Informování uživatele o výsledku operace

Školení, která pořádám

Pokud sledujete mé články delší dobu, tak víte, že stejně jako třeba dgx nemám rád používání session proměnných pro ukládání stavu aplikace (nastavení jazyka, vybraná položka, …). Tyto informace by se zásadně měly přenášet v URL. Proč vlastně?

Když jsem se před časem ucházel v jedné firmě o pozici programátora, v posledním kroku jsem se dozvěděl, že jsem se přihlásil na pozici viceprezidenta. Jak se to stalo? Do panelů prohlížeče jsem si otevřel všechny pozice a potom je zase zavíral. Aplikace používala pro uložení informace o vybrané pozici session proměnnou a protože jsem viceprezidenta otevřel jako posledního, tak si aplikace myslela, že se hlásím na jeho pozici, i když jsem formulář vyplňoval na jasně nadepsané stránce s pozicí programátora. Kdyby bylo ID pozice součástí URL, tak k tomu nikdy nedojde.

Z tohoto důvodu třeba informaci o tom, jak dopadla nějaká operace, posílám také v URL:

<?php
if (mysql_query("UPDATE ...")) {
    header("Location: vysledek.php?update=1");
}

// vysledek.php
if ($_GET["update"]) {
    echo "<p>Aktualizace proběhla v pořádku.</p>\n";
}
?>

Jaké jsou nevýhody tohoto řešení?

Předně musíme v URL předávat nějaké parametry, což také zamořuje prostor URL (třeba v historii prohlížeče je potom zbytečně ta samá stránka víckrát).
Dále je popis výsledku operace na úplně jiném místě, než operace samotná (obvykle v jiném souboru) – to by samozřejmě šlo vyřešit předáním hlášky přímo v URL, to je ale ošklivé a náchylné ke XSS (nejde jen o to, že hláška nemůže obsahovat HTML značky, ale také o to, že kdokoliv může na naše stránky tímto způsob dostat jakýkoliv, třeba hanlivý text tvářící se jako oficiální hláška).

Co kdybychom pro předání této informace použili session proměnné?

<?php
if (mysql_query("UPDATE ...")) {
    $_SESSION["message"] = "Aktualizace proběhla v pořádku.";
    header("Location: vysledek.php");
}

// vysledek.php
if (isset($_SESSION["message"])) {
    echo "<p>$_SESSION[message]</p>\n";
    unset($_SESSION["message"]);
}
?>

Obě popsané nevýhody zmizely, objevily se ale jiné:

Když si dá uživatel obnovit stránku s výsledkem, hláška zmizí. To je ale možná spíš výhoda – tou dobou je hláška už nejspíš neaktuální.
Teoreticky může dojít k tomu, že hlášku „slízne“ stránka v jiném panelu. Riziko je ale naštěstí malé, protože mezi nastavením hlášky a jejím zobrazením uplyne jen krátká doba jednoho přesměrování.

Co si o popsaných řešeních myslíte? Já si nejsem zcela jist, ale asi se pomalu začínám klonit spíše k druhému.

Jakub Vrána, Dobře míněné rady, 22.6.2007, diskuse: 60 (nové: 0)

Diskuse

Honza:

Určitě druhá možnost. Že hláška zmizí je dobře, nechceme, aby si uživatel myslel, že data při obnovení stránky odeslal znovu. Pravděpodobnost, že bude uživatel zrovna načítat stránku s výsledkem v jiném panelu a trefí se, je minimální, už proto že na stránku s výsledkem by měla (mohla) vést jediná cesta přes to přesměrování. A pro tento případ se dá skript doplnit o zjištění vstupní stránky, tedy že se hláška zobrazí jen po přesměrování např. z formular.php

Uvedený příběh je zajímavý a napadá mě otázka: K čemu má firma viceprezidenta, když zřejmě nemá ani jednoho programátora? Programátor by údaj o pozici nikdy neuložil do session nebo cookie, ale do skrytého pole formuláře :-)

22.6.2007 03:53:22

Jakub Vrána :

Kontrola bohužel nepomůže, protože ve dvou oknech může být otevřen ten samý skript, klidně i s tím samým záznamem.

Najímání zaměstnanců bylo outsourcované...

22.6.2007 10:40:39

Ondra:

Hmm tak tento článek je pro mne jako na zavolanou. Právě si dělám svoje "cms". Nebo možná spíše pokus o něj :) A tenhle problém jsem nedávno řešil a pořád si lámal hlavu tím, jestli jsem udělal dobře, když informace o dokončené operaci posílám přes SESSION. Jak vidím, tak nejsem sám kdo si není uplně jitý tímto řešením. Ale asi opravdu není jiný lepší způsob než posílát tato data přes SESSION. Navíc čím složitější aplikace tím dříve u využití SESSION pro tyto účely člověk skončí.

22.6.2007 06:02:02

Milan:

Vytvářel jsem rozsáhlejší webový dotazník o několika stránkách a nakaždé s mnoha vstupními poli. Představa posílání dat v URL si vynucuje můj úsměv. Řešil jsem přez SESSION.

22.6.2007 09:45:47

ivan_d:

Tady jde o trochu jiný příklad - data v session je třeba uchovávat přes více requestů - nelze je po použití smáznout. Dotazníků se asi nebude vyplňovat více naráz. Jsou ale aplikace (jako zmíněný příklad v článku), kde je paralelní práce docela možná. Pak může uživatel nadělat v session dost nepořádek. Možná by mohlo pomoci něco ve stylu řešení, které jsem navrhl níž. Ale jak jsem zmínil, je to jen teoretický náčrt.

22.6.2007 10:48:40

LLook:

V tomto případě bych to taky necpal do URL. Ale spíše než session bych asi použil skryté pole.

(reakce na) 22.6.2007 11:04:02

ivan_d:

Jistě, na tento případ by to bylo asi nejlepší řešení

22.6.2007 11:16:52

ivan_d:

Taky bych se klonil ke druhé možnosti. Url vidím jako 'pohled' na aplikaci. A to pohled trvalý - byť může být jeho výsledkem 404. Hláška je jednorázovka.

22.6.2007 09:52:10

Littlemaple:

Podobný problém jsem řešil asi před měsícem a po sáhodlouhých úvahách, jak to udělat nejlíp, jsem dospěl k těm sessions :) .

22.6.2007 10:02:23

ivan_d:

To slíznutí jiným tabem by možná šlo řešit. Co třeba označit si každý případ (každou nabízenou pozici) heší (pozice_ve_firme=viceprezident), tu přenášet v url a zářídit si podle toho session?
<?php
if (mysql_query("UPDATE ...")) {
$_SESSION[$_GET['pozice_ve_firme']]["message"] = "Aktualizace proběhla v pořádku.";
header("Location: vysledek.php?pozice_ve_firme=".$_GET['pozice_ve_firme']);
}

// vysledek.php
if (isset($_SESSION[$_GET['pozice_ve_firme']]["message"])) {
echo "<p>$_SESSION[$_GET['pozice_ve_firme']][message]</p>\n";
unset($_SESSION[$_GET['pozice_ve_firme']]["message"]);
}
?>

Zatím je to jen teoreticky, prakticky jsem nerealizoval, takže tady může být něco silně nedomyšleného. Má někdo lepší řešení?

22.6.2007 10:16:47