最近facebook 的XHP是出尽了风头,看看,到底是何尤物.
1. XHP到底做了什么:
看过新闻的人都知道,他主要是做了一件事情,在PHP中添加XML语法输出功能,可以输出的过程中检测xml语法,避免xss漏洞发生.
除此之外,他还添加了一个特殊的专门用来描述xml 结构的php语法(这个玩大了吧).
XML 语法的支持不必太多解释了,很多文章都有示例.
<?php
require_once("php-lib/init.php");//现在流传的文档都没有加上这句,为什么?遮羞而已!
echo <div>Hello {$_GET['name']}</div>;
这里div元素内有一部分动态内容,$_GET['name'],它将被当作xml编码输出:(调用:htmlspecialchars($_GET['name']))
xml DSL?其实,这没什么,只是在源代码解释之前对对源代码做一些代码替换的预处理,一种用来贴金的玩艺,给xhp增加一点神秘感。
2. 工作原理
xhp的工作原理就是在php解释前,对源代码做预处理(与常见的模板系统类似,但是xhp不作文件缓存),然后将转换后的php代码交给解释器执行。
比如上述简单的代码,将被翻译成:
<?php
require_once("php-lib/init.php");
echo new xhp_div(array(), array('Hello ',$_GET['name'],), __FILE__, 8);
上述时xml输出语法,此外,他还需要一个xml定义语法,比如上面的<div标签,其实对应的是一个类 xhp_div.
而这个类就定义在php-lib目录下的html.php中。只不过,他在定义的时候也借助预处理增加了一种新的定义语法。
xhp 基础类库中 div的定义:(/php-lib/html.php)
class :div extends :xhp:html-element {
category %flow;
children (pcdata | %flow)*;
protected $tagName = 'div';
}
这段代码在xhp的预处理阶段,将翻译成:
class xhp_div extends xhp_xhp__html_element{
protected function &__xhpCategoryDeclaration() {static $_ = array('flow' => 1);return $_;}
protected function &__xhpChildrenDeclaration() {static $_ = array(1, 5, array(5, array(0, 2, null),array(0, 4, 'flow'))); return $_;}
protected $tagName='div';
}
3. 安全
在所有可见材料里面,我们看到他最大的亮点就是安全,其实不然,xhp这点做的其实不咋样。
我随机测试了几个
lite 模板常见的基本功能。发现都有问题。
比如:
<?php
echo <div title="{$_GET['title']}">Hello {$_GET['name']}</div>;
错了,发现title{$_GET['title']}输出是php源码,把引号去掉(这也算懂XML?无语中)?
<?php
echo <div title={$_GET['title']}>Hello {$_GET['name']}</div>;
这下貌似正确了,可是我在title参数中传入一个: XSS" onmouseover="alert('xss bug')
这下可就鸡犬不宁了,最明显的xss漏洞都放过了,xhp可真够大方的。
此外,他的xml属性里面如果想传入静态和动态文本组合,哪貌似只能通过php写死。
4. 效率
这个就不揭人短了,够呛,而且,因为它是源码预处理的方式工作的,而且还不做文件缓存,所以,它对普通php程序也会有影响,所以开启xhp扩展后一定要和同时运用php加速器。
5. 容错
这个首先,从功能上看,它是把xml翻译成php对象处理,在验证上有先天优势,而且他也确实做了属性合法性检查。不过貌似他只对属性名称检查,对内容并没有作任何检查,否则也不会出现前面所说的安全问题。
此外:因为还不够成熟吧,一些没有问题的代码他也能帮你整出点问题来,举例
<b>jin</b> <i>dawei</i>
将被压缩为:
<b>jin</b><i>dawei</i>
有效的空白也会被无情的压缩掉。
6. 功能
功能上有多脆弱我就不想说了,源代码也就那么几行。
总结,xhp还远不成熟,虽然版本号已经达到
1.3.9,功能也还很糟糕,问题也很多很多,如果谁敢把它运用到产品中,我拜他为神!
不过还是要赞叹以下fb的开放的精神,一个不够成熟的项目也可以开放出来,这也许可以说明,他的开放并不是为了同行的喝彩,而是一个开放的心态。
分享到:
相关推荐
xhp-lib 是 XHP 的库。XHP 是一个 PHP 扩展,通过它,开发人员可以直接在 PHP 代码中内嵌 XML 文档片段,作为合法的 PHP 表达式。这样,PHP就成为一个更为严格的模板引擎,大大简化了实现可重用组件的工作。这个库...
XHP是一个PHP扩展,通过它,开发人员可以直接在PHP代码中内嵌XML文档片段,作为合法的PHP表达式。这样,PHP就成为一个更为严格的模板引擎,大大简化了实现可重用组件的工作。
深度学习框架搭建,python,深度学习,人工智能
一个基于numpy写的深度学习小框架,可以帮助深入了解深度学习的原理.
相同模具系列(P65XHP)的应该差不多都可以拿来改改直接用上 所有驱动都在EFI里,不需要再另外安装任何驱动配置请详见签名 还有的一些小问题存在: 1,休眠唤醒摄像头丢失 2,驱动独显情况下,显示器没有内建...
[黑苹果]Z7-KP7S1黑苹果EFI文件,这是一份适用于 Clevo P65xHP 的 Hackintosh EFI 配置,我的机型为 HASEE Z7-KP7S1,此类型号(Realtek ACL892)建议将 Clover 中「Devices」下「Audio」的「Inject」设置为「31」即可...
xhp心理健康.doc
简介XHP扩展了Hack的语法,使得XML文档片段成为有效的Hack表达式。 这使您可以将Hack用作更严格的模板引擎,并提供可重用组件的更直接的实现。 如果您需要高级XHP UI库,则可能需要看看...
xhp-bootstrap:提供用于XHP的类,用于Twitter的Bootstrap库的常见组件
XHP多并联驱动方案使用说明书
灯板,铝基板PCB图,0角度LED 可以直接拿去做
电脑型号 Notebook P65xHP 笔记本电脑 操作系统 Windows 10 64位 ( DirectX 12 ) 处理器 英特尔 Core i7-7700HQ @ 2.80GHz 四核 主板 Notebook P65xHP ( 100 Series/C230 Series 芯片组 Family - A152 ) 内存 16 ...
用自相关方法提取语音信号基频轨迹..........
XHP CMS-eXpandable主页是易于安装,易于使用,易于扩展的内容管理系统(CMS),以PHP编写,并使用MySQL作为数据库。 它包括博客,图片库,内容,聚合器模块以及用于贡献模块的API。
xp.mobileconfig
移动配置
Teein/Html一个受React,XHP和Elm启发基于虚拟DOM的PHP模板引擎
据报道,LED 照明领域的市场领先者科锐公司(Nasdaq: CREE)日前宣布推出业界首款高密度(HD)LED阵列 - 较之以往LED阵列,该项突破性的技术能够为聚光照明应用带来双倍的系统光强。新型高密度级XLamp:registered: ...
因 @xhp0235 上传的文件名错误,我重新分卷压缩了本书,此为分卷2,分卷1链接:aaa
Teein / Html Teein / Html是受React,XHP和Elm启发的基于虚拟DOMPHP模板引擎。 以下是一些要点:没有新的语法学习模板是用普通PHP编写的,它们紧密联系Teein / Html Teein / Html是基于React,XHP和Elm的基于虚拟...