скрытия ошибки от пользователя поставлена.

За показ ошибок в браузер отвечает специальная настройка. она так и называется, display_errors
Именно ее и надо использовать. 


вот видите, вы даже правильную мысль читаете, но неправильно ее понимаете 
показывать нельзя - это правильно.
но использовать - обязательно! На работающем сайте она даже важнее, чем при разработке.
просто в браузер ее выводить не надо всем пользователям. а только админу.
и обязательно записывать в лог


книги тоже разные бывают.
вот теперь вы знаете, что если встретите в книге собаку, то эта книга плохая 


ну разумеется, нет. С каких это пор выдача заголовка в браузер прерывает работу скрипта?
поэтому если этот заголовок - Location, то после него в обязательном порядке всегда надо писать следующей стрjкой exit;


А это, собственно, и не я был, кто писал, что взломают 
Я написал, что вряд ли.
Но суть в том, что вообще-то, $module может указывать на любую папку на диске.

Вот Ваш код:


Запрос файла http://example.com/index.php?module=../upl...ser_file.txt%00

Позволит приинклудить файл пользователя, если, конечно, такое позволяет сайт (например, аттачмент текстового файла на форуме).

P.S. Правда атака расчитана на то, что magic_quotes_gpc = off

Это сообщение отредактировал(а) Pitlord - 8.11.2009, 22:53

 Про большинство авторов ты прав. Они не знают PHP.
Но самые лучшие книги переведены.
Гутманс, Шлоснейгл. 2 книги этих авторов. Остальные переведенные книги по PHP не читай - не пригодятся.

Pitlord, у меня не воспроизводится

Ипатьев, вот такой код запустите:



Приинклудился ли file.php?

да я тупанул, с файлом не проверил
почему-то я думал, что это дело давно пофиксили