Ярослав Лихачев

Зависит от Вашей архитектуры, я применяю класс-"обертку" с перегрузкой нужного метода (этим же трюком пользуюсь для изменения вызова функций класса-родителя)

Как-то так:

class A { // "родной" класс
	static function static_call ()
	{
		echo 'static_call a';
	}
}

class B extends A{ // "обертка" для тестирования
	static function static_call ()
	{
		echo 'static_call b';
	}
}

Прочитайте о значениях понятий "императивный" и "декларативный", попейте Новопассит.

Фигурные скобки заменяются на символы выделения имени таблицы. Например в mysql это символ `
то есть {{user}} в запрос уйдет как `user`

Знак процента заменяется на префикс таблицы, если он был установлен в конфиге подключения к базе
Например, в конфиге указано
'tablePrefix' => 'qwe_'
то {{%user}} в запрос попадет как `qwe_user`

В зависимости от степени безопасности.

Если разбить все это на "по-проще", общий принцип такой:

Клиент:
- в первый раз ввести строку текста
- нажать отправить
- больше не вводить, ибо лентяй, а мы ж ему продавать собрались, не дай бог он сука дискомфорт почувствует

Сервер:
- получить строку текста
- сделать хеш
- проверить - чей это хеш (не угнали ли его по дороге)
- в ответ отправить токен, который будет работать ограниченное время только для этого компьютера
- токен сохранить на компе пользователя, и следующий раз отправлять автоматически для каждого действия без ведома юзера
- при каждом действии обновлять время хранения токена (некоторые особо шизанутые делают новый токен каждое действие)
- при малейшем подозрении на несоответствие токена - предложение вежливо пройти через авторизацию еще раз, но поскольку человек существо забавное - если ему скажут опять пароль вводить - он сука обидится, и потому придумана "двухэтапная" - через телефон или там отпечаток пальца или что угодно еще, да и полезно это - если пароль действительно угнали - отрезать палец и вырвать глаз - это еще можно вместе сделать, а вот замочив человека - попросить его маму ввести пришедший из СМС-код - это уже придется шантажом заниматься.

Локальных хранилищ тоже бывает куча целая:
- кукисы (хранится прямо в браузере указанное время)
- сессии (хранится на сервере, но в кукисах есть ключ к ячейке в "банке", который опять же могут угнать)
- ... еще десятки способов, о которых знают только крутые кодеры, которые считают себя крутыми просто потому, что их знают, на деле с точки зрения создания ценности людям - бесполезные знания

Как ты понимаешь, это иллюзия безопасности, а не гарантия.

Угонят токен - и все, сервак можно обмануть. Поэтому на серваке делаются всякие проверки типа зашить в токен - ип-адрес, размеры экрана юзера, его отпечаток пальца, сетчатку глаза, юзер-агент, устройство - и где-то даже какой-то умник целую либу писал, который умудрлися в этот хеш почти тыщу разных параметров засунуть.

Вот еще тема, которую василий сказал - шифровать пароль уже на стороне клиента в момент отправки формы яваскриптом. Представьте себя хакером. Вы получили пакеты какого-то чувака, поставили компьютер на расшифровку, подключив десяток видеокарт, расшифровываете пароль, а вместо него видите 64 символьный хеш, ну то есть он прямо от клиента таким вышел. После этого будут маты от того, что теперь массив видюх нужно заставить еще и ключевую фразу из хеша выдрать. Ну то есть еще время декодирования увеличивается. Если загнаться то хеш может быть не просто хешем md5() а например md5 от md5 от развернутой строки прибавленной к md5() прямой строки, прокинутой через побитовый сдвиг на один разряд - ну то есть даже в этом закодировать последовательность действий. При отсутствии https - наиболее надежный способ.

И потом - программисты Yii не рекомендуют использовать фунцию md5(). Почему? Потому что она быстрая очень. И при переборе пароля массивом видеокарт перебирается он шибко быстро. Поэтому рекомендуют использовать hash функцию, которая для создания хеша использует побольше времени, несколько секунд скажем. При написании синхронной программы (сайта на php, например) - это заставит юзера подождать после регистрации секунды 3-4 лишних, но если загнаться то процесс генерации пароля можно запихнуть в асинхронщину, а пользователю сразу токен выдать, то есть пароль ему сгенерируется чуть позже. Таким образом - за счет более длинной хеш-функции по времени хакеру потребуется куда больше времени - то есть юзеру на прямое создание пароля 5 секунд, а хакеру на перебор нескольких миллионов паролей понадобится несколько лет. Никто ему не заплатит 10 косарей баксов, чтобы сломать ваш долбанный пароль ВКонтакте. Если банковская сфера - опять же как писал выше - хеш от хеша, да развернуть пару раз, да трижды порубить, потом постучать в бубен и все это в хеш еще раз и вуаля - декодирование пароля займет 100 лет.

Еще значит, При малейшем намеки на несоответствие токена или внезапное изменение - сервак говорит "тю, дядя, давайка пройди второй этап авторизации, а то я не верю, что это реально ты" и просит приложить палец. Или ввести номер, получив СМС. Или вставить ключ-карту синюю (duke nukem hello). Но и тут есть взлом - ключ карту украсть, смс-ку - попросить телефон, приложить палец = отрубить руку, вырвать глаз и тд

Тут к тебе на помощь приходит https. Https это такая штука, которая в двух словах может быть названа игрой в партизан. На войне играли так - когда радиопереговоры прослушивались, а шифраторов не было - единственным средством защиты - было использовать ошибки в тексте и матерные слова.

Так и тут - данные отправляемые в виде нулей и единиц. Компьютеры их так же легко перекодируют в пароль, как и закодировали. Чтобы этого не было, придумали ШИФРОВАТЬ строку в одну сторону. У сервака есть трафарет, у пользователя другой трафарет. Сервак шифрует своим, но назад можно расшифровать только пользовательским. Вернее можно и сторонним конечно, но современные компьютеры сделают это за много лет, и потому никто не заморачивается особо, производительность не та.

Таким образом сайты, где есть https на текущий момент наиболее надежный способ скрыть нули и единицы от чувака, сидящего на прослушке твоего интернет трафика. А попасть он туда может от самых простых способов типа "друг, дай мне пароль от своего вайфай", до всяческих угадываний, взломов роутеров и на худой конец - под видом электромонтера, установив маааленькую плату тебе в распределительный щит.

Так что авторизация - она простая. Вся надежда на шифрование. А сертификат, на котором пол-мира делает бабло - это средство подтверждения того, что компьютер умеет шифровать. Интересно, что он кончается каждый год, как будто в прошлом году компьютер умел шифровать, а в этом вдруг разучился. На деле конечно - просто гоните бабло, иначе покажем красный крестик вместо зеленого замочка, и в гугле понизим, так что гоните бабки. Вот.

Лично учился по официальному гайду.
Есть неполный русский перевод.
Читается очень легко.

Плюс всегда под рукой эта книга stuff.cebe.cc/yii2-guide.pdf (там есть вообще всё)

Добавлю к куче видео курс "Yii2 для Блондинок и Чайников: уроки, заметки, гайды"
https://www.youtube.com/channel/UC3jTSXXgSvQI2WJ5f...

Апостроф (одинарная кавычка) экранируется апострофом в SQL, т.е.
WHERE c = ''''''
* всего 6 апострофов.

0) У убуны была диагностическая утилита
1) Изучить журналы системы : /var/log/*.
2) Проанализировать dmesg -l err,warn
3) Наблюдать вывод vmstat 1, tail -f /var/log/syslog, /var/log/Xorg.0.log до зависания

Вообще говоря, да, для каждого действия нужен свой вид/шаблон, причём вид и шаблон считать синонимами можно только с натяжкой. Или даже несколько видов, среди которых контроллер выбирает нужный в данный момент.

Использования наследования и включений шаблонов это следование другим практикам и паттернам непосредственно к MVC отношения не имеющим. Как, кстати, не имеет отношения к MVC и «запускается приложение из index.php, метод route разбирает запрос пользователя и отдает управление одному из методов соответствующего контроллера».

При выборе между наследованием/декорирования и включение посоветовал бы делать упор на первое. Даже без использования шаблонизаторов типа Smarty или Twig оно осуществляется довольно легко с помощью функций ob_*, особенно если достаточно двухуровневого. Метод render может выглядеть примерно так:

ob_start();
require $template;
$content = ob_get_clean();
require 'layout.php';

layout.php так

<html>
<body>
<div id="header">Шапка</div>
<div id="content">
  <?= $content ?>
</div>
</body>
</html>

А blog_index так

<?php foreach($posts as $post): ?>
  <div class="post">
    <h1><?= $post->title ?></h1>
    <?= $post->content ?>
  </div>
<?php endforeach ?>

Здесь советуют гуглить. Ничерта подобного. Начинающему во всем этом мусоре очень сложно найти толковое. Вход в профессию дизайнера достаточно затуманен. Вот я когда-то специально для начинающих написал пару статей.
Вводная https://medium.com/design-news-russia-ru/a0326a103de8
Что и где читать https://medium.com/design-news-russia-ru/72d44885123c