Работа с паролями

Многие разработчики знают, что хранить пароль открытым текстом нельзя, но многие до сих пор считают безопасным использование для хеширования паролей md5 или sha1. Раньше упомянутых алгоритмов было достаточно, но современное оборудование позволяет подобрать эти хеши очень быстро, методом простого перебора.

Для того, чтобы обеспечить повышенную безопасность паролей ваших пользователей даже в худшем случае (ваше приложение взломано), нужно использовать алгоритм шифрования, устойчивый к атаке перебором. Лучший вариант в текущий момент bcrypt. В PHP вы можете использовать хеши bcrypt через функцию crypt. Yii обеспечивает две вспомогательные функции, которые упрощают использование функции crypt для генерации и проверки пароля.

При работе с cookie на странице сайта с помощью JavaScript иногда требуется не просто посмотреть их список (как это сделать подробно описано в → этой статье), а удалить одну cookie или все куки, которые принадлежат сайту. Удаление cookie из браузера происходит следующим образом: если время жизни cookie истекает (или её дата хранения), браузер автоматически удаляет такие куки. Тут приходится положится на разработчиков браузеров, что они правильно заложили данный механизм удаления кук. Если присвоить нулевое значение хранящемуся параметру cookie, то это, скорее всего, не удалит куку из браузера, а всего лишь обнулит её значение.

Авторизация

Note: этот раздел находится на стадии разработки.

Авторизация — это процесс проверки того, что пользователь имеет достаточно прав, чтобы выполнить какие-то действия. Yii предоставляет два метода авторизации: фильтры контроля доступа (ACF) и контроль доступа на основе ролей (RBAC).

Российское законодательство постоянно меняется. В этой статье рассмотрим, как уберечь себя от карательных мер Роскомнадзора согласно ФЗ-152 «О персональных данных». Для выполнения всех предписаний закона вам нужно либо вообще отказаться от взаимодействия с пользователями сайта и не получать от них обратной связи, либо нанять юриста, который поставит ваш сайт на учёт в Роскомнадзоре и напишет юридически грамотные сопроводительные документы. После этого нужно нанять программиста, который дополнит функционал сайта, согласно требованиям Роскомнадзора или воспользоваться готовым решением, которое я помогу внедрить на ваш сайт. Именно о дополнительном функционале вашего сайта и пойдет речь ниже.

Всё ниже перечисленное публикуется в открытом доступе с целью ознакомления пользователей сайта (здесь и далее — сайт), находящегося по адресу https://mb4.ru а также любых других поддоменов на этом домене по любому протоколу, дающим доступ к просмотру содержимого неограниченному кругу лиц (далее — пользователи). Администрация сайта не удерживает пользователей и не препятствует тому, чтобы они никогда не пользовались сайтом в случае, если какие-то из заявленных требований не могут быть ими приняты.

Работа с клиентскими скриптами

Современные веб-приложения, помимо статических HTML-страниц, содержат JavaScript, который используется для изменения страницы в браузере путем манипулирования существующими элементами или загрузки нового контента используя AJAX.

До сих пор не понимаю, почему в Европе запретили использовать cookie без того, чтобы обязательно не уведомить об этом пользователя сайта. Пока никакой угрозы в этом не нахожу, — только сплошные удобства (и всё для того же пользователя сайта). Но информация о cookie хранится на компьютере пользователя, — что есть то есть. Ну и что такого, что её может прочитать программист на сервере, на котором расположен сайт, который посещает пользователь? Кроме cookie вообще можно достаточно много узнать об устройстве, которое используется для доступа к сайту. Это никого не пугает?.. Ну и хорошо! Кому интересно, что можно узнать о пользователе на сервере, поищите информацию о переменных окружения (чтобы зря не волноваться об утечке своих персональных данных или всё-таки начать переживать и перестать пользоваться интернетом).

Виджеты для данных

Yii предоставляет набор виджетов, которые могут быть использованы для отображения данных. В то время как виджет DetailView может быть использован для отображения данных по одной записи, то виджеты ListView и GridView могут быть использованы для показа данных в виде списка или таблицы с возможностью сортировки, фильтрации и разбивки данных постранично.

Ранее были рассмотрены два варианта того, как запретить копирование контекста с сайта: с помощью JavaScript (легко обходится отключением JS в браузере) и с помощью прозрачного блока CSS на весь экран, который перекрывает доступ до элементов страницы (легко обходится, удалением этого элемента со страницы с помощью инструментов разработчика браузера). В этой статье расскажу про ещё один способ того, как усложнить жизнь тем, кто ворует чужой контент с помощью CSS свойства user-select и на этом пожалуй остановлюсь. Нет идеальной защиты. На крайней случай, можно всегда нанять секретаршу, которая всё перепечатает (если конечно нет нормального сисадмина, разбирающегося в том, как работают сайты, в штате).