nicht angemeldet
Hi,
»»[...] das das Hauptproblem darin besteht, jeden Mist zuzulassen und dann rauszusieben, was man _nicht_ haben möchte. Das ist verkehrtherum.
sehe und handhabe ich schon lange so. Ist eigentlich auch recht einfach umzusetzen: Ich transportiere die Information über die Variablen im Variablen Namen: z.B.
name="int_10_formularfeld" oder
name="str_255_test" oder
name="txt_comment".
Wenn das beim Client liegt, kann es da auch verändert werden. Ich halte dieses Vorgehen -- wenn so implementiert ist, wie ich das verstanden habe -- für problematisch.
für kleine Projekte ist das ganze natürlich nicht nötig, da kann man das auch für alle Variablen per Hand festlegen.
Würde ich vorziehen.
der trick daran ist eigentlich das die variable auch im program per $hash{'int_10_formularfeld'} angesprochen werden muss, das heisst die sache lässt sich nicht umgehen, wenn jemand jetzt z.b. einfach int_25_formularfeld als name schickt, hat das keine auswirkung (weil die variable nirgendwo benutzt wird).
Na gut, dann geht's so halbwegs, wenn man von perfekter Implementation ausgeht.
natürlich fordert das auch disziplin vom programmierer.
Das ist nicht unbedingt eine leicht einzuhaltende Voraussetzung ;-)
Das Ganze habe ich noch auf "trust" klassen verteilt, also z.b. darf "getrusteter" user andere zeichenklassen benutzen als ein als "untrusted" eingestufter.
Dafür müßte ich wohl erst den Code sehen, um zu verstehen warum Du Dir ein eigenes Rechtesystem zusammengebastelt hast.
so short
Christoph Zurnieden