Einführung in Perl. WWW, Teil 3: CGI-Skripte

Größe: px

Ab Seite anzeigen:

Download "Einführung in Perl. WWW, Teil 3: CGI-Skripte"

Maike Rosenberg
vor 6 Jahren
Abrufe

1 Einführung in Perl WWW, Teil 3: CGI-Skripte Jörn Clausen Georg Fuellen

2 Übersicht CGI: Common Gateway Interface CGI.pm Web-Formulare temporäre Dateien file-locking

3 PSfrag replacements Datenaustausch im WWW Client Request Response Server Anfrage über Uniform Resource Locator Anfrage und Antwort werden per HTTP transportiert HTTP-Nachricht besteht aus header und body body kann leer sein Antwort kann dynamisch generiert werden klassischer Datenfluß: Eingabe Verarbeitung Ausgabe

4 CGI-Skripte CGI: Common Gateway Interface Web-Server führt externes Programm aus Programm erhält Anfrage-Daten, generiert Antwort-Daten CGI standardisiert Kommunikation zwischen Server und Programm enormes Gefahrenpotential: Zugriff auf private Daten Ausführung beliebigen Codes eigenen Code sorgfältig überprüfen, keine schnellen hacks

5 CGI-Skripte, cont. das CGI-Skript erhält Eingabe über Environment-Variablen und STDIN gibt Ausgabe über STDOUT aus muß header und body generieren Format der Ausgabe: Content-Type: text/html <HTML> <HEAD>...

6 ein einfaches Beispiel #!/vol/perl/bin/perl my ($sec, $min, $hour) = (localtime(time()))[0,1,2]; print "Content-Type: text/plain\n\n"; printf("it is %d:%.2d:%.2d\n", $hour, $min, $sec); juser@hobel> GET It is 14:13:51

7 Umleiten der Anfrage: redirect Skript verweist auf andere Ressource neuer URL wird im header transportiert body kann leer sein, wird meistens ignoriert #!/vol/perl/bin/perl print "Location: GET -S GET --> 302 Found GET --> 200 OK <!DOCTYPE html PUBLIC...

8 Parameter Anfrage kann Daten enthalten Schlüssel-Wert-Paare zwei Anfrage-Methoden: GET: Daten werden im URL kodiert POST: Daten werden im body transportiert GET: Parameter stehen in QUERY_STRING POST: Parameter werden über STDIN eingelesen Länge der Daten steht in CONTENT_LENGTH

9 Anfrage per GET #!/vol/perl/bin/perl my $query = $ENV{QUERY_STRING}; print "Content-Type: text/plain\n\n"; print "Request: $query\n"; juser@hobel> GET Request: foo=1 juser@hobel> GET " Request: bar=%22%20%22

10 Anfrage per POST #!/vol/perl/bin/perl my $len = $ENV{CONTENT_LENGTH}; read(stdin, $data, $len); print "Content-Type: text/plain\n\n"; print "Data: $data"; juser@hobel> POST Please enter content (application/x-www-form-urlencoded) \ to be POSTed: foo=1 ^D Data: foo=1

11 HTML-Formulare <form action="/post.cgi" method="post"> Anfrage: <input type="text" name="query"> <br> <input type="submit" value="send Query"> <input type="reset" value="reset Form"> </form> post.cgi erhält query=... GET als Methode ebenfalls möglich

12 CGI.pm Daten können an verschiedenen Stellen auftauchen Listen von Parametern müssen interpretiert werden spezielle Zeichen müssen (de)kodiert werden Anwort muß korrekten header und body enthalten CGI.pm erledigt diese Aufgaben, und noch vieles mehr

13 time.cgi mit CGI.pm use CGI; my $query = CGI->new; my ($sec,$min,$hour) = (localtime(time()))[0,1,2]; print $query->header( text/plain ); printf("it is %d:%.2d:%.2d\n", $hour, $min, $sec); komplexere header: redirect: $query->header(-type => text/html, -expires => +3h ); $query->redirect( );

14 HTML-Seiten mit CGI.pm use CGI qw(:standard); print header( text/html ), start_html("www mit Perl"), h1("cgi für Einsteiger"), p("cgi, das Common Gateway Interface..."), end_html; prozedurale Verwendung von CGI.pm Import von Funktionen bei use

15 Formulare mit CGI.pm print start_form; print textfield(-name => name, -default => Joe Doe ); print popup_menu(-name => age, -values => [ 17-, 18-25, 25-35, 36+ ], -default => ); print scrolling_list(-name => languages, -values => [ Perl, Java, Haskell ], -default => [ Java, Haskell ], -multiple => true ); print submit( OK ), reset( CANCEL ); print end_form;

16 Parameterübergabe my $query = CGI->new; print $query->header( text/plain ); foreach $name ($query->param) { = $query->param($name); print "$name } juser@hobel> GET foo --> 1 juser@hobel> POST foo=1 ^D foo --> 1

17 iterative CGI-Skripte häufig Dialog von Fragen und Antworten komplexere Formulare, Shop-Systeme Zustand muß gespeichert werden mehrere CGI-Skripte ein CGI-Skript, versteckte Statusinformationen leicht zu überlisten

18 iterative CGI-Skripte, cont. my $animal = $query->param( animal ); my $color = $query->param( color ); if (!$animal) { print "animal: ", textfield(-name => animal, -default => tiger ); } elsif (!$color) { print "animal: $animal",br, "color: ", textfield(-name => color, -default => yellow ), hidden(-name => animal ); } else { print "So you want a $color $animal"; }

19 externe Programme aufrufen externe Programme per system, exec oder... Vorsicht bei Übergabe von Parametern Angriff durch versteckte Shell-Kommandos Parameter parsen, verdächtige Eingaben ablehnen externe Programme ohne Shell aufrufen

20 externe Programme aufrufen, cont. my $name = $query->param( name ); if ($name) { print "<pre>\n"; system("finger $name"); print "</pre>\n"; } else { print start_form, textfield(-name => name ), submit, reset, end_form; } Eingabe: juser; cat /etc/passwd

21 externe Programme aufrufen, cont. if ($name) { if ($name!~ /^\w+$/) { print "suspicius name, please try again"; } else { print "<pre>\n"; system("/usr/bin/finger $name"); print "</pre>\n"; } } else {...

22 externe Programme aufrufen, cont. if ($name) { print "<pre>\n"; system("/usr/bin/finger", $name); print "</pre>\n"; } führt Programm direkt aus, ohne Shell Shell-Kommandos ohne Wirkung gilt genauso für exec keine Analogon für...

23 externe Programme aufrufen, cont. if ($mon && $year) { open(pipe, "- ") exec "/usr/bin/cal", $mon, $year; print "<pre>\n"; while ($line = <PIPE>) { print $line; } print "</pre>\n"; } else { print start_form, popup_menu(-name => mon, -values => [1..12]), popup_menu(-name => year, -values => [ ]), submit, reset, end_form; }

24 Alternativen Erweiterung für Apache: mod_perl Statusinformationen per Cookies weitere Sicherheitsmaßnahmen: tainted Perl Webserver in chroot-umgebung

25 temporäre Dateien zur Speicherung von Eingabedaten oder Zwischenergebnissen Gefahr von race conditions: my $name = "/tmp/foobar.$$"; if (-e $name) { die "$name already exists\n"; } else { open(file, "> $name"); print FILE "hello world\n";... }

26 temporäre Dateien, cont. use POSIX; do { $name = tmpnam(); } until sysopen(file, $name, O_RDWR O_CREAT O_EXCL, 0600); use File::Temp "tempfile"; my ($handle, $name) = tempfile( foobarxxxxxx, SUFFIX =>.lst, DIR => /tmp );

27 file locking konkurierender (schreibender) Zugriff auf eine Datei nur ein Prozess darf gleichzeitig schreiben verschiedene Verfahren advisory locking vs. mandatory locking alle Programme müssen kooperieren

28 advisory locking mit flock use POSIX; sysopen(file, log.txt, O_RDWR O_CREAT O_APPEND) flock(file, LOCK_EX); print FILE "hello world\n"; close(file); flock blockiert, bis lock erfolgreich nicht portabel, evtl. Probleme bei NFS Alternative: dot locking

Ähnliche Dokumente

Perl-Praxis. CGI-Skripte. Jörn Clausen Jens Reeder, Jan Krüger

Perl-Praxis. CGI-Skripte. Jörn Clausen Jens Reeder, Jan Krüger Perl-Praxis CGI-Skripte Jörn Clausen Jens Reeder, Jan Krüger {jreeder,jkrueger}@techfak.uni-bielefeld.de Übersicht WWW, Web-Server CGI-Skripte Parameterübergabe Web-Formulare CGI.pm Perl-Praxis CGI-Skripte