Node.js-Tutorium: Hello World: HTTP - Versionsgeschichte

Kowa: /* Analyse von hello-world-http-02.js */

2014-10-30T10:29:39Z

Analyse von hello-world-http-02.js

← Nächstältere Version		Version vom 30. Oktober 2014, 10:29 Uhr
Zeile 268:		Zeile 268:
	* Startseite/Homepage (<code>/</code>), die die Welt begrüßt und den Benutzer nach seinem Namen fragt		* Startseite/Homepage (<code>/</code>), die die Welt begrüßt und den Benutzer nach seinem Namen fragt
	* Begrüßungsseite (<code>/hallo</code>), die angezeigt wird, nachdem der Benutzer seinen Namen eingegeben hat		* Begrüßungsseite (<code>/hallo</code>), die angezeigt wird, nachdem der Benutzer seinen Namen eingegeben hat
	* Fehlerseite (<code>error</code>), die angezeigt wird, falls der Benutzer eine ~~nichtexistente~~ URL aufruft		* Fehlerseite (<code>error</code>), die angezeigt wird, falls der Benutzer eine nicht-existente URL aufruft

	Beseer wäre es natürlich, diese Templates nicht direkt im Programm, sondern in separaten HTML-Dateien zu speichern.		Beseer wäre es natürlich, diese Templates nicht direkt im Programm, sondern in separaten HTML-Dateien zu speichern.
Zeile 284:		Zeile 284:

	* Für nicht-erxistente Seiten wird ein Fehlercode und ein Fehlerdokument als Antwort ausgegeben.		* Für nicht-erxistente Seiten wird ein Fehlercode und ein Fehlerdokument als Antwort ausgegeben.
	* Die Benutzerdaten werden bereinigt, d.h. HTML-Tags werden neutralisiert, indem die Zeichen <code><</code> und <code>></code> durch <code>&lt;</code> und <code>&gt;</code> ersetzt werden. (Sehen Sie sich mal die HTML-Source von dieser Zeile an. :) ). Damit ist es dem Benutzer z.B. nicht mehr nöglich, HTML-Skripte mittels <code><script>...</script></code> zu schicken, die dann in die Begrüßungsseite eingebaut und beim Client ausgeführt werden.		* Die Benutzerdaten werden bereinigt, d.h. HTML-Tags werden neutralisiert, indem die Zeichen <code><</code> und <code>></code> durch <code>&lt;</code> und <code>&gt;</code> ersetzt werden. (Sehen Sie sich mal die HTML-Source von dieser Zeile an. :-) ). Damit ist es dem Benutzer z.B. nicht mehr nöglich, HTML-Skripte mittels <code><script>...</script></code> zu schicken, die dann in die Begrüßungsseite eingebaut und beim Client ausgeführt werden.

	Es gibt allerdings noch eine weitere Sicherheitsüberprüfung. Die Methode <code>m_get_user_data</code> bricht die Verbindung zum Client ab, wenn mehr als 1.000.000 Zeichen übertragen werden sollen. Damit ist es einem Angreifer nicht so leicht möglich, den Server lahmzulegen, indem er einfach ein paar DVD-Inhalte an Daten schickt.		Es gibt allerdings noch eine weitere Sicherheitsüberprüfung. Die Methode <code>m_get_user_data</code> bricht die Verbindung zum Client ab, wenn mehr als 1.000.000 Zeichen übertragen werden sollen. Damit ist es einem Angreifer nicht so leicht möglich, den Server lahmzulegen, indem er einfach ein paar DVD-Inhalte an Daten schickt.

Kowa: /* Verarbeitung von Benutzerdaten */

2014-10-30T10:28:54Z

Verarbeitung von Benutzerdaten

← Nächstältere Version		Version vom 30. Oktober 2014, 10:28 Uhr
Zeile 231:		Zeile 231:
	.createServer		.createServer
	( function(p_request, p_response)		( function(p_request, p_response)
	{ p_response.writeHead(200, {'Content-Type': 'text/html; charset=utf-8'});		{ var l_document = v_documents[p_request.url] \|\| v_documents.error;
			p_response.writeHead(l_document === v_documents.error ? 404 : 200,
			{'Content-Type': 'text/html; charset=utf-8'}
			);
	m_get_user_data		m_get_user_data
	(p_request,		(p_request,
	function(p_data)		function(p_data)
	{ m_template_to_html(~~v_documents[p_request.url] \|\| v_documents.error~~, p_data, p_response);		{ m_template_to_html(l_document, p_data, p_response);
	p_response.end();		p_response.end();
	}		}
Zeile 269:		Zeile 272:
	Beseer wäre es natürlich, diese Templates nicht direkt im Programm, sondern in separaten HTML-Dateien zu speichern.		Beseer wäre es natürlich, diese Templates nicht direkt im Programm, sondern in separaten HTML-Dateien zu speichern.

	Der ~~eigentlich~~ Web-Server (<code>v_http.createServer(...)</code>) behandelt jede URL, die ihm		Der eigentliche Web-Server (<code>v_http.createServer(...)</code>) behandelt jede URL, die ihm
	vom Client übergeben wird, auf dieselbe Weise:		vom Client übergeben wird, auf dieselbe Weise:

	~~{{TBD}}~~		# Der Server holt sich das zur vom Client übergebenen URL passende HTML-Template. Fall dies nicht vorhanden ist, holt es das Error-HTML-Template.
			# Er schickt an den Client den HTTP-Header, bestehend aus einem [[HTTP-Statuscode]] (<code>200</code>: OK, <code>404</code>: Datei nicht gefunden) und den Dokumenttyp des Antwortdokuments (<code>text/html</code>, [[UTF8-codiert]]),
			# Er ruft mit Hilfe der Methode <code>m_get_user_data</code> (der Präfix <code>m_</code> symbolisiert, dass es sich um eine private MEthode handelt) die vom Client übergebenen Daten ab und bereinigt diese, um [[Cross-Site-Scripting]] zu verhindern. Dieser Vorgang läuft asynchron ab, da die Daten portionsweise vom Client zum Server übertragen werden.
			# Sobald alle Benutzerdaten übertragen wurden, ruft <code>m_get_user_data</code> eine vom Server bereitgestellte Callbackfunktion auf. Diese Callbackfunktion fügt die Benutzerdaten mittels <code>m_template_to:html</code> in das aktuell HTML-Template ein und schickt dieses HTML-Dokument an den Client.
			# Zu guter Letzt schließt der Server die Kommunikation mittels <code>p_resonse.end()</code> ab. Das ist für das Serverobjekt der Hinweis, dass er die Gesamtlänge des HTML-Dokuments ermitteln kann, um das HTTP-Header-Feld <code>Content-Length</code> zu berechnen und die Daten an den Client auszuliefern.

			Wie man gesehen hat, sind an mehreren Stellen Sicherheitsüberprüfungen eingebaut worden:

			* Für nicht-erxistente Seiten wird ein Fehlercode und ein Fehlerdokument als Antwort ausgegeben.
			* Die Benutzerdaten werden bereinigt, d.h. HTML-Tags werden neutralisiert, indem die Zeichen <code><</code> und <code>></code> durch <code>&lt;</code> und <code>&gt;</code> ersetzt werden. (Sehen Sie sich mal die HTML-Source von dieser Zeile an. :) ). Damit ist es dem Benutzer z.B. nicht mehr nöglich, HTML-Skripte mittels <code><script>...</script></code> zu schicken, die dann in die Begrüßungsseite eingebaut und beim Client ausgeführt werden.

			Es gibt allerdings noch eine weitere Sicherheitsüberprüfung. Die Methode <code>m_get_user_data</code> bricht die Verbindung zum Client ab, wenn mehr als 1.000.000 Zeichen übertragen werden sollen. Damit ist es einem Angreifer nicht so leicht möglich, den Server lahmzulegen, indem er einfach ein paar DVD-Inhalte an Daten schickt.

	==Fortsetzung des Tutoriums==		==Fortsetzung des Tutoriums==

Kowa: /* Verarbeitung von Benutzerdaten */

2014-10-30T09:04:22Z

Verarbeitung von Benutzerdaten

@@ Zeile 258: / Zeile 258: @@
 Diese machen Fehler, absichtlich oder unabsichtlich. Dagegen '''muss''' die Anwendung abgesichert werden.
 Ein zweiter Grund ist, dass die Kommunikation zwischen Client und Server immer [[asynchron]] abläuft.
 ==Fortsetzung des Tutoriums==

Kowa: /* Analyse von hello-world-http-02.js */

2014-10-30T08:53:13Z

Analyse von hello-world-http-02.js

← Nächstältere Version		Version vom 30. Oktober 2014, 08:53 Uhr
Zeile 257:		Zeile 257:
	Grund: Wenn man eine Web-Anwendung erstellt, können potenziell mehr als 7.000.000.000 Benutzer zugreifen.		Grund: Wenn man eine Web-Anwendung erstellt, können potenziell mehr als 7.000.000.000 Benutzer zugreifen.
	Diese machen Fehler, absichtlich oder unabsichtlich. Dagegen '''muss''' die Anwendung abgesichert werden.		Diese machen Fehler, absichtlich oder unabsichtlich. Dagegen '''muss''' die Anwendung abgesichert werden.
	Ein zweiter Grund ist, dass die ~~kommunikation~~ zwischen Client und Server immer [[asynchron]] abläuft.		Ein zweiter Grund ist, dass die Kommunikation zwischen Client und Server immer [[asynchron]] abläuft.

	==Fortsetzung des Tutoriums==		==Fortsetzung des Tutoriums==

Kowa: /* Verarbeitung von Benutzerdaten */

2014-10-30T08:24:35Z

Verarbeitung von Benutzerdaten

← Nächstältere Version		Version vom 30. Oktober 2014, 08:24 Uhr
Zeile 251:		Zeile 251:
	HTML-Code als Namen eingeben (Versuch von [[Cross-Site-Scripting]]), bestehende und nicht bestehende		HTML-Code als Namen eingeben (Versuch von [[Cross-Site-Scripting]]), bestehende und nicht bestehende
	URLs von Hand eingeben etc.		URLs von Hand eingeben etc.

			===Analyse von <code>hello-world-http-02.js</code>===

			Dies dürfte das längste Hello-World-Programm aller Zeiten sein. Das hat allerdings einen triftigen
			Grund: Wenn man eine Web-Anwendung erstellt, können potenziell mehr als 7.000.000.000 Benutzer zugreifen.
			Diese machen Fehler, absichtlich oder unabsichtlich. Dagegen '''muss''' die Anwendung abgesichert werden.
			Ein zweiter Grund ist, dass die kommunikation zwischen Client und Server immer [[asynchron]] abläuft.

	==Fortsetzung des Tutoriums==		==Fortsetzung des Tutoriums==

Kowa: /* Ein einfacher HTTP-Server, der Hallo, Welt! ausgibt */

2014-10-30T07:50:15Z

Ein einfacher HTTP-Server, der Hallo, Welt! ausgibt

← Nächstältere Version		Version vom 30. Oktober 2014, 07:50 Uhr
Zeile 45:		Zeile 45:
	in Ihrem Browser die [[URL]] <code>http://localhost:7777/</code>.		in Ihrem Browser die [[URL]] <code>http://localhost:7777/</code>.

	===Analyse ~~des Codes~~===		===Analyse von <code>hello-world-http-01.js</code>===

	Die [http://nodejs.org/api/http.html Node-Bibliothek <code>http</code>] stellt die Methode		Die [http://nodejs.org/api/http.html Node-Bibliothek <code>http</code>] stellt die Methode

Kowa: /* Siehe auch */

2014-10-29T17:21:19Z

Siehe auch

← Nächstältere Version		Version vom 29. Oktober 2014, 17:21 Uhr
Zeile 260:		Zeile 260:

	==Siehe auch==		==Siehe auch==
	* [https://github.com/kowarschick/Node.js-Tutorium/tree/master/~~hello_world_console~~ Beispiele und Musterlösungen (auf GitHub)]		* [https://github.com/kowarschick/Node.js-Tutorium/tree/master/hello-world-http Beispiele und Musterlösungen (auf GitHub)]

	<noinclude>[[Kategorie: Node.js-Tutorium: Hello World]][[Kategorie: Node.js-Beispiele]]		<noinclude>[[Kategorie: Node.js-Tutorium: Hello World]][[Kategorie: Node.js-Beispiele]]
	</noinclude>		</noinclude>

Kowa am 29. Oktober 2014 um 17:19 Uhr

2014-10-29T17:19:40Z

← Nächstältere Version		Version vom 29. Oktober 2014, 17:19 Uhr
Zeile 220:		Zeile 220:

	v_http		v_http
	/* Der eigentliche HTTP-Server verarbeitet jede Anfrage au dieselbe Art und Weise:		/* Der eigentliche HTTP-Server verarbeitet jede Anfrage auf dieselbe Art und Weise:
			*
	* 1. Ein geeigneter HTTP-Header wird an den Client geschickt.		* 1. Ein geeigneter HTTP-Header wird an den Client geschickt.
	* 2. Die Benutzerdaten werden mittels m_get_user_data aus dem Request-Objekt p_request extrahiert.		* 2. Die Benutzerdaten werden mittels m_get_user_data aus dem Request-Objekt p_request extrahiert.

Kowa: /* Verarbeitung von Benutzerdaten */

2014-10-29T13:43:32Z

Verarbeitung von Benutzerdaten

← Nächstältere Version		Version vom 29. Oktober 2014, 13:43 Uhr
Zeile 76:		Zeile 76:
	zugegriffen werden.		zugegriffen werden.

	Erstellen Sie eine Datei namens <code>hello-world-http-02</code> und ~~füegen~~ Sie folgenden Code ein.		Erstellen Sie eine Datei namens <code>hello-world-http-02</code> und fügen Sie folgenden Code ein.

	<source lang="ecmascript">		<source lang="ecmascript">

Kowa: /* Verarbeitung von Benutzerdaten */

2014-10-29T13:42:52Z

Verarbeitung von Benutzerdaten

← Nächstältere Version		Version vom 29. Oktober 2014, 13:42 Uhr
Zeile 180:		Zeile 180:
	for (var k in l_data)		for (var k in l_data)
	{ if (l_data.hasOwnProperty(k))		{ if (l_data.hasOwnProperty(k))
	{ l_data[k].replace(/</g, '<');		{ l_data[k] = l_data[k].replace(new RegExp('<', 'g'), '<')
	~~l_data[k]~~.replace(/>/g, '>');		.replace(new RegExp('>', 'g'), '>');
	}		}
	}		}
Zeile 249:		Zeile 249:
	Ihrem Browser auf. Spielen Sie mit dem Programm, indem Sie Ihrem Namen eingeben,		Ihrem Browser auf. Spielen Sie mit dem Programm, indem Sie Ihrem Namen eingeben,
	HTML-Code als Namen eingeben (Versuch von [[Cross-Site-Scripting]]), bestehende und nicht bestehende		HTML-Code als Namen eingeben (Versuch von [[Cross-Site-Scripting]]), bestehende und nicht bestehende
	URLs von Hand eingeben etc.		URLs von Hand eingeben etc.

	==Fortsetzung des Tutoriums==		==Fortsetzung des Tutoriums==