W3use.nl

Files veilig uploaden

admin — Wed, 18 May 2011 19:43:28 +0000

Inleiding

Files uploaden is een feature die vaak nodig is op een site en toch vaak problemen met zich meebrengt. Mensen lopen tegen schrijf/lees restricties aan en zetten uit paniek alle deuren open (het bekende CHMOD 777 verhaal). Niet doen, hieronder een korte uitleg waarom niet en hoe het wel zou moeten.

Basiskennis, de werking van een formulier
Als je dmv een html formulier een bestand upload dan blijft dat bestand slechts aanwezig totdat het script is afgelopen. Bij het versturen van het onderstaande formulier komt het bestand binnen op dezelfde pagina ($_SERVER[‘PHP_SELF’]) en wordt het bestand onder een tijdelijke naam even weggezet op de server.




echo $_SERVER['PHP_SELF']; ?>" method="post">

Het php script op deze pagina zal wat met de file moeten doen anders is na het doorlopen van het script de file weg. De file moet worden verplaatst van de tijdelijke locatie/bestandsnaam naar een definitieve locatie/bestandsnaam.

lees en schrijfrechten in linux
In Linux (hoogstwaarschijnlijk het besturingssysteem waarop je webserver draait) zijn mappen standaard beveiligd, niet iedereen mag er zomaar in schrijven/lezen/executen.
Er zijn 3 soorten gebruikers die op schrijf/lees/execute niveau 3 verschillende rechten kennen.

		READ		WRITE		EXECUTE
USER		1		2		4
GROUP		1		2		4
ALL		1		2		4

Wie zijn user/group/all? Wat zijn veilige instellingen? uitgebreid artikel over CHMOD

ftp
In eerste instantie gooi je de files van je website meestal met een ftp programma (zoals ws_ftp, flashfxp of bijv het gratis Total Commander) naar je webserver. Ook kun je via een dergelijk programma snel een directory stuctuur opzetten.

Handig en snel, ware het niet dat je via een FTPverbinding een andere USER en GROUP bent/hebt dan dat je de server benadert via php. Gevolg: Je hebt via php geen schrijfrechten in de mappen die je via je FTP programma gemaakt hebt. Je kunt dus niet via de php functie move_uploaded_file je bestand verplaatsen naar een andere map. Ook kun je in met de functie mkdir geen mappen maken.

Je hebt geen rechten, wat moet je nu doen? Veel scripts geven aan dat je de rechten van de directories moet verruimen (ofwel ze zeggen: zet je CHMOD hoger, bijvoorbeeld naar 777). Gevolg: ander users/groups mogen in je directory komen en je kunt aan de slag. MAAR heel rest van de wereld kan OOK uploaden/deleten in je directories. Foute boel dus.

ftp via php
Het alternatief is dat we via php een ftp connectie opzetten met de webserver, waarna we het bestand verplaatsen/wijzigen/deleten. Als we via een ftp connectie het bestand benaderen dan hebben we dezelfde USER/GROUP als dat we via het FTP programma zelf zouden doen.

voordelen van deze methode
- je voorkomt het probleem dat je directories hebt van verschillende USER/GROUPS. Als je de zaak wilt backuppen dan kun je dit makkelijk en snel via je FTP programma doen en loop je niet tegen mappen aan waar je volgens de rechten niet aan mag komen.
- Je hoeft je maprestricties niet te verruimen, de zaak blijft dus lekker veilig.

voorbeeld van de toepassing van een ftp connectie in php

define ('FTP_HOSTNAME','hier_de_hostname_van_je_ftp',true);
define ('FTP_USERNAME','inlog_naam',true);
define ('FTP_PASSWORD','wachtwoord',true);
define ('FTP_PATH','hoofd_path_binnen_ftp',true);
$userdir='userdir_waar_je_de_zaak_wilt_inzetten/'; //deze moet reeds zijn aangemaakt!

//start building html
?>

isset ($HTTP_POST_FILES['mijn_bestand'])){
  //was a file uploaded?
  if ($_FILES['mijn_bestand']['error']>0){
    switch ($HTTP_POST_FILES['mijn_bestand']['error']){
      case 1: echo 'Error, file exceeded upload_max_filesize'; break;
      case 2: echo 'Error, file exceeded maximum file size (150 kb)',1); break;
      case 3: echo 'Error, file only partially uploaded'; break;
      case 4: echo 'Error, no file uploaded'; break;
    }
}else{
  //make sure file is no bigger then limit of 150 kb (150.000 bytes)
  if ($_FILES['mijn_bestand']['size'] > 150000){
    echo 'Error, filesize is '.$_FILES['mijn_bestand']['size'].' bytes, maximum is 150000 bytes (150 kB)';
  }else{
    ftp_file_copy($_FILES['mijn_bestand']['tmp_name'],FTP_PATH.$userdir.$_FILES['mijn_bestand']['name']);
    if (is_file($userdir.$_FILES['mijn_bestand']['name']))
    echo 'file is here';
    else
    echo 'file is not here';
    }
  }
}
//let op, de delete functie is nog niet veilig, iedereen die de url aanroept kan hier deleten
//bouw je eigen beveiliging in
if (isset ($_GET['del']) && $_GET['del']!=''){
  if (is_file($userdir.'/'.$_GET['del']))
  ftp_delete(FTP_PATH.$userdir.$_GET['del']);
}
?>

echo $_SERVER['PHP_SELF']; ?>" method="post">




opendir($userdir)) {
  echo '';
  $i=1;
  while (false !== ($file = readdir($handle))) {
    ($i%2) ? $class='class="row1"' : $class='class="row2"';
    if ($file!='.' && $file!='..' && $file!='Thumbs.db'){
      echo '';
      echo '';
    }
    $i++;
  }
  echo '
  Filename Width*Height Preview Delete
'.$file.' delete';
  closedir($handle);
}
?>

CSS styleswitcher

admin — Wed, 18 May 2011 18:45:54 +0000

Op sites waar vooruitstrevend gewerkt wordt, wordt content van opmaak gescheiden door middel van CSS. Op deze manier kan, als men dit wil, een visuele updates snel doorvoeren over de gehele site. Ook kan met de site in verschillende visuele vormen aanbieden. Zo kan er een aparte stylesheet zijn voor slechtzienden, mensen speciaal van de phpvereniging of kunnen er gewoon voor de fun verschillende stylesheets aangeboden worden.

Voor mijn eigen site heb ik â€œgewoon voor de fun verschillende stylesheets gemaakt, een erg leuke extra feature. Wat ik in dit artikel wil beschrijven is het maken van een styleswitcher. Na het inladen van een standaard ingestelde stylesheet kan de bezoeker dmv een drop down select box de gewenste style te kiezen. Deze blijft bewaart in een cookie.

Omdat voor verschillende stylesheets verschillende files (css+plaatjes) nodig zijn
is het van belang dat we een overzichtelijke directory structuur hanteren.
Ik heb gekozen voor de volgende directory structuur op de server:

- [dir]style
  - [dir]1
    - [dir]css
      css.php
      index.css
      archief.css
      algemeen.css
    hier alle plaatjes voor stylesheet 1
  - [dir]2
    - [dir]css
      css.php
      index.css
      archief.css
      algemeen.css
    hier alle plaatjes voor stylesheet 2
  - enz

Zoals je ziet zijn de bestandnamen hetzelfde, alleen het nummer van de directory is verschillend.

Ik ben er vanuit gegaan dat je meer dan Ã©Ã©n pagina op je website hebt en dat je per pagina dusdanige andere content hebt dat je daar een aparte stylesheet voor hebt. Voor de globale layout (kolomstructuur, uitlijning of header) hanteren we een algemeen bestand (algemeen.css) wat op alle paginaâ€™s geldt.

Verschillende paginaâ€™s, (deels) verschillende stylesheets dus. Ik ga even voor het gemak uit van 2 paginaâ€™s, index.php en archief.php.
Deze delen een gezamelijke html-kop (), opgeslagen in top.php.
Probleem: we gebruiken dezelfde voor zowel archief.php als voor index.php, we moeten onderscheid maken in het aanroepen van de stylesheet (wat gebeurt in de ).

Hoe lossen we dit op:
In de wordt standaard maar 1 stylesheet ingeladen, namelijk css.php. Aan de hand van een doorgegeven GET variabele bepalen we welke extra stylesheet we moeten includen in css.php.

In archief.php en index.php moeten we een variabele doorgeven, we gebruiken de filenaam:
archief.php en index.php

in top.php is nu de variabele $thiscssfile aanwezig en die geven we door aan css.php door middel van een GET variabele:
top.php


';
?>

we roepen nu in de dus aan:

We halen nu een php file aan als een css file, om aan de verwachtingen van de browser te voldoen, passen we de header aan in css.php

In css.php gaan we nu aan de hand van de GET variabele de juiste stylesheet inladen:
css.php

Nu hebben we dus een systeem wat bij de juiste pagina de juiste stylesheet filenaam inlaadt. We hebben echter nog niet de juiste styledirectory geselecteerd.

Mensen die net goed opgelet hebben, hebben in top.php de variabele $css_dir_nr zien staan. Deze variabele bevat, zoals de naam zegt, het directorynummer van de geselecteerde stylesheet. Maar hoe wordt deze variabele gevuld? Aan de hand van de keuze van de bezoeker natuurlijk.

Deze keuze kan op 3 niveaus doorgegeven worden:
1. mensen die via de style-kiezer net een nieuwe stylesheet geselecteerd hebben
2. mensen die eerder hebben gekozen en een cookie hebben
3. mensen die ingelogd zijn en die in hun preferences een voorkeur hebben ingesteld (variabele $aUserinfo[â€˜stylesheetidâ€™])

De stylekiezer
Stylenaam “1″ en “2″ zeggen niet veel, dus in de dropdown select box willen we zinnige namen kunnen geven aan de stylesheets.
Om de namen te koppelen aan de directory nummers gebruiken we een kleine mysql tabel:

CREATE TABLE `style` (
`styleid` int(11) NOT NULL AUTO_INCREMENT,
`name` varchar(50) DEFAULT NULL,
`active` tinyint(1) DEFAULT ’0′,
PRIMARY KEY (`styleid`)
) TYPE=MyISAM;

Om de te kiezen stylesheets in de drop down selectbox weer te geven gebruiken we de volgende functie:

';
		while ($a=mysql_fetch_assoc($r)){
			echo '';
		}
		echo '';
		echo '';
	}
}
?>

de laatste optie is optie 0: een random stylesheet. Het is een extratje wat waarschijnlijk niet gebruikt gaat worden, maar toch leuk voor de heb.

aan deze functie kun je een aantal dingen opmerken:
- we hebben een variabele $css_dir_nr nodig om hem te laten werken
- het gekozen style_dir_nr wordt voorgeselecteerd in de select box
- na een keuze van de gebruiker wordt de gekozen stylesheet doorgegeven als nummer in de url. Dus na het klikken in de style-kiezer wordt men doorverwezen naar bijvoorbeeld index.php?stylesheetid=1.
- de variabele $returnadress wordt gebruikt om de styleswitcher op verschillende pagina’s te kunnen weergeven en de gebruiker na keuze terug te laten keren naar deze specifieke pagina.

$css_dir_nr
De variabele $css_dir_nr is de door de user gekozen stylesheet, deze moet bekend zijn voordat de pagina geladen wordt en wordt gebruikt om
- in de stylesheet selector de huidige keuze te voorselecteren (zoals we net gezien hebben)
- de juiste stylesheet te laden (duh)

Voor het bepalen van het juiste directory nummer gebruiken we de volgende functie:

Beide hier besproken functies slaan we op in functions.php.

Actie
Om nu de zaak in actie te zien hoeven we eigenlijk maar 2 dingen te doen:
- verschillende stylesheets maken en deze in de bovenaan genoemde directorystructuur te zetten
- de mysql tabel te updaten met de aanwezige stylesheets (en ze hier ook benamen)

files
Hoe zien de files er nu uit na afloop.

index.php & archive.php

top.php



';
?>

Mysql met Php

admin — Wed, 18 May 2011 18:36:39 +0000

Inleiding

Mysql is handig voor berichten van een forum of gasten boek op te slaan of de van de gebruikers bij een leden systeem. De bases van php moet je wel kennen. Ik schrijf het hier doormiddel van een voorbeeld ( een gastenboek)

De volgende dingen bespreek ik hier:
- Verbinding maken
- Tabel maken.
- Gegevens uit de tabel halen.
- Gegevens uit de tabel veranderen.

Verbinding maken

Voor je begint met het werken met Mysql moet je altijd eerst een connectie met de database. Dan is hier het sript kun je de in de pagina verbinden.php zetten en alle pagina’s waar je met Mysql werkt include “verbinden.php”; zetten


$host = "localhost"; // de host van de DATABASE (meestal localhost).
$gebruikersnaam = "***"; // De gebruikersnaam van de DATABASE.
$wachtwoord = "****"; // Het wachtwoord van de DATABASE
 
$db = "*****"; // de DATABASE naam.
 
// en nu de verbinding maken.
 
mysql_connect($host,$gebruikersnaam,$wachtwoord);
mysql_select_db($db) OR die(mysql_error);
?>

Tabelen maken

In een tabel wordt alle informatie opgeslagen en is die makkelijk er uit de halen te verwijderen en de veranderen. Voor ik een voorbeeld geef eerst de meest gebruikte data types.

De data types:

Getallen:
TINYINT. getal tussen de -128 en 127 bevatten. Als je het. UNSIGNED maakt, dan is het een getal tussen de 0 en 255.
SMALLINT. getal van -32768 tot 32767. UNSIGNED is het 0 tot 65535.
MEDIUMINT. getal van -838860 tot 838860, UNSIGNED is dit 0 tot 16777215.
INT. getal van -2147483648 tot 2147483647 en UNSIGNED is het 0 tot 4294967295.
BIGINT. getal van -9223372036854775808 tot 9223372036854775807. En unsigned dus 0 tot 1844674407370955161
FLOAT. Kommagetal van 32 tekens
DOUBLE. Kommagetal van 64 tekens

Datum en tijd:
DATE. Geeft de tijd aan van 1000-01-01 00:00:00 tot 9999-12-31 23:59:59
TIMESTAMP. De tijd in seconden vanaf 1970-01-01 00:00:00 tot aan nu.
TIME. De tijd van -838:59:59 tot 838:59:59
YEAR. Dit kan in 2 of 4 tekens. Standaard is met 4 tekens. Dan is het van 1901 tot 2155 en 0000. In 2 tekens is het van 70 tot 69.

Strings:
CHAR. is een string met een vast aantal tekens, van 0 tot 255.
VARCHAR. (Variable Character). Je er strings in zetten met verschillend aantal karakters van 0 tot 255.
TinyBLOB en TinyTEXT. Een BLOB (binairy large object) of TEXT met een maximale lengte van 255 tekens
BLOB en TEXT. Een BLOB of TEXT met een maximale lengte van 65,535 tekens.
MEDIUMBLOB en MEDIUMTEXT. Een BLOB of TEXT met een maximale lengte van 16,777,215 tekens.
LONGBLOB en LONGTEXT. Een BLOB of TEXT met een maximale lengte van 4,294,967,295 tekens.
ENUM(‘value1′,’value2′,…). Een string object dat geen of 1 waarde kan hebben. De waarden moeten bij het maken van de tabel/kolom aangegeven worden, in het voorbeeldje
dus value1 of value2. Er is een maximum van 65,535 mogelijkheden.
SET(‘value1′,’value2′,…). Hetzelfde als ENUM alleen hier met maximaal 64 tekens.

Dit zijn zo wat de meest gebruikte data types.

DEFAULT. Hiermee geef je een standaard waarde aan.

Vb.

CREATE TABLE `gastenboek` (
`naam` VARCHAR( 10 ) DEFAULT ‘anoniem’ NOT NULL
);

AUTO_INCREMENT word er elke keer 1 bijgeteld zodat er elke keer een uniek getal komt gemaakt word.

Vb.

CREATE TABLE `gastenboek` (
`id` INT NOT NULL AUTO_INCREMENT ,
PRIMARY KEY ( `id` )
);

Primaire sleutel. Hiermee word het zoeken in de ze kolom versneld. (geeft aan dat hier het meeste op gezocht moet worden).

Vb.

CREATE TABLE `gastenboek` (
`id` INT NOT NULL AUTO_INCREMENT ,
PRIMARY KEY ( `id` )
);

Index. Wordt automatisch gesorteerd op de kolom die je index hebt gemaakt.

Vb.

CREATE TABLE `gastenboek` (
`naam` VARCHAR(25) NOT NULL ,
INDEX ( `naam` )
);

Unique. In de hele kolom mag maar 1 keer de zelfde waarde voorkomen

Vb.

CREATE TABLE `gastenboek` (
`naam` VARCHAR( 25 ) NOT NULL ,
UNIQUE (
`naam`
)
);

NOT NULL. Er moet iets worden ingevuld als er niets ingevuld hoeft te worden kies je NULL.

Vb.

CREATE TABLE `gastenboek` (
`naam` VARCHAR( 25 ) NOT NULL ,
UNIQUE (
`naam`
)
);

Unsigned. Er zijn alleen positieve getallen mogelijk

Vb.

CREATE TABLE `gastenboek` (
`id` INT UNSIGNED NOT NULL
);

Je kan ook het maximaal aantal tekens van een kolom maken door achter het data type het max. tekens te zetten.

Vb.

CREATE TABLE `gastenboek` (
`naam` VARCHAR( 25 ) NOT NULL ,
);

Tabel
en dan hier de voorbeeld tabel van een gastenboek

CREATE TABLE `gastenboek` (
id INT NOT NULL AUTO_INCREMENT PRIMARY KEY,
naam VARCHAR(50) NOT NULL,
bericht TEXT NOT NULL,
ip VARCHAR(20) NOT NULL
);

Dat was de tabel de kan je dan invoegen in je Mysql database management bijvoorbeeld phpmyadmin.

Gegevens uit tabel halen

het script:


// Verbinding maken !!!!!
 
$select = "SELECT * FROM gastenboek ORDER BY kolom DESC";
$query = mysql_query($select) OR die(mysql_error());
$aantal = mysql_num_rows();
 
if ($aantal =0)
    {
    echo "Er zij geen berichte";
    }
else
    {
    while ($lijst = mysql_fetch_array($query));
            {
             echo "Bericht id: $lijst->id
";
             echo "van: $lijst->naam
";
             echo "Bericht: 
$lijst->bericht

";
             }
    }
?>

* haalt alles uit de tabel maar kan je ook vervangen voor de kolomnaam bij meerdere kolommen zet je er komma tussen.

Vb.

001
002
003


$select = "SELECT id, naam, bericht FROM gastenboek ORDER BY kolom DESC";
?>

$aantal = mysql_num_rows(); telt het aantal gevonden rijen $aantal geeft dat het aantal rijen weer.

while ($lijst = mysql_fetch_array($query)); zorgt ervoor dat het gene tussen {} zo vaak word weergegevan als er gevonden kolomen zijn maar dan steeds met andere gegevens. Om een gegeven op te vragen typ je $lijst->kolomnaam vb. $lijst->naam. Voor maar een rij weer te geven gebruik je $lijst = mysql_fetch_array($query) dan word allen de eerst gevonden resultaat weergegeven

WHERE haalt de gegevens uit de database waar het aangegeven kolom het gegeven bevat.

Vb.

001
002
003


$select = "SELECT * FROM gastenboek WHERE naam='pietje' ORDER BY kolom DESC";
?>

Nu selecteert hij nog alleen de rijen waar de naam pietje is om nog een andere naam te selecteren kan je er achter plakken OR naam=’jantje’ je kan ook nog zeggen dat een andere kolom een speciale waarde moet hebben door er AND ip=’192.424.234′ achter te plakken dan kan je allen de berichten van de persoon met dat ip adres zien en pietje heet.

Om de gegevens in een bepaalde volgorde de plaatsen moet de het onderstaande achter WHERE kolom=’gegeven’ zetten.
- ORDER BY kolom DESC (voor volgorde op datum van kolom)
- ORDER BY kolom ASC (voor volgorde van alfabetische volgorde van kolom)

vb.

001
002
003


$select = "SELECT * FROM gastenboek WHERE naam='pietje' ORDER BY kolom DESC";
?>

Dat was gegevens er uit halen, lijkt me zo ook allemaal duidelijk.

Gegevens veranderen

hier gebruik ik niet helemaal het script voor het gastenboek anders zou het te groot worden (het is al 8 bladzijdes).


// vebinding maken !!!
 
$update = "UPDATE gastenboek SET bericht ='$nieuw_bericht' WHERE id ='$id'";
$query = mysql_query($update) OR die(mysql_error());
 
?>

$nieuw_bericht is de nieuwe waarde van bericht.
En dan word gedaan waar id $id is, $id moet is dan meestal een getal.

SET verandert de inhoud van de kolom naar gegeven, je kan meerdere gegevens veranderen door er na AND naam=’$nieuwe_naam’ aan toe te voegen.

Hier moet je wel WHERE gebruiken anders zou hij alles rijen veranderen.