CLASE NÚMERO 7
1. No cierre las etiquetas PHP
Una gran cantidad de desarrolladores cierran la etiqueta PHP, tal como el siguiente ejemplo:
<?php
1 class TuClase{
2
3 public function TuFuncion(){
4
5 //Algo debe de hacer, no?
6
7 }
8 }
9
?>
El problema con esto es que puede introducir caracteres de espacio o de nueva línea en blanco
si el desarrollador no tiene cuidado. Esto puede causar dolores de cabeza más adelante,
cuando las cabeceras son interrumpidas o espacios en blanco aparecen inexplicablemente
en la salida.
Ok, así que ¿qué se debe hacer?
Esto es perfectamente aceptable:
<?php
1 class TuClase{
2
public function TuFuncion(){
3
//Algo debe de hacer, no?
4
}
5 }
6
7
?>
Para ser honesto, la única vez que realmente debes cerrar las etiquetas PHP es cuando
estás mezclando PHP con HTML:
1 <h1><?php echo $title; ?></h1>
2 <p><?php echo $description; ?></p>
2. No utilice las funciones mysql_*.
A partir de PHP 5.5, las funciones mysql se han desaprobado oficialmente. Según el sitio
web oficial de PHP, la extensión por defecto de MySQL se eliminará por completo en el futuro.
Si eso no te persuade para encontrar una alternativa, entonces deberías considerar también
el hecho de que carece de soporte a una serie de características de MySQL. Lo más
destacado de las nuevas funciones son:
– Declaraciones preparadas.
– Transacciones.
– Procedimientos almacenados.
– Consultas asíncronas.
– Sentencias múltiples.
El hecho es que esta extensión casi obsoleta fue desarrollada para la versión MySQL 3.23.
Desde entonces, muy poco en realidad se ha añadido en el camino a las características.
OK, así que lo puedo usar en su lugar?
Dos buenas alternativas son PDO y MySQLi. Personalmente, prefiero usar PDO, ya que proporciona
una capa de abstracción de acceso a datos, lo que básicamente significa que puedes utilizar las
mismas funciones para acceder a otras bases de datos, así (PostgreSQL, SQLite, etc).
3. Protéjase contra XSS!
XSS (también conocido como Cross-site scripting) es una vulnerabilidad que permite a los
atacantes ejecutar código desde el lado del cliente en tu sitio web. Por ejemplo: Si entro algo de
JavaScript en un formulario de comentarios y te muestro ese comentario sin limpiarlo, el código
en cuestión se ejecutará cada vez que un usuario carga la página. Para defenderse de este tipo
de vulnerabilidad, debe desinfectar los datos enviados por el usuario antes de que se muestre en
la página. Para ello, puede utilizar la función htmlspecialchars:
<?php
1 echo htmlspecialchars($userComment, ENT_QUOTES, 'utf-8');
2 Esta función convierte los caracteres especiales en sus entidades HTML correspondientes,
por lo que son seguros para su visualización
4. No sobre comentar el código
La documentación apropiada del código en definitiva es una buena práctica, pero ¿es realmente
necesario comentar cada línea? Probablemente no. Comentar las secciones complicadas de su
código fuente para que cuando vuelva a visitarlo recordará rápidamente lo que está pasando,
pero no comentamos las cosas simples, como su código de conexión MySQL.
La manera correcta:
<?php
1 /* Conexion a la base de datos */
2
3 $hostname = "localhost";
4 $username = "";
5 $password = "";
6 $dbname = "";
7
8 $connectionStatus = mysql_connect($hostname, $username, $password) or die(mysql_error());
9
10 $selectionStatus = mysql_select_db($dbname) or die(mysql_error());
11
12 /* Fin conexion a la base de datos */
13
?>
5. Conozca el concepto DRY.
El paradigma DRY – Don’t Repeat Yourself el algo que sin duda debes de aplicar cuando comiences
a codear. Debes evitar una situación en la que estás repitiendo exactamente el mismo código.
Esto se puede hacer a través de el uso de un simple include, funciones y clases. Por ejemplo,
si tengo un pedazo de código que calcula la edad de una persona, puedo crear una función de
este modo:
<?php
1 function CalcularEdad($dateOfBirth){
2
3 $birthday = new DateTime($dateOfBirth);
4 $interval = $birthday->diff(new DateTime);
5 return $interval->y;
6 }
7
?>
Ahora, cada vez que quiero para calcular la edad de un usuario, sólo tengo que llamar a la función
anterior; en lugar de repetir la misma lógica. Esto es ventajoso porque:
– Mi código base es menor como consecuencia.
– Si tengo que modificar la lógica, puedo editar la función de CalcularEdad.
6. Contraseñas de usuario Seguras!
Las contraseñas de usuario deben hash, no se almacenan en formato de texto o base codificada
(en serio, de hecho he encontrado esto antes). Una función hash es una calle de sentido único.
Una vez que la contraseña en texto plano se ha transmitido a través de él, no hay manera de
recuperarlo (de ahí la razón por la que utilizamos el término “hash”, no “cifrado”).
Si está usando PHP> = 5.5, debe utilizar el password_hash función. Si está atrapado en una
versión anterior, entonces usted puede hacer uso de la librería password_compat en Github.
7. Utiliza sentencias preparadas!
Una de las principales ventajas de usar PDO es que permite que puedas hacer uso de
sentencias preparadas. En el pasado, los desarrolladores de PHP se vieron obligados a
usar unciones como mysql_real_escape_string así:
<?php
1 $username = mysql_real_escape_string($username, $connection);
2 $result = mysql_query("SELECT name FROM users WHERE username = '$username'");
3
?>
Esta función escapa caracteres especiales que puedan causar problemas con tu sentencia SQL.
Es decir, ayuda a proteger contra la inyección SQL. Sin embargo, lo que no hará es a protegerse
de los ataques que no implican caracteres especiales como x00, n, r, , ‘, ” y x1a.
Afortunadamente, la inyección de SQL no es rival para comandos preparados. Con declaraciones
preparadas, la sentencia SQL se envía al servidor antes de que los datos, manteniendolos independientes
entre sí. Esto significa que la base de datos sabe lo que necesita para ejecutar correctamente,
antes de que cualquier carácter potencialmente peligrosos se envían a través de la comunicación.
Un ejemplo de la selección de filas con el objeto PDO:
<?php
1 //Preparamos la sentencia SQL. En esta etapa se va enviado al servidor
2 $stmt = $db->prepare("SELECT name FROM users WHERE username = :username");
3
4 //Enlazamos nuestros parámetros / datos.
5 $stmt->bindParam(':username', $username);
6
7 //Ejecutamos la sentencia.
8 $stmt->execute();
9
?>
Nota importante: Con la extensión PDO, tendrás que activar manualmente el uso de declaraciones
“naturales” preparadas. A los efectos de la portabilidad, esta extensión utiliza el emulado de
las declaraciones preparadas por defecto. Para desactivar comandos preparados emulados,
puede utilizar el siguiente código:
<?php
1 $pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
2
?>
8. “or die ()” tiene que morir …
Si has decidido ignorar por completo todas las ventajas del por que usar PDO, entonces creo
que es justo decir que es probable que estés manejando consultas poco practicas,
como por ejemplo:
<?php
1mysql_query($sql, $conn) or die(mysql_error($conn));
2
?>
El problema con el enfoque anterior es que no se puede detectar el error o registrarlo.
Tampoco se puede controlar si es o no se da salida a la pantalla. A los ojos de la función
de la matriz, un servidor de desarrollo y un servidor de producción, son exactamente la
misma cosa! No se puede controlar a través de los ajustes del .ini o un archivo de configuración
de todo el sitio.
Un mejor enfoque a este sería el uso de excepciones, simplemente porque pueden ser
capturados o manipulados:
<?php
1 $res = mysql_query($sql, $conn);
2 if($res === false){
3 throw new Exception(mysql_error($conn));
4 }
5
?>
La excepción anterior puede ser capturada con un bloque TRY CATCH o manejada con un
manejador de excepción personalizada. Esto te da mucho más control sobre cómo los
errores se manejan. Por supuesto, si se utiliza la extensión PDO, podrías tener los errores SQL
lanzando excepciones por defecto utilizando el siguiente atributo:
<?php
1 $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
2
?>
