Телеграмм чат группы laravel

и даже получив список классов
когда она начинает искать реализует ли класс интерфейс она начинает загружать этот класс, а точей файл из classmap
потому что что reflection что функции пхп подгружают классы по умолчанию чтобы проверить имлементит ли один класс другой интерфейс

источник

11:50пожаловаться #4

V

Vadim in Laravel Pro

Evgeniy Kuvshinov

и даже получив список классов
когда она начинает искать реализует ли класс интерфейс она начинает загружать этот класс, а точей файл из classmap
потому что что reflection что функции пхп подгружают классы по умолчанию чтобы проверить имлементит ли один класс другой интерфейс

Подгружает, но не вызывает. Это нормальная цена за удобство фичи. И твои аргументы про то, что таким образом можно вызвать опасный файл, не имеют ничего общего с реальностью. При получении данных о том, имплементит ли класс интерфейс, запускать его не надо.

источник

11:53пожаловаться #5

EK

Evgeniy Kuvshinov in Laravel Pro

ну и вот https://github.com/symfony/dependency-injection/blob/master/Loader/DirectoryLoader.php#L24
хотя это возможно не совсем тот класс

источник

11:53пожаловаться #6

EK

Evgeniy Kuvshinov in Laravel Pro

Vadim

Подгружает, но не вызывает. Это нормальная цена за удобство фичи. И твои аргументы про то, что таким образом можно вызвать опасный файл, не имеют ничего общего с реальностью. При получении данных о том, имплементит ли класс интерфейс, запускать его не надо.

подгружает он через include/require
а значит если файл содержит side effectы

источник

11:53пожаловаться #7

EK

Evgeniy Kuvshinov in Laravel Pro

они будут выполнены

источник

11:54пожаловаться #8

EK

Evgeniy Kuvshinov in Laravel Pro

а если где то просто валяется файлик он будет выполнен и может позволить произвольное выполнение кода

V

подгружает он через include/require
а значит если файл содержит side effectы

https://github.com/symfony/dependency-injection/blob/master/Loader/FileLoader.php#L90

GitHub

symfony/dependency-injection

The DependencyInjection component allows you to standardize and centralize the way objects are constructed in your application. - symfony/dependency-injection

источник

11:55пожаловаться #10

V

Vadim in Laravel Pro

Очень похоже на то, что он загрузит не псровский класс?

источник

11:55пожаловаться #11

V

Vadim in Laravel Pro

Evgeniy Kuvshinov

а если где то просто валяется файлик он будет выполнен и может позволить произвольное выполнение кода

Если даже на минуту представить, что такое возможно, это твои проблемы

источник

11:55пожаловаться #12

V

Vadim in Laravel Pro

Ты еще скажи, что ларовский или симфоневский fs должны уметь не дать загружать вирусы или битые картинки

источник

11:56пожаловаться #13

EK

Evgeniy Kuvshinov in Laravel Pro

Vadim

Ты еще скажи, что ларовский или симфоневский fs должны уметь не дать загружать вирусы или битые картинки

я такова не говорил

источник

11:56пожаловаться #14

EK

Evgeniy Kuvshinov in Laravel Pro

но side effect от выполнения всех файлов в проекте (пусть даже в разработке)
это немного не то что хотелось бы

источник

11:57пожаловаться #15

EK

Evgeniy Kuvshinov in Laravel Pro

по крайне мере в тихую

источник

11:57пожаловаться #16

V

Vadim in Laravel Pro

Ты сказал похожее. Контейнер не должен уметь определять, опасный перед ним файл или нет. Если ты его положил, то это твои проблемы. Но контейнер, конечно же, не грузит все подряд, так что такое едва ли возможно

источник

11:57пожаловаться #17

V

Vadim in Laravel Pro

Evgeniy Kuvshinov

но side effect от выполнения всех файлов в проекте (пусть даже в разработке)
это немного не то что хотелось бы

Да не выполняет он файлы

источник

11:57пожаловаться #18

V

Vadim in Laravel Pro

Vadim