scinix

'Profesjonalizm'

2006-09-18 20:10:27 Edytuj

Tak się akurat złożyło, że kilka dni temu przeglądałem pewną stronę, która nie wzbudziła we mnie zbyt dużej sympatii. Miałem ochotę wyżyć się na niej, więc z ciekawości zagłębiłem się w kod w poszukiwaniu oznak spartolonej webmasterskiej roboty. Na pierwszy ogień poszedł formularz kontaktowy i... bingo. To naprawdę smutne, ale ktoś użył do przekazania docelowego adresu email ukrytego pola formularza. Po co - to przekracza jak zwykle moje pojęcie, ale nie jest to ani pierwszy, ani ostatni raz, gdy widzę taki popis.

HTMLowy formularz jest nim tylko po stronie przeglądarki. To ona wyświetla (lub nie) zdefiniowane przez twórcę strony pola, umożliwia podanie wartości (dowolnych lub spełniających pewne kryterium) oraz zajmuje się przesłaniem go do serwera. Problem w tym, że myślenie o aplikacji sieciowej jako o czymś, co działa tylko z przeglądarką jest błędem tragicznym. To, co jest przesyłane do serwera formularzem już nie jest - to odpowiednio sformatowany ciąg bajtów i nic nie przeszkadza, by umieścić w nim dowolnie wybrane wartości. I tak wszystkie ograniczenia wymuszane po stronie przeglądarki można spokojnie zignorować, przekazując aplikacji dane, które nie spełniają poczynionych przez niedouczonego programistę założeń. Co z tego, że pole formularza jest "ukryte"?

Oczywiście autor strony otrzymał ode mnie email z powiadomieniem o tym, jakiego bubla popełnił i na czym polega jego błąd. Dla hecy wysłałem mu go ze strony pewnej firmy spedycyjnej jego autorstwa (i z adresu tejże firmy). Śmiesznie. A mimo wszystko nadal robi mi się niedobrze, gdy patrzę na obietnice profesjonalizmu i najwyższego standardu, które widnieją na jego firmowej witrynie...

Notka dodana do: bezpieczeństwo .