Sicherheit von Web-Applikationen ist eines meiner Lieblingsthemen. So habe ich vor einigen Jahren ein Papier zum Thema SQL Injection und Cross-Site Scripting geschrieben. Dieses diente damals einem Firmen-internen Vortrag bei meiner Lehrfirma. Der Schwerpunkt dieses Papiers lag auf der Verhinderung der Angriffe mit Active Server Pages. Das Thema ist nach wie vor aktuell, und nach wie vor gibt es da viel zu tun. Bei der Evaluation von Ruby on Rails ist es für mich auch wichtig, wie ich da SQL Injection und Cross-Site Scripting verhindern kann. Das Manual Securing your Rails ist prominent auf der Startseite des Bereiches Dokumentation verlinkt und gibt Auskunft. Erstmal kümmert sich Rails um sehr viele Dinge selber. So werden ja viele Funktionen für den Datenbank-Zugriff der Daten automatisch generiert und diese sind gegen SQL Injection Probleme geschützt. Um bei einer eigenen Query (find_all heisst die Funktion dazu) keine Probleme damit zu erhalten, müssen die Benutzer-Eingaben bereinigt werden. Dazu kann man eine Methode verwenden, welche der Möglichkeit von “Prepared Statements” in anderen Frameworks nicht unähnlich ist. Ein Beispiel: ...

Gestern hatte ich über die neue Massnahme der grossen Suchmaschinen berichtet, welche Kommentar-Spam unattraktiver machen soll. Heute nun habe ich einen sehr guten Blog-Artikel von Bernhard Seefeld gelesen, in welchem er diesen Ansatz kritisiert. When the partying half of the blogosphere gets sobers about this, we'll all come to realise what dimensions of the web have been removed. Votes are now restricted to whoever decides the contents of brochureware and other official websites, people with the technical means to be their own webmasters and bloggers. And then only to the opinions expressed in their own living room. Erstens hat er recht, dass so das Web weniger demokratisch wird. Seine Aussage kann ich entsprechend auch voll unterschreiben. Als kleinen Gegenpunkt kann man nennen, dass es selten leichter war, eine eigene Webseite zu eröffnen - vor allem ein eigenes Weblog ist schnell zu haben. Laut seiner Aussage hat auch Wikipedia das Attribut für externe Links eingefügt. Und tatsächlich, ein kurzer Check zeigte, dass dem so ist. Und da hört der Spass für mich auf. Klar kann man Wikipedia spammen. Aber die Erfahrung zeigt, dass die Wikipedianer meistens schnell auf Spam reagieren und es rauslöschen, so dass es sich dabei um eines der kleinsten Probleme von Wikipedia handelt. Dass nun aber alle externen Links von Wikipedia nicht mehr zum entsprechenden Pagerank dazuberechnet werden, das schadet der Natur des Webs bzw. vor allem den Suchmaschinen selber ganz erheblich. Gut möglich, dass sich die Suchmaschinen so selber ins Bein schiessen. (Via Roger)

Der Premierminister Japans, Junichiro Koizumi, hat mitgeteilt, dass er nach seiner jetztigen Amtszeit nicht mehr kandidieren wird. Er wird also im September 2006 zurücktreten. Das könnte seiner Partei schaden, kommt doch Koizumi beim Volk sehr gut an und hat so seiner Partei viele Stimmen geholt. (Via Japan Today, welche momentan Down ist, und Yahoo News Asia)

Ruby on Rails hatte ich bereits erwähnt. Mittlerweile habe ich weiter damit programmiert und bin sehr begeistert davon. Entsprechend gibt es in diesem Blog jetzt auch eine eigene Kategorie dafür. Heute hat mich unter anderem die Layout-Funktion von Rails begeistert. Meistens werden Layouts mit einem Include für den oberen Teil der Seite und einem für den unteren Teil realisiert. Das sieht dann normalerweise so aus (Pseude-Code): ...

Google hat gestern Nachmittag (US-Zeit) eine Massnahme angekündigt, welche Kommentar-Spam einiges unattraktiver machen wird. Dem A-Tag wird das Attribut rel="nofollow" angehängt, was bewirkt, dass Suchmaschinen dem Link nicht folgen oder diesen mindestens nicht in die Berechnung des Page Ranks einfliessen lassen. Die momentan für dieses Attribut vorgesehene Werte sehen ein nofollow nicht vor. Aber das Attribut rel existiert im A-Tag bereits, demzufolge sollte diese Erweiterung keine Probleme verursachen. Im Gegenteil, ich begrüsse diese Massnahme. Eine grosse Zahl von Blog-Anbietern haben bereits ihre Unterstützung zugesagt. Und Yahoo und MSN werden dieses Attribut auch unterstützen. (Via Golem und Heise).

Mein Weblog ist nun umgezogen zur KAYWA, einem Schweizer Weblog-Anbieter. Bisher hatte ich auf meinem eigenen Server mit blosxom gearbeitet. Die URL ist neu weblog.patrice.ch. Bisher war das Weblog unter www.patrice.ch/de/weblog/ zu Hause. Alle Links werden mit URL Rewriting hierhin weitergeleitet, weshalb eigentlich kein Unterbruch entstehen sollte. Einige grosse Vorteile der Lösung bei KAYWA sind die Gallerien, komfortables Moblogging und die Verfügbarkeit auf Mobiltelefonen. Gebt einfach mal im Handy weblog.patrice.ch/mobile/ ein, und ihr wisst, was ich meine.

Laut einer Pressemitteilung der idea ist ein US-amerikanischer Pastor während einer Predigt über die Ewigkeit gestorben. Seine letzte Sätze waren: Wir Christen haben nur ein Leben; wir wollen es für Christus und sein Reich geben, für ewige Werte und zum Ruhme Gottes. Dieses Leben ist bald vorbei. Nur was wir für Jesus tun, bleibt. Und wenn ich in den Himmel gehe ... Sicher keine schlechte Art, wie der gestorben ist.

Golem ehrt TYPO3 mit einem Artikel und schreibt über die im Dezember gegründete Typo3 Association, das Digitigal Assets Management (DAM) Modul und erwähnt noch die TYCON3 2005. Ich hoffe, bei dieser Konferenz dabei sein zu können, ist doch TYPO3 mein aktuelles CMS der Wahl.

Apple hat nun endlich den bereits in der Gerüchteküche durchgereichten Mac mini angekündigt. Und tatsächlich, das Teil lässt meine Augen funkeln. Ich plane seit kurzem, zu Hause einen Bildschirmlosen PC als Stereoanlage und so einiges mehr aufzustellen. Der Mac Mini kommt da wie gerufen. Den könnte man zum Beispiel mit EyeHome oder auch mit etwas selber gebasteltem erweitern. Dann könnte man den wahrscheinlich noch an die Wand hängen und als Kunstwerk erklären. (Siehe auch Golem und Heise) ...

Der populäre Comic UserFriendly hat es momentan auf Electronic Arts abgesehen. Die ganzen negativen Schlagzeilen bei EA fingen mit einem Artikel auf einem Weblog an. Die Ehefrau eines EA Entwicklers machte dort ihrem Ärger Luft und berichtete über schlechte Anstellungsbedingungen bei Electronic Arts. Nun macht sich UserFriendly's Illiad über EA her. Es fing an Neujahr mit einem Cartoon an, und geht seit Montag mit einer Serie (Start, Nummer zwei, Nummer drei) weiter. Achtung, der Cartoon von Montag hat einen Nag Script vorgeschaltet, der erst nach 30 Sekunden den eigentlichen Comic frei gibt.