Аякс и валидация на сервере?

Question

[web-quest3]

Мне нужна валидация на сервере и клиенте.
На тот случай если js отключен.
И на случай когда js включен.
На мысль приходит только дублирование валидации как на сервере так и на клиенте но может можно это обойти провалидировать на сервере и отправлять на клиент (ок или эррор)?

Answer 1

[Pavel]

Мне нужны яблоко и груша. Но может можно как-то обойтись, и взять только грушу?

Comments

[Алексей Ярков]

+1

[web-quest3]

Pavel я думал что можно, ловить аяксом ошибку на сервере и выводить ее через аякс

[Pavel]

web-quest3: можно, но это и есть валидация на сервере. Что бы не загружать [сервер], для начала стоит провести валидацию в клиенте, а затем уже отправлять данные.

[web-quest3]

Pavel но тут в приоритете не нагрузка на сервер, дял меня а именно удобство пользователя, если такая валидейшн, будет выглядеть как клиентская меня это устроит

[GrimJack]

web-quest3: спокойно проверяйте данные на сервере и отвечайте массивом в json формате, а на стороне клиента в зависимости от ответа формируйте и поведение. Можно еще отвечать html кодом и вставлять его сразу в "специально отведенный для этого блок". У любого способа есть преимущества и недостатки

[web-quest3]

Михаил Шпаков ага вот так я и сделаю а можно скажем так кусочками хтмл пастить? для каждого инпута свой хтмл?

[GrimJack]

web-quest3: все зависит от возможностей и нужд
Одни выводят текст ошибки + подсвечивают поля, другие текст ошибки, кто-то еще как-то. Универсальный вариант:
-валидация на клиенте
-повторная валидация на сервере (если клиент прислал данные)
-обе валидации отвечают "кодами" + дополнения (опционально, например текст который может меняться) = все ответы потом обрабатываются на клиентской стороне и выводятся как надо

Answer 2

[Максим Тимофеев]

На тот случай если js отключен.

это < 0,01% от пользователей. Думаете надо для них велосипед делать? Думаю пусть идут вальсом.

Comments

[web-quest3]

Максим Тимофеев Ок тогда красоту делаю на джс а на пхп просто тупо не пускаю плохие данные)

[web-quest3]

Максим Тимофеев я вот честно понимаю что вопрос глупый но нагуглить не удалось и спросить не укого

[Максим Тимофеев]

web-quest3: Так как сейчас все сайты с js, то такой вопрос не стоит. Вопрос в том, что в js вы не все провалидируете что захотите. Например на уникальность.

[GrimJack]

Максим Тимофеев: и js можно обойти

[web-quest3]

Максим Тимофеев аякс) но насчет безопасности вы коммент это основная беда

[Максим Тимофеев]

web-quest3: проверка перед записью в БД само собой. Тут даже вопрос не стоит.

[Максим Тимофеев]

web-quest3: При чем естественно на сервере, так как все что в js можно переписать прямо в браузере.

[web-quest3]

Максим Тимофеев у меня не проверка а обрез вредного кода, еще мне не хватало взломщиков уведомлять что они не верные данные ввели))

[Максим Тимофеев]

web-quest3: обрез вредного кода решается средствами PDO, я так понимаю речь о sql инъекциях.

[Максим Тимофеев]

web-quest3: Вообще я бы взял php framework типа yii2 или larael, где все вопросы с валидацией и защитой БД уже решены. Что бы не изобретать велосипед заново.

[web-quest3]

Максим Тимофеев нет обрез типа трим и еще стриптег

[Максим Тимофеев]

web-quest3: Вы какими-то кусками фраз общаетесь. Надо перечитвать все по 5 раз, что б понять о чем вы. Вот "нет обрез типа трим и еще стриптег" - это как перевести на русский язык или английский и к чему это?

[web-quest3]

Максим Тимофеев обрезаю функциями trim и striptag

Answer 3

[Антон]

Честно, сам не знаю, но как по мне, то делать проверку на аякс. Отправьте аяксом какой-нибудь пост, наприме ajax: on вместе с остальным data, и отслеживайте в пхп его, если принят, то проводите проверку аяксом, если нет, то форма экшеном сделает прямой запрос до пхп файла, в котором, естессна, ПОСТ'а ajax: on уже не будеи, и там уж вы проведете валидацию посредством пхп

Comments

[web-quest3]

Антон разжуйте пожалуйста.

[Антон]

web-quest3: Вот форма, action="piska.php", на сабмит повесили ajax запрос и отменили действие браузера по умолчанию, т.е. отправку формы. Перехватили событие, все гуд. Берем с полей value и валидируем их до вызова аякса. Отвалидированные данные отдаем POST'ом в наш piska.php -> data: {'name_user' : name, 'tel_user' : tel, 'ajax' : '1'}

В пхп принимаем if($_POST['ajax'] == 1) { тут отрабатываем и отдаем обратно json}

Если JS отключен, само собой и аякс не будет работать, соответственно, piska.php не получит $_POST['ajax'] == 1, значит, пусть тогда работает ELSE { и тут мы уже валидируем наши поля средствами php}

Как бы, по такому же принципу построены ajax страницы. Если мы переходим в товар из каталога, то он загружается в модалке, срабатывает событие клика по элементу, а если мы набираем прямой путь до товара в адресе сайта, то получим отдельную карточку товара, без всяких там шайтанских аяксов

[web-quest3]

Антон спасибо, только я хотел уйти от двойной валидации, смысла особо нет, можно и просто отвалидировать на клиенте и на сервере будет тот же самый эффект)

[Антон]

web-quest3: Ну, вопрос то Ваш выше - вот на него ответ. А итог Ваш - дело разумное, так и надо, без всяких квадратных колес в велосипеде

Answer 4

[Ivanq]

Валидировать лучше везде.

Пример:
Можно закачать до 5 фотографий JPEG

На клиенте:
Проверить, что файлов <= 5, иначе вывести сообщение.
Проверить, что файлов >= 1, иначе вывести сообщение.
Проверить, что файлы в формате JPEG, иначе вывести сообщение.

На сервере:
То же самое, но вместо вывода сообщения - "error #001: files > 5" и т. п.

На клиенте - чтобы можно было быстро, красиво вывести сообщение, не отправляя 200 гигов на сервер.
На сервере - чтобы не пропустить хакеров ламеров, которые будут заливать котиков, обойдя JS.

Comments

[web-quest3]

На сервере:
То же самое, но вместо вывода сообщения - "error #001: files > 5" и т. п. разжуйте пожалуйста

[web-quest3]

Ivanq может на сервере тупо не пускать, и все а всю красоту на джс?

[Pavel]

web-quest3: > может на сервере тупо не пускать
лучше выводить хоть какое-то сообщение, хотя бы с номером ошибки, проще будет в дальнейшем.

[Ivanq]

web-quest3: На сервере нужно в ответ посылать сообщение, что то-то не получилось - например, "error #001: files > 5". Лучше делать на клиенте, так как на клиенте Вы можете вывести сообщение сразу, а сервер придется ждать.

[web-quest3]

Ivanq Ага понял а если мы ловим такую ошибку то джсом уже пишем ее так? Я понял что лучше делать иначе но интересует принцип именно такого подхода

Answer 5

[Falseclock]

Зачем писать код, который делает одно и то же? Пусть даже на разных языках.

При нажатии на кнопку в функции обработчике onclick передаете данные на сервер и ждете ответа. В самом onclick возвращаете false. С сервера возвращаете что правильно, а что не правильно. Если все правильно, то вызываете в JS form.submit();

Это будет правильней.

Comments

[web-quest3]

Falseclock я тоже так и руководствовался чтобы не дублировать, но если js отключен тогда увы...или злоумышленник поправит валидацию, если только на сервере проводить ее но тогда все те же ошибки мы буем выводить с клиента причем нужно придумать как мы будем, отличать поля, их штук 20 и ошибки хотелось бы выводить не в одном месте а напротив поля....

[Falseclock]

web-quest3: ну и что что отключен... В эту же функцию скармливаете полученные переменные на стороне PHP и проверяете еще раз. Ваша проверочная функция по идее должна возвращать JSON строку для удобства. Например так

JS click ->
  AJAX request
  PHP input checker -> PHP check(values) -> PHP input checker return JSON
  AJAX parse answer

Form submit ->
  PHP form handler -> PHP check(values) -> PHP form handler returns result

[web-quest3]

Falseclock проверяется еще раз, в итоге способ мало отличается от проверки и там и там) точнее тут тоже самое

[Falseclock]

web-quest3: понимаете, если у вас 20 полей, то вам придется дублировать проверочный код и в JS и в PHP. Зачем такой костыль? Пусть проверяется в одном месте. Это раз.

Во-вторых, вы обязаны проверять код на стороне PHP в любом случае! Хотя бы потому, что может быть ошибка в алгоритме JS. Но это не так страшно. Страшнее то, что сайты ломаются как раз таки из-за того, что проверка происходит только на стороне JS и игнорируется на стороне PHP. Кросс сайт скриптиинг и SQL инъекции как раз и происходят из-за вот таких вот ошибок. Проверка на стороне JS всего лишь для удобства пользователя, чтобы и форма лишний раз не сабмитилась и чтобы поля не приходилось по несколько раз заполнять.

[Falseclock]

web-quest3: а чтобы отличать поля, рисуйте JSON строку и возвращайте ее пользователю. Туда же пишите суть ошибки и средствами JS подкрашивайте поле, делайте маркеры и т.д.

[Falseclock]

web-quest3: Возвращаете JSON строку и по ID полей определяйте где не правильно. Если объект вернулся пустой, значит с заполнение все ок.

{
  "email": "некорректный формат",
  "password": "не указан пароль",
  "sex": "выберите пол",
  и т.д.
}
</code

[web-quest3]

Falseclock спасибо будем пробовать, правда вот через аякс вернул json и по этому же событию запускать функцию валидации на клиенте (в смысле рисование ошибок)