Unsichere Passwort-Hasches: Mit sowas landet man in der Zeitung

[m.]

Mahlzeit,

Au ja. Diese beliebten Verweise "gut getesteten Frameworks mit großer Community".

Sorry, hab vergessen, dass es ja zig Millionen blöde Leute gibt, die diese Frameworks einsetzen und zig tausende, die Sicherheitslücken beheben. Da ist etwas, das du alleine entwickelst und nur alleine testest, viel vertrauenserweckender, da du sicher mehr Fheler findest als tausend Programmierer zusammen

Wordpress ist auch "gut getestet" und hat eine wahrhaft riesige Community.

• Und ist zugleich das wohl meistgeknackte "CMS".

Wordpress ist veralteter, unbrauchbarer Codemüll. Dein Vergleich heisst für mich, dass su die Arbeit anderer generell ablehnst, aber die Systeme selbst nicht kennst.

Ich vertraue in wichtigen Sicherheitsfragen solchen Frameworks genau soweit, wie ich deren Quelltext vollständig gelesen und komplett verstanden(¹) habe. Hintergrund ist, dass eben diese Frameworks auch von Webseiten benutzt wurden, deren Benutzerdatenbanken geleakt wurden.

Ja, bestimmt bist du der grösste Spezialist in diesen Dingen und die Formen mit zig Programmierern, die mit genau diesen Dingen Geld verdienen, sind alles stümperhafte Idioten die besser Bäcker oder Strassenkehrer werden …

Das kann am Framework selbst liegen und an der fehlerhaften Implementation. Lag es an der Implementation, dann an der Dokumentation, also letztendlich doch am Framework bzw. dass es jemand verwendet hat, der es NICHT vollständig gelesen und komplett verstanden(¹) hat.

Na dann haben wir ja Glück, dass du so gut bist und nur fehlerfreien und absolut sicheren Code schreibst.

Da du die Funktionen password_* empfiehlst, hast du dann also auch den Quellcode von PHP zumindest bei diesen Funktionen vollständig gelesen und verstanden (und dazu natürlich auch die Libs dahinter und alles für jedes Betriebssystem bis hinunter zum Kernel) denn da könnte ja überall eine Implementierung fehlerhaft sein und du kannst dem ja sonst nicht vertrauen.

¹) Was es jedenfalls für mich regelmäßig einfacher macht, darauf zu verzichten und hundert Zeilen Vanilla-PHP zu schreiben.

Wer die Eingeweide von PHP so gut kennt, dass er genau weiss wie vorgegebene Funktionen arbeiten, hat meinen Respekt.

Wenn du natürlich diese Funktionen blind benutzt weil du ihnen vertraust, ist das ein typisches mit zweierlei Mass messen. Einer Firma mit Community vertraust du, einer anderen nicht.

Achja, sind ja sogar viele Communities denen du vertrauen musst um PHP, Apache, mysql/MariaDB, Linux (hier Liste unendlich weiterführen) zu nutzen aber einem PHP-Framework vertraust du nicht. Schon extrem paradox wie ich meine.