eval() erweiterte Fehlermeldung

[Schneidoa]

Hallo zusammen,

ich bin gerade dabei ein eigenes CMS zu erstellen, hierbei lasse ich mit eval() PHP-Scripte ausfürhen.
Falls jedoch in einem Script ein Fehler ist bekomme ich lediglich diese Fehlermeldung:
Parse error: parse error in D:\Webseiten\*********.de\subdomains\test\index.php(120) : eval()'d code on line 191

Gibt es eine Möglichkeit mir eine genauere Fehlermeldung ausgeben zu lassen, an der ich erkenne wo der Fehler in dem PHP-Script ist??

Danke & Gruß,

Schneidoa

[feuervogel]

anscheinend nicht, steht zumindest nichts davon in der doku. aber zwei tipps:

1. können wir dir nur helfen, wenn du den fehlererzeugenden code zeigst.
2. ist generell vom gebrauch von eval abzuraten. man kann das problem meist anders lösen.

[Schneidoa]

Danke für deine Schnelle Antwort.

Zu 1:
War nur vorsorglich, im Moment laufen alle Scripte.

Zu 2:
Also die aktuelle Situation sieht wie folgt aus:
Wie gesagt ich bin gerade dabei mir ein eigenes CMS zu erstellen, dabei lade ich den Body der Webseite aus einer MySQL Tabelle, damit der Admin die Seiten später schnell und einfach bearbeiten kann.
Gibt es eine andere Möglichkeit den PHP-Code aus der Datenbank auszuführen? Habe mir über legt, dass ich den Code in eine Datei hineinschreibe und diese dann include...
Oder seht Ihr noch eine Lösung? bzw wieso ist davon abzuraten eval() zu benutzen. Der PHP-Code kann nur durch Admins erstellt und verändert werden.

[feuervogel]

mir war nicht bewusst, dass ein CMS die aufgabe eines online-code-editors erfüllen muss und ich wüsste nicht, warum das sinnvoll sein sollte. es widerspricht zudem heftigst meine vorstellungen einer sauber gestalteten applikation.

zweitens: wie du schon sagst: sobald ich irgendwie an admin-rechte gelangt bin, kann ich beliebigen php-code ausführen auf dem server.

[Schneidoa]

Das Problem mit der Sicherheit ist natürlich echt fatal, nur ich würde gerne die Seiten auch dynamisch gestallen wollen, sodass ich später mir dort z.B.: Daten aus einer Datenbank anzeigen lassen kann usw.
Wie kann ich das denn Realisieren ohne PHP code ausführen zu müssen?

[Domi]

Warum speicherst du nicht einfach nur die Texte in die Datenbank und verwendest dazu ein BB-Tags oder was ähnliches? Du kannst auch HTML (gefiltert natürlich) zulassen.

Für die Gestaltung kannst du auf ein Template-System wie z.b. Smarty zurück greifen.

Für so was eval() zu verwenden ist alles andere richtig.

Evtl könntest du dir auch mal anschauen wie es andere CMS machen..

Domi

[feuervogel]

ich erkläre dir jetzt mal was: CMS steht für Content Management System.

Ein Content-Management-System (kurz: CMS, übersetzt: Inhaltsverwaltungssystem) ist ein System, das die gemeinschaftliche Erstellung und Bearbeitung von Inhalt, bestehend aus Text- und Multimedia-Dokumenten, ermöglicht und organisiert, meist für das World Wide Web. Ein Autor kann ein solches System auch ohne Programmier- oder HTML-Kenntnisse bedienen. Der darzustellende Informationsgehalt wird in diesem Zusammenhang als Content (Inhalt) bezeichnet.

Quelle: http://de.wikipedia.org/wiki/Content-Management-System

Und nicht Code Management System.

besser als das was du machst wäre: du unterteilst dein system in 3 ebenen, nämlich eine daten-ebene, eine ebene mit der applikations-logik und eine ebene mit der anzeige-logik.

durch die verwendung eines orm können auch einfache aufgaben der datenhaltung in diese ebene verlagert werden, z.b. das filtern oder sortieren von objekten, die in der datenbank gespeichert sind.

was du derzeit machst: du vermischst anzeige- und appliaktions-code und speicherst das ganze in der daten-ebene. es mag von MVC (model view controller) einige varianten geben; dies erscheint mir eine der schlechtesten.

[cortex]

Zitat von Schneidoa

Gibt es eine Möglichkeit mir eine genauere Fehlermeldung ausgeben zu lassen, an der ich erkenne wo der Fehler in dem PHP-Script ist??

hier gibt's einiges zum nachlesen: Fehler und Fehlerbehandlung

zu eval( ): google: eval is evil

cx

[Ckaos]

Hi

ist generell vom gebrauch von eval abzuraten.

Wirft die Frage auf wozu gibt es eval dann noch. ;)

Habe mir über legt, dass ich den Code in eine Datei hineinschreibe und diese dann include..

Ob du eval oder diese Strategie verwendest ist glaub ich egal. Du produzierst wie
alle dir hier vermitteln wollen ein großes Sicherheitsloch. Ein Adminzugang würde
bei beiden varianten deinen Server/Webspace offenlegen. Vergleichbar mit der
herausgabe deines FTP-Passwortes.

Sicherlich könnte man davon ausgehen das keiner deinen Codestil kennt und es
vielleicht schwerer haben könnte, aber leider zeigen auch so manche scripts von
Hilfesuchenden, das fast immer die selben grundvariablen/techniken benutzt werden.
z.B.

PHP-Code:

$page=$_GET['page']; 


ein CMS die aufgabe eines online-code-editors erfüllen muss und ich wüsste nicht, warum das sinnvoll sein sollte.

*zustimm*
Deswegen solltest du dein CMS vielleicht Adminpanel nennen ;)

Ich würde dir auch empfehlen noch die Finger von eval zu lassen. Benutze
wie schon erwähnt für deine Templates Smarty. Zwar trennt das meiner Meinung
nach nicht Code vom Design aber damit fährt es sich glaub ich sicherer.

//meine Meinung off

mfg

Ckaos

[feuervogel]

Zitat von Ckaos

Benutze
wie schon erwähnt für deine Templates Smarty. Zwar trennt das meiner Meinung
nach nicht Code vom Design aber damit fährt es sich glaub ich sicherer.

Nicht Smarty, sondern der Programmierer trennt Anzeige- von Anwendungslogik. Das passiert allerdings nicht von alleine.

Mal als Beispiel: Ausgabe eines Datums. Der Anzeigeschicht ist es egal, woher das Datum kommt. Ob es zufällig generiert wird, aus einer Datenbank, aus einer XML-Datei usw. Darum kümmert sich die Anwendungsschicht. Der wiederum ist allerdings egal, wie das Datum formatiert wird. Darum kümmert sich einzig und allein die Anzeigeschicht. Und die kann das Datum dann z.B. auch sprachabhängig unterschiedlich formatieren. Wie sie das macht, ist der Anwendungsschicht egal, die muss nur dafür sorgen, dass das Datum in einem neutralen Format (also ein Format, welches die Umwandlung einfach ermöglicht), in die Anzeigeschicht geworfen wird.