Cualquier persona que dice esto y luego le dice que vaya con plantillas es contradictoria:
Y qué de esos sistemas de plantillas con si/ demás declaraciones y de bucles? Esa es la verdadera esencia de la lógica: los mismos conceptos que utilizan la mayoría de los lenguajes de programación . Requieren variable datos que solo pueden generarse o existir mediante algún tipo de cálculo.
No puede publicar contenido dinámico sin combinar la presentación con la lógica. Es imposible.
2,1 Es más seguro ...
Por lo tanto, no confianza tu chico HTML?
caso: Usted piensa que su chico HTML/CSS es estúpida y accidentalmente imprimir la contraseña de la base
Si eso es una noticia así, Tengo para usted - Su entorno ya no es seguro si los datos sensibles pueden ser accedido/modificado desde cualquier lugar dentro del programa.
caso: Usted piensa que su chico HTML imprimirá constantes servidor aleatorio - es peligroso permitir que él, como individuo, para trabajar con la lógica del servidor
veo - Está bien estúpida, u odia su trabajo y quiere ser despedido y por lo tanto hará algo tonto como imprimir variables de sesión. Bien, pero para eso diré ...
... ¿Por qué diablos es esto no con calificación de? Incluso si no tuviera acceso a la lógica del servidor directo, sino a un sistema de plantillas sofisticado, igualmente podría difundir su estupidez/odio simplemente porque tiene la última palabra en la producción. O bien, incluso podría estar en connivencia con otro programador (si corresponde) y aún acceder a las constantes del servidor y co.
-
2.2.1 motores de plantillas Buenas desinfectar automáticamente la salida, o permitir que la plantilla-hombre para hacerlo por sí mismo - él sabe mejor cuando los datos deben ser desinfectados
Usted Dummy .
¿No sabe cuándo se debe desinfectar la salida? Usted no podría hacer eso usted mismo?
Aún así, tal vez usted es solo el código mono y el tipo HTML es un especialista en inyección de HTML de seguridad web, y él debe ser el único producto sanitario. En ese caso, darle acceso a PHP también le permite usar los gustos de htmlspecialchars() en lugar de lo que la plantilla le dé para hacer lo mismo.
Con respecto al escape automático, siempre que sea con seguridad transfiriendo el contenido, puede implementar una función tan simple dentro del código que está haciendo.
-
2,2 ... y puedo controlar qué datos se está trabajando con
Piense en las clases, funciones, etc - usted lanza en los datos, trabajan con eso, entonces obtienes un resultado. Por lo general, no se ocupan de datos externos a menos que se los entreguen (Hacer lo contrario no es claro, es una práctica peligrosa y mala, algunas constantes aparte). A través de estos mismos métodos, puede transmitir exactamente lo que necesita a su producción de una manera eficiente, clara e ilimitada.
-
Dicho todo esto, parece que la razón por la que cree su motor de plantillas es más segura que el código normal es porque te falta en varias áreas de la seguridad en general :
- Usted (o quien sea) no contenido de revisión por pares: permite individuos para producir contenido.
- No están aplicando prácticas de programación adecuadas o seguras, y parecen no darse cuenta de que puede controlar lo que pasa a lo largo del punto A a B.
3. sintaxis de PHP es demasiado dura/difícil de enseñar al pueblo de estilo
La verdad es que no es más complicado es que la pseudo-sintaxis creada por los sistemas de plantilla tales como Smarty, entonces si esto es un problema, el contenido dinámico no es para ti.
Lo siguiente está en PHP 'sintaxis corta' - ¿Es demasiado difícil?
<div class='username'><?= $username ?></div>
4. Es demasiado trabajo para desarrollar mi propia solución
Aunque yo diría que no es, usted es libre de elegir lo que desea ! Elija lo que mejor se adapte a sus necesidades. Por lo general, son gratuitos, no son difíciles de integrar y vienen con muchas funciones listas para usar.
estoy bajo la impresión de que la mayoría de la gente opta por plantillas, simplemente porque se ve 'más limpio' dentro del archivo - Aman pensando que el archivo TPL es algo especial que crearon, les gusta el forma en que se ve la sintaxis; Como por arte de magia, la variable es 'llamada' por el pequeño símbolo @ o # y salta de su lógica a la salida.
Parece un truco - La bella hechicera (AKA El motor de plantillas) te atrae con su belleza. A pesar de que es atractivo a la vista, ella es realmente una sangre de demonio que aspira y extrae su alma (recursos del servidor) a cambio de ojos dulces que nadie más ve (Sus usuarios preferirían tener un sitio web más rápido y características más financiado por el $$$ va a guardar en la energía/servidor alquilar)
<title>{{@title}}</title>
Vs
<title><?= $title ?></title>
voy a admitir, sólo hay un caso que puedo pensar en que las plantillas tienen ningún terreno en PHP - Portabilidad a otras aplicaciones. La respuesta de appartisan aborda eso. Aún así, no es difícil reemplazar <?= $var ?> con {{@var}} - Eso es un trabajo para un sistema de plantillas.
Permítanos [continuar esta discusión en el chat] (http://chat.stackoverflow.com/rooms/154562/discussion-between-vaxquis-and-super-cat). – vaxquis