PHP質問・雑談スレ4【初心者お断り(ROM歓迎)】 [無断転載禁止]©2ch.net

PHPに関する質問や雑談をするスレです。
初心者お断り(ROM歓迎)と書いてますが、初心者用のスレが用意されているからで、
難しい質問や話題をしなければいけないわけではありません。
PHPマニュアルの読み方を概ね理解していて、関数リファレンスが正しく読める方用のスレです。

PHP未導入の方や、手取り足取りが必要な初心者の方はム板のくだスレへどうぞ。
http://mevius.2ch.net/tech/　(【PHP】で板内を検索)

前スレ
http://medaka.2ch.net/test/read.cgi/php/1486956982/

その他リンク
・PHPマニュアル
　https://secure.php.net/manual/ja/index.php
・コードテスト・貼り付け用
　http://ideone.com/
・プログラミングのお題スレ　（求PHPer参戦）
　http://mevius.2ch.net/test/read.cgi/tech/1480579110/

このスレで扱う話題
・PHPのコード，設定や設定値に関する質問
・常識的範囲内でのコードレビュー依頼・改良相談
・PECL，PEARに関する質問
・PHP新機能やPHP関連トレンドの話題
　（FWや非公式ライブラリの話題や特徴比較は良いが使い方から先の話題は専スレへ）
・PHPのバグ発見報告・公式に報告する前の検証依頼

このスレで扱わない話題
・直接関係ない○○特有の質問（専スレへ）
　（HH，エディタ，IDE，サーバ，OS，DB，SQL，FW，テンプレート，非公式ライブラリ・アプリケーション等）
・PHPの改造

>>411
どうもありがとうございます。
作ったことはないのですが、確か最近の応用情報かなんかの過去問見たとき、
WebAPI作る問題出てて、そこでも確かにHTTPSでBasic認証してました。
ちゃんとWebAPIの作り方調べてやってみたいと思います。

>>412
何で例に出すのがBASIC認証なのか
APIならOAuthとかじゃねえの

自分一人が個人的に使うシステムでも無い限り
OpenAPIやSwaggerで仕様を明確化した方がよい

あるいは昔ながらのREST APIではなくGraphQLでも良いかもしれない

RESTは自分でも作れるかもしれないが
GraphQLは割と複雑な仕様なのでライブラリーが必須

OAuthはOAuthで難しい
変な実装をすれば車が通れる程の大穴セキュリティホールが開く
https://www.sakimura.org/2012/02/1487/

https://www.jitec.ipa.go.jp/1_04hanni_sukiru/mondai_kaitou_2017h29_2/2017h29a_ap_pm_qs.pdf
この問4か

プログラミングを誰でも習得できる方法は、「前場アキドルのプログラミングマスター方法」というブログで見られるらしいよ。ネットで調べると見られるらしいです。

5648W

掲示板が作りたくてデータベースとのやり取りをするPHPとそれのインターフェイスとなるHTMLを作りました
投稿時の想定は「まずHTMLにアクセスしてそこで項目を入力してPHPを通してデータベースにデータを入力」です
これはAjaxやPDOを使うことで作ることが出来ました
しかしHTML（JavaScript）のソースコードからPHPのファイル名を見つけてPHPを直接叩くことで簡単に荒らしが出来てしまいます
この問題を解決したいと思い、PHPをドキュメントルートから外したのですがそれはアクセスが出来ず失敗に終わりました
皆さんはこのような問題に対してどのような対策を施しているのでしょうか？

相手が荒らすのに苦労する仕組みを作るといい

1文字　同じ文字のみ　英数字のみ　URLとかスパムに使われそうなものを制限する
連投制限の仕組み作る（IPベース、クッキーベース、セッションベース、それら組み合わせ）
若干面倒な登録を経て登録者のみ投稿できる会員制にする
ログと投稿をつきあわせて類似度を比較する（処理は遅くなる）
AIで意味のある文章か判断する（PHPerには難易度が高すぎる）

ワンタイムトークン

CSRF

直接PHP叩くのと、フォームから入力するのと、
マクロにとっては荒らしのしやすさになんの差もないと思うのだけど。

reCAPTCHA v3ではユーザーのアクションなしに相手がロボットがどうか
判別できるようになるらしい

回答ありがとうございます

>>418-420
ワンタイムトークンが良さそうだと思いました

>>421
マクロだと確かにそうですね
IPアドレスで連投を規制したりすることも検討してみます

PeachPieって言う.NETでPHP動かす環境あるらしいけど
どうなの？
そもそも使い物になる？

検索したらエロい店ばっかりでてきて吹いた

>>424
使ったこと無いけど、ASP.NET Webサーバー使ってるなら良さそう
ってかそれ意外になにもメリットなさそう

力技すぎて面白い

PeachPieはtechempowersのPlainTextのベンチマークでは99位
それでもFramework OverheadでPHPより1.87倍ぐらい速い

https://www.techempower.com/benchmarks/#section=data-r16&;hw=ph&test=plaintext

CILにコンパイルされてから実行されるわけだからパフォーマンスは向上するわな(Phalangerと同じ)
あとはエクステンションがどのくらい互換性持って提供されるかだと思う
使い物になるかで言えば公式が「まだexperimentalだよ」って言ってる以上は(productionでは)全く使えない

>>428
plaintextのベンチとか意味あるの？

単なるプレーンテキストの送信でも言語やフレームワークによってかなり差が出るのは分かる

PeachPie自体はまだ実験的な物ではあるが
WordPressは既に動かせるらしい

composerってメモリ使い過ぎじゃね？
サーバーの利用可能なメモリが少ないとSymfony4のインストールすら完了しない

composerのロックファイルは
十分メモリのあるローカル環境で作り
メモリーの少ないサーバーではロックファイルからcomposer installするのがオヌヌメらしい
とは言えもう少し少なく出来ないのか？

プルリクあく

あくってなに？

悪

早くしろよ
↓
あくしろよ
↓
あく

汚ねえスレだなあ

>>410あたりを見て気になったんだけど
API作るというだけでは認証機構入れる必要これっぽっちもないよね？

BASIC含め簡単なものや固定のものは投げてる要求確認すれば丸わかり

バッチ等からのアクセスが主だったり他サイトに利用させるとかが絡むなら
事前認証してtoken吐いて……って機構が必要かもしれないけど>>410はブラウザ経由

認証つけるにしても、もしAPI以外でログイン認証してるならそっちのセッションをそのまま使える

いろんなところから利用可能にするためにWebAPI使うんじゃないのか

そらTwitterみたいに本家がユーザ認証前提の仕組みで他所でも認証してあーだこーだって話なら、な
例えばYahooのルビ振りWebAPIなんかは認証なんてない

appidってのがそうなんじゃないの

事前登録したIDを送るのは認証とはちょっと違くね

composerはなぜかパッケージのダウンロードが一個ずつって特徴もある
並列化する非公式プラグインはあるが
何で公式は並列ダウンロードしないのか

https://github.com/hirak/prestissimo

なぜかって普通だし
さして重要じゃないだろそれ

並列ダウンロードが当たり前の他のパッケージマネージャに慣れていると
遅く感じる

プラグイン作者によるプルリクエストがcomposerにあったが
マージされるのはいつか分からない

composer使うのやめればいいじゃん

PHPもやめます

そもそもcomposerってなんで出てきたの？
必要なのこれ
composerじゃなきゃダメなことなんかあるの

知らないのに使わなければ良いとか言ってんの？

フレームワーク使いたい奴には必須かもしれないけど
それ以外は別に使わなくても問題ない　っていうイメージ

つか何故公式が云々って公式の気持ちなんか知るか国語のテストかよ

composerの中の人は忙しいので
並列ダウンロードは皆があったら便利だと思う機能とは知っているが
優先度を低くしている
そんな感じでプルリク作成から2年経った

あれから2年、君は成長できただろうか

composerは車輪の再発明が嫌いな
再利用大好人間たちがコードを持ち寄って使いあったり
そこから新しいのを作るためのなれ合いツール

pear/peclが要らなくなるわけじゃないんだよな

peclはともかくpearはいらないだろ

composerにあるライブラリって全部PHPでしょ？
pearを進化させたようなもんだよねたぶん

これどう作るの？
https://goo.gl/1PyDK6

最近必死すぎだろｗ
飢え死ねアフィカスｗｗｗ

ComposerのロゴはGo以来のイラッと感を覚えるわけよ

PHPの拡張ってプロジェクト毎にはインストール出来ない？

拡張を実行時に動的に読むdlって関数が昔あったらしいが
削除されてるし
dlは使い物にならなかったのか

他言語ではC拡張のあるライブラリも
他のライブラリと同じ様に
そのプロジェクトだけのインストールができるのが普通

http://php.net/manual/ja/function.dl.php

普通にextension_loaded()でいいんじゃないの

>>459
現状出来ない
実行時に拡張をロードする機能自体が存在しないのでどうにもならない
やりようがあるとすれば実行時ロード機能を提供するPHP拡張を作成することくらい
PECLに登録して最終的に本体にバンドルされるところまで至らないとエコシステムには取り込まれないだろうなぁ
rasmusとかandiとかzeevとかの基幹メンバーがとんでもなく保守的だし正直何やっても絶望的だと思う

この辺は割とマジで根本的に設計上の欠陥だと思うわ

.phpから拡張を読み込むことができるようになると
セキュリティホールが量産されそうな気がするが
その辺、大丈夫なのか？

何となくそういう懸念が浮かぶのは分かる
ただ他言語, 具体的にはPythonとかRuby, Nodeなんかでは頻繁に使われてる
system系の関数使って実行ファイルを叩くのとどう違ってくるのかと考えると別に実行時に拡張ロード出来ても良かろう(dlが削除されたのは安定性が理由だと書いてあるし)

PHPの用途で動的に読み込めると何が嬉しいのか、
まともな理由がないから削られちゃったんだろ

プロジェクト毎にPHPインストールすりゃいいんじゃね

>system系の関数使って実行ファイルを叩くのとどう違ってくるのかと考えると

systemやexecは、php.iniで包括的に設定するしか手がない disable_functions 設定で禁止できる
かなり違うんじゃないかね

http://php.net/manual/ja/info.configuration.php#ini.enable-dl
>このディレクティブは、Apacheモジュール版のPHPを使用した場合にのみ 有用です。
>PHPの動的ロード拡張機能をdl()で 仮想サーバー毎またはディレクトリ毎にオンまたはオフに変更することが できます。
>
>動的ロード機能をオフにするのは主としてセキュリティ上の理由によります。
>動的ロード機能により、 open_basedir の拘束を全て 無視することが可能になります。

そもそもdlって最近は削除されて使えないんじゃなかったの？

exec使える状態って
アホなアップローダとか置いてた日にはopen_basedirの拘束なんて無視して好き放題されちゃうよね

>>466
いや, php.iniだけで動的モジュールロードの可否を与える(php.iniのみで設定可能な)ディレクティブがあれば一緒だろ
自分でdlの例出してるじゃん

mod_phpで実行する場合は権限がWebサーバになるからそれが嫌だというのはよく分かるが

変なところにペーストしちゃったけどまぁいいや

dlは安定性に問題があるから削除したって言うけど
他の言語で出来ていることが何で出来ない？
PHPはリクエストの度にメモリの内容破棄するから？

extensionの動的ロードしたいってどんなとき

劇的ロードなら

age

hage

PHPは巨大化し過ぎた
山ほどあるビルトイン関数を削除して
プログラミング言語に最低限必要なライブラリだけをOOPで作り
使うかどうか分からない機能は動的ロードするようにすべきだ

そんな事したらもうPHPじゃない？
そんなの知るか

そこまでするならフォークして別言語にしろ
QIQとかかっこいい名前付けてもいいぞ

>>477のセンスを向上させるにはどうしたらいいですか

ビルトイン関数なんて削っても
PHP本体のソースコードがすっきりするだけで
別に劇的に早くなるわけじゃないしユーザ側が受けるメリットなんて大してないだろ

すっきりしたら
ごちゃごちゃの状態よりバグが少なくなったり
本体が小さくなるとかのメリットはある

配列とか文字列がプリミティブ型みたいな扱いなのも
なんとかしる
array_系の関数が重ねて適用しようとしたら使いづらいったらありゃしない

デフォルトでなんでもアリだからこそ受けてると思うんだけどな
今の時代で多少軽くなってもたかが知れている。ってかそもそもそんなに重くないだろう
そんなに重いならsmartyでも使えばphpの負荷は大きく下がる

smartyでphpの負荷が下がるってどゆこと

ビルトイン関数使ってたら
テストを書く時モックするのが難しい
time()とかrand()とか

名前空間使ったハック（\timeのように書いてると不可）やPHP拡張を使う方法もあるが
他の言語だとそんなの必要ないじゃん
キモい

テストを全く書いてない奴はお帰りください

rubyのnokogiriみたくネイティブライブラリをラップするライブラリって使えれば需要あると思うけど
特にcomposerが普及した今なら更に

今どきsmartyって…w

php4時代のコードでも少しの変更でphp7で動くようにできるというのがphpのメリットで
何するにしても後方互換の問題があるわけで
pythonのような英断をしなければphpが変わることはないし
成熟してしまって時期的にそのチャンスはもう逃した
お前らがforkして新php作ればいいよ
まあオリジナルの差分をコミットする作業が面倒で3日で匙投げるだろうが

既にHackで爆死経験済みだろ。

pythonはpythonで2と3が両立していた時期があってあれはハチャメチャだった

php++の前段階として既存の糞ビルトイン関数のラッパークラスをphpで作ればいいよ

あらゆるライブラリがそのラッパークラスとやらに対応してくれないと
何度も変換する必要があって使いづらい

言語ごとラッパー作るなんてできるのか？

イメージ的にはJavaScriptに対するjQuery
jQueryの書き方に慣れてきたころにjQueryの構文やオブジェクトを実装したJavaScript2登場みたいな

PHPの言語仕様が嫌だが
PHPのライブラリや既存コードも使う必要があるってなら
他の言語で書いてPHPに変換出来るAltJSならぬAltPHPを使えば良いかも

ただ、PHPの場合それが出来て
ある程度人気があるのはHaxeだけだと思う
JSは本当に色々あるのに

https://stackoverflow.com/questions/6551089/is-there-anything-like-coffeescript-for-php

HackはPHPと互換性があるがVMも違うやつ使う必要があるから
AltPHPでは無いよね

糞だと思うなら使わなけりゃいいじゃん

JSはPHP以上にカオスだと思うんだけどな

JSはundifendeの辺りが怖すぎる

そんなにjsがいいならjsの子になっちゃいなさい！

JSはブラウザで動くのがJSしか無いから
AltJSみたいのが生まれたけど
サーバーサイドは別に代わりがいくらでもあるしね

ブラウザで動くのがjsしかないのが異常というか
jsだけとはいえブラウザで動かせること事態が本来異常というか

jsで、任意のファイルを読み書きできるの？

出来てしまうとセキュリティ上やばい気がするのだが。。。

>>502
なんの話？
ブラウザのJSは勝手に他サイトやファイルシステムの内容を読めるAPIは無いし
脆弱性を利用してブラウザのセキュリティを突破しようにも
サンドボックスがあったりして難しい

サーバサイドプログラムでｊｓを使う場合の話です。

任意のファイルの読み書きはできるのでしょうか？

node.jsならできるよ。
require('fs');

jsだからどうという話ではないな。nodeがそうだというだけで。

nudeなら

他所でしてくれ

>>502=>>504なら
なぜPHPならセキュリティ上問題ないと思った？ていう
まぁ多分本人が考えてることと他のやつが考えてることが違うのだろうけど

まあお茶でも飲んで落ち着けよハゲ

これが落ち着いていられるか！