Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Создатели CouchDB и SQLite представили UnQL, аналог SQL для ..., opennews (??), 30-Июл-11, (0) [смотреть все] Типа чтобы вместо SQL иньекций были UnQL иньекции Вообще-то главные плюсы nosql, Аноним (-), 12:14 , 30-Июл-11, (1) –5 // injection это косяк языков работающих с СУБД, но не самих СУБД Запретить в драй, VoDA (ok), 12:18 , 30-Июл-11, (2) –2 // В драйвере PHP ага, хорошо сказал, Онаним (?), 16:58 , 30-Июл-11, (16) +1 Попробуйте допустить такой косяк в базе ключ-значение Хоть на пыхпыхе хоть н, Аноним (-), 17:26 , 30-Июл-11, (18) +1 // Там, где есть WHERE , всегда можно вставить OR своё условие , Etch (?), 19:27 , 30-Июл-11, (44) +1 не k-v storage единым жив NoSQL, шо (?), 15:12 , 03-Авг-11, (85) +1 Откройте для себя mysqli Используем prepare и bind_param и SQL-injections нам н, FSA (??), 18:40 , 30-Июл-11, (36) // А использовать хранимые процедурки и к ним обращаться - не проще ли И не эффект, DeadLoco (ok), 20:22 , 30-Июл-11, (53) –1 Вообще то prepared statements и stored procedures - это как бы ортогональные дру, klalafuda (?), 21:32 , 30-Июл-11, (58) +2 этого риска нет в любом случае, если у программиста руки не из Ж растуткаждый ра, Xasd (ok), 12:59 , 30-Июл-11, (4) // Он всегда есть, потому что параметры передаются вместе с самим запросом, юзер на, Аноним (-), 17:42 , 30-Июл-11, (23)   // Если Вы не знаете, что такое границы , их проверка и подготовка значений - не д, Aleks Revo (?), 21:36 , 31-Июл-11, (80)   Автоматизация костылестроения и тюнинг костылей Шедеврально А в базах ключ-зна, Аноним (-), 19:33 , 04-Авг-11, (86)   Признаюсь, я никогди не работал с не SQL СУБД, поэтому мне сложно судить нужен л, Анон (?), 13:05 , 30-Июл-11, (6) // а NoSQL обычно не реляционные опаньки , anonymous (??), 14:19 , 30-Июл-11, (12) Да чего уж там, давайте допустим что по другому работать с базами вообще нельзя , Аноним (-), 17:44 , 30-Июл-11, (24) // В 20 Относительно CouchDb mapreduce слив в 2000 раз на сложных запросах , Аноним (-), 18:07 , 30-Июл-11, (32) +1 мда похапэ на марше вообще-то, 171 главные плюсы NoSQL 187 совсем не в это, anonymous (??), 14:18 , 30-Июл-11, (11) // Самый кошерный nosql - базы типа ключ-значение Убойно быстро И не хакабельно п, Аноним (-), 17:48 , 30-Июл-11, (25) +2 // 1 Умные люди стоят денег, а их не так много, и людей и денег 2 С усложнением с, Alien (??), 18:00 , 30-Июл-11, (30) +3 Ну так нормальный человек стремится поумнеть Зачем же деградантствовать и полаг, Аноним (-), 19:41 , 04-Авг-11, (87) CO2 вообще уже давно мало кого волнуют В корпоративном мире уже давно царствует, FSA (??), 18:45 , 30-Июл-11, (38) ну, то есть, лишь бы работало и писалось как можно быстрее , anonymous (??), 18:48 , 30-Июл-11, (40) Так то от скудоумия Планета у нас одна Другой - нет Засрем - вымрем как мамон, Аноним (-), 19:42 , 04-Авг-11, (88) –1 интересно как оно все тормозит если есть документооборот с кучей фирм и каждая, Аноним (-), 12:46 , 30-Июл-11, (3) А какой практический смысл введения UnQL , Vitold S (?), 13:05 , 30-Июл-11, (5) // Хотя в принципе наверное глобальный UPDATE или LEFT JOIN коллекций сделать на ст, Vitold S (?), 13:06 , 30-Июл-11, (7) привлечение большего количества обезьян , anonymous (??), 14:20 , 30-Июл-11, (13) переносимость приложений между NoSQL БД, плюс быстрее народ будет въезжать как р, VoDA (ok), 17:18 , 30-Июл-11, (17) // Да, специально обученные обезьяны которые еле освоили синтаксис для даунов приду, Аноним (-), 17:50 , 30-Июл-11, (27) –2 // Чудаки хватит уже недостатки PHP выдавать за общие или PHP считать единственн, VoDA (ok), 12:12 , 31-Июл-11, (69) –2 Да вы сударь врете Вот выдержка из гайда самого популярного java-ORM фреймворка, Аноним (-), 18:45 , 31-Июл-11, (75) +1 В каком месте я вообще хоть слово про пхп сказал У вас какие-то личные счеты к , Аноним (-), 19:44 , 04-Авг-11, (89) А вы пробовали делать выборки данных для какой-нибудь NoSQL Вот пример как выгл, Pavel Drobushevich (?), 12:47 , 03-Авг-11, (84) Интересно, когда они для couchdb это реализуют , Аноним (-), 13:11 , 30-Июл-11, (8) UnQL 8212 это SQL для NoSQL, только без SQL , gegMOPO4 (ok), 13:15 , 30-Июл-11, (9) +5 // Next step NoUnQL , Captain Beefheart (?), 13:22 , 31-Июл-11, (71) +1 // А потом UnUnSQL А на какой итерации наступает stack overflow , Аноним (-), 19:45 , 04-Авг-11, (90) потом добавят реляционность, потом жёсткие схемы данных, потом 8230 wait oh, , anonymous (??), 14:15 , 30-Июл-11, (10) +6 // Причём берут из реляционных БД худшие черты Это надо же - SQL взять за образец , Crazy Alex (ok), 17:38 , 30-Июл-11, (21) –1 // А что надо было брать за образец , DeadLoco (ok), 20:24 , 30-Июл-11, (54) +1 // Tutorial Industrial D, all_glory_to_the_hypnotoad (ok), 23:52 , 30-Июл-11, (59) nosql is a jokeкакая разница что в качестве запросов - sql или жабаскрипт , Пиу (?), 16:15 , 30-Июл-11, (14) // NoSQL сами по себе не оперируют ява-скриптом А из какого языка приедет запрос к , Аноним (-), 17:54 , 30-Июл-11, (29) // Смотря какие CouchDB как раз оперирует Все донные хранятся в json Все вычислен, Аноним (-), 18:15 , 30-Июл-11, (33) на каждом шагу - это такая гипербола, литературный оборот, да и вообще эскейпи, Пиу (?), 19:03 , 30-Июл-11, (42) // Ты это скажи программистам например vBulletin в котором очередной раз обнаружили, Аноним (-), 10:27 , 31-Июл-11, (67) Эскейпинг не нужен - нужен адекватный код работы с СУБД , VoDA (ok), 12:15 , 31-Июл-11, (70) По аналогии, можно сначала специально сломать вам ногу а потом рассказать что ко, Аноним (-), 19:47 , 04-Авг-11, (91) А это не вы случайно для Сони сайты писали , Аноним (-), 18:04 , 30-Июл-11, (31) // а у вас подробности взлома, сэр , Пиу (?), 18:59 , 30-Июл-11, (41) // По данным, озвученным на BlackHat, с помощью SQL injection за год взламывается б, Аноним (-), 10:19 , 31-Июл-11, (65) Ссылка побилась http goo gl H0U9h, Аноним (-), 10:21 , 31-Июл-11, (66) Какая редчайшая чушь 1 Реляционные базы, будучи построены на одной и той же т, Crazy Alex (ok), 17:37 , 30-Июл-11, (19) +2 // Нет никаких проблем в парсинге и генерации SQL, есть только проблемы его интерпр, all_glory_to_the_hypnotoad (ok), 19:42 , 30-Июл-11, (45) // и тогда всё ВНИЗАПНА перестаёт работать , anonymous (??), 19:48 , 30-Июл-11, (47) +1 // Сюрприз - вменяемый ДБА правит так, что SQL-код начинает работать и работать быс, Аноним (-), 20:10 , 30-Июл-11, (51) В моей практике удавалось путем переписывания запросов сократить время выполнени, DeadLoco (ok), 20:40 , 30-Июл-11, (57) из той же серии кривых ручек года четыре назад приходило несколько клиентов, с , Аноним (-), 06:42 , 31-Июл-11, (63) вменяемых DBA очень мало, увы а если DBA пригласили уже после того, как набыд, anonymous (??), 19:06 , 31-Июл-11, (77) +1 Сюрприз базу key-value до уровня скуля затормозить - надо сиииииииильно постара, Аноним (-), 19:49 , 04-Авг-11, (92) а при чем здесь SQL вы сравниваете BTREE с Hash-таблицей , lll (??), 12:57 , 05-Дек-17, (95) Основная проблема в генерации SQL - то, что в нём конструкции не могут идти в пр, Crazy Alex (??), 02:07 , 31-Июл-11, (60) // Нет никаких проблем то, чо нагенерила софтина, нормализовать в случае надобности, Crazy Alex (??), 02:08 , 31-Июл-11, (61) Просто это операция типа конкатенации строк Ну так ни к какому языку такого тип, all_glory_to_the_hypnotoad (ok), 09:52 , 31-Июл-11, (64) если бы можно было пихать кучу where и прочих в произвольном порядке, а парзер и, anonymous (??), 19:09 , 31-Июл-11, (78) SELECT FROM WHERE , all_glory_to_the_hypnotoad (ok), 21:43 , 31-Июл-11, (81) На третьем вложении оракля обычно перестает оптимизировать запрос целиком Обычн, Прохожий старый анонимус (?), 17:35 , 01-Авг-11, (82) это уже проблемы реализаций, а не языка SQL Вероятность запутаться оптимизатору, all_glory_to_the_hypnotoad (ok), 00:01 , 02-Авг-11, (83) опрос почему НЕ нравится sql меня например он всем устраивает, на скорость он , пвваы (?), 20:08 , 30-Июл-11, (50) // Он не нравится потому, что подавляющее большинство большего, чем SELECT FROM D, Аноним (-), 20:10 , 30-Июл-11, (52) +1 // Еще он не нравится потому, что подавляющее большинство мыслит таблицы в терминах, DeadLoco (ok), 20:31 , 30-Июл-11, (55) –1 // И конечно же любой теоретик в мозгу сможет трансформировать запрос в дисковые оп, Аноним (-), 00:11 , 11-Авг-11, (93) Вы имели в виду SQL или реляционные базы SQL - язык достаточно уродский - как я, Crazy Alex (??), 02:16 , 31-Июл-11, (62) // Сразу в стандарт ничего не закладывают, сначала идут реализации и потом стандарт, all_glory_to_the_hypnotoad (ok), 10:55 , 31-Июл-11, (68) И чем же оно кардинально отличается от SQL SELECT FROM WHERE UPDATE , Аноним (-), 20:25 , 31-Июл-11, (79) 1,3,5,8,9,10,14,19,50,79

Сообщения

[Сортировка по времени | RSS]

	23. "Создатели CouchDB и SQLite представили UnQL, аналог SQL для ..."	+/–
	Сообщение от Аноним (-), 30-Июл-11, 17:42
	> этого риска нет в любом случае, если у программиста руки не из Ж растут Он всегда есть, потому что параметры передаются вместе с самим запросом, юзер на них может воздействовать, а соревнование кто кого перехитрит и обойдет на повороте (юзер программера или программер юзера) - практически бесконечное. > -- он ЧЁТКО пониает границы за которые могут выходить "A" "B" "C" ... При чем тут вообще границы? Проблема скуля в том что он часто работает с внешними не доверяемыми  данными. При том он не делает особых различий между операцией и данными для нее, и позволяет несколько операций в одном запросе. Поэтому без спецмер со стороны программера select из таблицы пользователей легко превращается в например ее дроп или произвольный вызов функционала БД, путем указания имени юзера в стиле того комикса про "little Jonny the tables we call him" ;). Понятно что можно програмера построить, заставить проверять что там ему юзер подсунул и прочая. Тут начинается густое костылирование всякими эскейпами (которые порой мешают жить в легитимных случаях и сажают скорость работы) и соревнование - нащупает ли хакер слабину или нет. > -- ДОЛЖНА БЫТЬ ПЕРЕДАНА В СООТВЕТСТВУЮЩЕМ ВИДЕ, А НЕ ПУТЁМ ПРОСТОЙ > ПОДСТАНОВКИ" В key-value базу можно и путем простой подстановки пхать. Во всяком случае, это не приведет к таким разрушительным последствиям как в скуле. > # p.s.: я НЕ имею ввиду что программисту нужно *вручную* каждый раз > формировать "A + B + C".. но понимать как оно формируется > -- он просто обязан В случае скуля приходится именно вручную костылить все что может вводиться юзером жесточайшими эскейпами. Совсем не ускоряющими операции, выносящими мозг временами и в результате - скуль-иньекции давно стали привычным классом дыр. А попробуйте в nosql типа ключ-значение чего-то заиньектить вообще? :)
	Ответить | Правка | Наверх | Cообщить модератору

	80. "Создатели CouchDB и SQLite представили UnQL, аналог SQL для ..."	+/–
	Сообщение от Aleks Revo (?), 31-Июл-11, 21:36
	Если Вы не знаете, что такое "границы", их проверка и подготовка значений - не делайте голословных заявлений о рисках ;-) В случае скуля не приходится ровным счётом ничего "вручную костылить". Начиная от prepared statements, реализуемых драйвером автоматически, заканчивая соответствующими escape-функциями, позволяющими программисту тонко контролировать процесс. Если у Вас база получает непроверенные данные - это таки Ваши проблемы, а не проблемы базы. Если программера нужно "строить" чтобы он выполнял свою работу, то не пошёл ли такой программер лесом в известном направлении? > В key-value базу можно и путем простой подстановки пхать. Интересно увидеть пример такой простой подстановки, если типичный интерфейс передачи параметров подобен prepareStatement.
	Ответить | Правка | Наверх | Cообщить модератору

	86. "Создатели CouchDB и SQLite представили UnQL, аналог SQL для ..."	+/–
	Сообщение от Аноним (-), 04-Авг-11, 19:33
	> В случае скуля не приходится ровным счётом ничего "вручную костылить". Начиная от > prepared statements, реализуемых драйвером автоматически, заканчивая соответствующими > escape-функциями, позволяющими программисту тонко контролировать процесс. Автоматизация костылестроения и тюнинг костылей. Шедеврально. А в базах ключ-значение в выражении вида value = get(key) вообще облажаться негде. Юзер может пхать как key все что хочет даже. Но это мало ему поможет. И не надо никакого эскейпинга, prepare statement и прочих костылей. Можно влобешник имя пользователя отдать как key без особых рисков. Стоит ли говорить что базы key-value сами по себе просто убойно быстрые, да еще и дополнительно тормозить эскейпингами и prepare statements не надо.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема