Ecshop、Discuz! 等开源产品的局限

记得今年年初，我初次接触Discuz!和Ecshop时，一阵阵地惊叹：成熟度这么高的产品，竟然是免费的。咱们这些搞传统软件开发的要怎么活？另外也奇怪，作这些产品的公司，他们要怎么活？

我公司的网站，原型正好是用Ecshop和Discuz！，到开发方移交给咱们后，咱们作二次开发，深刻了解了其代码，早期的疑惑才有了答案。

能够说，这些产品，都没法支持真正严肃的应用环境。

1）全部的数据库访问都不用mysqli链接，所以没法用prepared statement,而所有用拼接方式。

这些系统，对数据库（主要都是mysql)的访问，所有采用sql拼接方式。举一个Ecshop的例子：

   $w_openid = $db -> getOne("SELECT `wxid` FROM `wxch_user` WHERE `wxid` = '$openid'");

或相似

   $wxch_user_sql = "INSERT INTO `$thistable` ( `user_name`,`password`,`field3`,`field4`) VALUES ('$variable1','$variable2','value3','value4')";
   $db -> query($wxch_user_sql);

 

这种语句，偶尔出现倒也能够理解，若是全部的地方都是这样（正如Ecshop)，则应该出于对数据库只有入门水平的人手里。由于他彻底没有使用prepared statement的概念。

因此，这种系统几我的用应该是快如闪电，并发量一大，后台数据库可能被搅成一锅粥了。

正确的链接数据库的方法应该是：

 $mysqli = new mysqli("server", "username", "password", "database_name");

而不是

$conn = mysql_connect('server','username','password') or die ("数据链接错误!!!");

　正确的sql语句应该是：

$stmt = $mysqli->prepare("INSERT INTO table (column) VALUES (?)");

$stmt->bind_param("s", $safe_variable);

$stmt->execute();

而不是前面那样。

　

2）系统安全性极差

由于不用prepared statement，只要编程人员不注意，sql injection能够说处处都有可能。但看看他们的代码，能够说压根不注意。由于这些系统，对用户输入几乎不用转义。

对于已经很烂的代码，正确的用法是应该有第二行：

$unsafe_variable = $_POST["user-input"];
$safe_variable = mysql_real_escape_string($unsafe_variable);

mysql_query("INSERT INTO table (column) VALUES ('" . $safe_variable . "')");

但在这些系统里，上面的第二行不多看到。

这样形成的问题就是，针对这些系统的机器人极多。基本上你的论坛上线不久很快就被机器人发的水贴、广告贴盯上了。

 

本人对这些系统研究还很肤浅，不过看到这两条，就已经明白，这种系统是供学习用的。开发这些产品的公司，他们的水平很高，不太高质量的代码应该是用在了商业性收费的产品上。你们别觉得能够捡到便宜。

 

转载请注明出处：cnblogs上的海边的骆驼博客。原博文地址：http://www.cnblogs.com/yingjiang/p/4750408.html