Únos resetu hesel na Lítačce

Michal Špaček publikoval na svých stránkách článek Únos resetu hesel na Lítačce věnovaný dnes již opravené chybě v PID Lítačka.

14.9.2018 16:33 | Ladislav Hagara | Zajímavý článek

Komentáře

[P_V]

Co je to za nápad, dělat na klientovi to, co patří na server. Vyrábět na klientovi template mailu. To není jen o injection, to je vůbec o nepochopení toho, co se kde má dělat.

[Salamek]

To jsou ty dnesni JavaScrip sracky, cela app se namatla v javascriptu treba v angular, vue, etc. a se serverem se komunikuje jen skrze omezene API za pomoci AJAXu nebo WebSocket
Jako neni to uplne spatny napad pro nove super cool live blikatka, problem je ze hromada tehle JavaScript matlalu nema vubec poneti co dela...
Budouci male "admin" Apps planuji tak asi uz take psat, clovek se tomu proste nevyhne a zakaznikum se uz nelibi redirecty/refreshe pri POST/GET a nejakemu tomu kusu JS se uz neda stejne vyhnout, tak to v tom muzu udelat rovnou cele...

[Ehm]

nejakemu tomu kusu JS se uz neda stejne vyhnout, tak to v tom muzu udelat rovnou cele...

Přesně takovou úvahou jsem se dostal k Reactu. Vůbec se mi ten JS svět nelíbí, toolchain je strašlivý, miliarda potřebných balíků vzniká a zaniká podle počasí, klient stahuje zbytečně moc dat, ale svět jde bohužel tímto směrem, tak co se dá dělat. Kdo zaváhá, nežere.

[Nic]

A tohle je přesně ten přístup, který je špatně už úplně a kterým se ty sra*ky rozšuřují dál. Výmluva "Klient platí za sra*ky" je tudíž naprosto neobhajitelná, protože on samozřejmě musí, když to všichni takhle blbě rozšiřují a je to pak všude. Původ je u těch, kdo tvoří! Když je něco špatné, tak se to jednoduše nepoužije ať si každý kecá co chce, protože tak je to správné provést principiálně. Že na to většina nemá koule je věc jiná, ale je to jen jejich vlastní neschopnost (s klientem správně komunikovat) a nevykroutí se z toho, ať plkají co chtějí.

[Ehm]

Jenže ne vždy jsi originální tvůrce systému a jediný kontributor, že? Až ti unikne možnost se na něčem podílet, protože ty technologie nemáš kvůli odporu zmáknuté a jediným tvým příspěvkem by bylo celé to přepsat "tak jak se mi to líbí", tak pochopíš.

[Nic]

1. Je rozdíl mezi "technologií" a technologií
2. Je rozdíl mezi "Jak se mi to líbí" a "Principiálně správně"

Dokud tyto pojmy budete zaměňovat, nikdy z vás dobrý programátor nebude - ostatně jak jsem již psal, přístup "Dělám ho*na, protože všichni ostatní dělají ho*na" je neobhajitelný, protože je to bohapusté zbavování se odpovědnosti.

[Ehm]

Já už dobrý programátor jsem (existuje-li taková objektivní metrika), ale díky za starost Ideály jsou skvělá věc, taky jich mám plnou kapsu, skurečnost je trochu jiná než si představuješ.

[Nic]

Čemu přesně nerozumíš na pojmu "neobhajitelné"? Tu zodpovědnost za své činy prostě máš ať se ti to líbí nebo ne a můžeš plácat co chceš, nevykecáš se z toho - ale to že se o to snažíš je taky informace, takže asi moc dobrý programátor nebudeš když nechápeš ani základní podstatu dění kolem tebe. Skutečnost spolutvoříš, takže je přesně taková, jakou ji svým dílem vytvoříš. S ideály to nemá společného nic, tohle je realita všedního dne.

[Ehm]

“Neobhajitelné” a “principiálně správně" jsou nudná dogmata, z toho už jsem naštěstí dávno vyrostl. Máš prostě nějaký názor, big whoop, kdo nemá?

[Nic]

Aha… v takovém případě mám pro tebe jednu novinu: To jsi nevyrostl, ale klesnul. Až vyrosteš (pokud někdy), pak poznáš rozdíl mezi Podstatou a názorem - ale taky se může stát, že tě život donutí uvědomit si ten rozdíl na vlastní kůži.

[Ehm]

Hlavně nám z toho vysokého koníka nespadni

[Nic]

O mě se bát nemusíš, pracuji ve tvém zájmu, i když to zatím moc nechápeš. Otázka je ta, jakou cestu si k pochopení vybereš, ovšem to už je jen na tobě a ovlivnit to nemůžu. Dveře ti byly ukázány a vše podstatné bylo řečeno, takže Ti jen přeji ti aby lekce pak nebyla moc bolestivá, víc už pro tebe udělat nemůžu.

[magor]

Netrpíš něčím v hlavě?

[Xerces]

Tak to asi většina z nás. Jakou má ta otázka smysl?

[Max]

Jo, u nás teď kluci z vývoje objevili WebSocket, když to uviděli ostatní, zjistili, že existuje Node.js a Socket.IO a už mám požadavky na rozjetí testovacích serverů.
Zdar Max

[Peter Golis]

A nebol by k dispozícii web server v JS?

[Salamek]

Wow, to teda brzo... Ja v tom mel napsany chat tak pred 5> roky... a od te doby pouzivam kde to dava smysl (ale s python nebo QT backendem). Ale furt tu a tam potkavam kiosk aplikace v browseru kde jde kazdych 5s videt refresh stranky... (treba zobrazeni nachystanych objednavek v ts-bohemia kde na to maji na polici cely PC, se mi chce vzdycky blejt kdyz to vidim)

[Max]

Mno, nejdříve objevili Websocket v IIS, tak po mně chtěli, abych to zprovoznil. Mezitím jeden zjistil, že Websocket lze použít s Node.js a až potom zjistili, co Node.js je a jak tak nějak funguje atd. Každopádně jedni vyvíjejí v C# pro IIS, další chce Node.js se Socket.IO.
Zdar Max

[Salamek]

Dotlac je do node.js se socket.io... dava to vetsi smysl nez IIS, a hlavne tak to bylo puvodne "mysleno" (vsechny examples etc jsou kolem node.js). A hlavne nepotrebujes proprietarni server a pustis to kdekoliv.

[Max]

U nás se vyvíjí v C# nad IIS. Používají tedy C# + IIS + pro práci s webscoket se používá OSS framework SignalR (Pro ASP, od MS).
Realtime tlačení dat ke klientovi pak funguje takto :

• na db je nastaveno change notify
• na IIS je nastavený komunikační port pro oracle change notify
• dojde ke změně v db, ta pushe změnu na klienta (na IIS aplikaci)
• IIS aplikace pushne změnu ke klientovi (uživatel s PC/tabletem) přes webscoket

Zdar Max

[Roman]

Kdyz vidim web v ISS, rikam si, ze za tim sou amateri, co skocili microsoftu na spek, nebo chudaci delnici, za ktere to vyjednal jejich manager. Prece kdyz ma Excel ve Windows, musi byt i web server z Microsoftu....

[Nic]

Vy máte přístup na Mezinárodní vesmírnou stanici?

[Peter Golis]

Akú medzinárodnú stanicu, ISS? To sa potom nesmiete diviť že nenávidíte celý svet, keď je pre vás outsourcing nedosiahnuteľný jak méta v oblakoch.

[Nic]

A stojí mi vůbec za to věnovat odpovědi ten čas? Víte, co je za potíž? Vy nejste jen sociopat, vy jste ještě navíc nudný sociopat, co si tedy mám z té virtuální interakce s Vámi odnést za hodnotu, aby mi to za to stálo?

[Peter Golis]

Odsúdenie od anonyma má rovnakú váhu, ako dopisy vášho otca na MNV.

[Max]

Pokud se někdo rozhodne pro C#, tak je IIS jediná možnost :). Teda, dnes už by se dalo stavět na různých core edicích, co jsou multiplatformní, ale zatím v sobě nemají vše a jsou zaměřeny na něco trochu jiného.
Zdar Max