Создание встроенного модуля CMS. Часть 3

В статье подразумевается, что вы уже прочитали предыдущие статьи.

Рассматривается вопрос разделения модуля на части для посетителей сайта и для администратора, чтение и добавление контента на сайт, использование шаблонов.

Статья пишется по горячим следам разработки модуля гостевой книги. Поэтому сразу сделаем допущение, что внутреннее имя у него guestbook.

Содержание

1 Самый простой вариант
2 Собственная таблица для произвольных данных
3 Отладка
4 Разделение на выдачу контента и принятие формы
5 Шаблоны
6 Админка
- 6.1 Как понять, что сайт просматривает авторизованный пользователь

Самый простой вариант

Вывод разных строк в зависимости от того, сайт это или админка.

sub guestbook()
{
	if ( defined param('edt') )
	{
		print "Hello, admin interface!";
	}
	else
	{
		return "Hello, site!";
	}
}

Обратите внимание, для сайта всё ещё действует правило, обязывающее возвращать данные (return). А в админке следует использовать print. Разумеется, это никак не мешает накапливать данные в переменных и под конец выдать их в нужном порядке.

Собственная таблица для произвольных данных

Сделаем таблицу:

CREATE TABLE GUESTBOOK (
    ID         INTEGER NOT NULL,
    NAME       VARCHAR(128),
    TEXT       BLOB SUB_TYPE 1 SEGMENT SIZE 80,
    POST_DATE  TIMESTAMP,
    published  SMALLINT DEFAULT 0,
    OWNER      INTEGER NOT NULL
);

Пройдёмся по полям:

ID — идентификатор объекта, Это общая рекомендация проектирования баз данных, рекомендуем всегда создавать его для любых, это намного упростит вам дальнейшую разработку.
NAME, TEXT, POST_DATE — это уже произвольные поля, которые могут быть какими угодно для потребностей вашего нового модуля. Для простейшего примера гостевой книги их будет достаточно.
published — признак опубликованности. Для модуля новостей это может быть признаком черновика; для навигации это может быть галочкой, включающей пункт в меню; для гостевой книги это будет признак одобрения модератором. 0 будет означать "сообщение на рассмотрении", 1 — "одобрено к показу на сайте".
OWNER — владелец сайта. 6 у нас всегда школльный сайт, остальное — блоги. Об этом важно помнить при разработке всех модулей, которые будут писать и читать из базы. Вам не нужно каждый раз выяснять владельца, CMS уже заботится об этом. Когда выполняется модуль, глобальная переменная $owner уже содержит какое-то число, равное идентификатору авторизованного пользователя в админке либо автора сайта. Вам остаётся только использовать его для вставки в базу данных для этого владельца или выбирать из базы данные только для такого владельца. Таким образом реализуется хранение данных для сайта и блогов в одной таблице. Ниже будет приведён пример использования владельца. $owner всегда определён, потому что выполнение модуля в режиме админки без авторизации невозможно, выполнение модуля на сайте без определения владельца тоже невозможно (будет выдана ошибка 404, ни один модуль не выполнится).

Добавление данных

Форма ввода сообщения в самом простом случае выглядит так:

<form class="guestbook" method="post">
	Имя:   <input type="text" name="name">
	Текст: <textarea name="text"></textarea>
	<button type="submit">Отправить</button>
</form>

Пример реакции на отправку этой формы:

my $name = param('name');
my $text = param('text');
sqlb("INSERT INTO GUESTBOOK
	(NAME, TEXT, POST_DATE, published, owner)
	VALUES
	(?,    ?,    NOW()),    0,         $owner",
	$name, $text
);

Отступление о безопасности

Забрать данные из запроса пользователя с помощью функции param() и сразу использовать их небезопасно. В этом цикле статей используется простейший код, не содержащий проверок на корректность данных. Для ознакомления с методами защиты данных настоятельно рекомендуется прочитать статью Защита веб-приложений на Perl.

В портале уже есть встроенные методы проверки данных. Например, прочитайте функции sec_* в common.pl.

Использовать их просто:

# обязательная проверка
my $id = param('id');
sec_gt0($id);
 
# проверка параметра, которого может и не быть
my $opt = param('opt');
sec_gt0($opt) if defined($opt);

В common.pl с версии 5.2 доступна функция, упрощающая безопаное чтение данных для записи в базу и последующего показа на сайте:

# пример использования
my $a = param_dexss_lim('a', 64);

Смысл: прочитать параметр по имени a, отразить XSS, взять не более 64 символа.

Чтение данных

my $query = sqlpcms("select * from guestbook where published = 1 and owner = $owner");
# sqlp выполняет DBI::prepare, затем DBI::execute
# $query — это результат функции DBI::prepare

Обратите внимание на условие выборки. В выдачу попадут только опубликованные материалы и только принадлежащие владельцу сайта.

Отладка

Наши удобные обёртки (а именно функции sql* в common.pl) скрывают от нас DBI с его громоздкими конструкицями, предназначенными для обработки ошибок.

Стоит вам сформировать неверный запрос, как функция sql* выбросит сообщение, понятное постороннему человеку.

Но нам-то это не помогает понять, что произошло, а главное где. У портала есть режим отладки, который сильно помогает при разработке, который очень рекомендуем включить у себя для удобства отладки, но крайне не рекомендуем включать на боевом сервере, поскольку раскрывается множество технических подробностей, которые: во-первых, никак не помогут посетителям, если что-то случилось; во-вторых, выдадут лишнюю информацию злоумышленникам.

Итак: та же самая ошибка, в режиме отладки:

Как это сделать: открываем sp.conf, пишем:

DEBUG = 0

Теперь все сообщения об ошибках обращения к базе будет с дампом запроса и стектрейсом (функции error и stop тоже поднимут стектрей), кроме того, светру над меню вы увидите служебную информацию и времени выполнения скрипта (при отсутствии ошибки итоговое, а при наличии стопа или ошибка время от начала до ошибки), количество SQL-запросов и текст всех запросов по клику на их количестве, в котором указывается время выполнения, предупреждения об идентичных запросах и пометка долго выполнявшихся запросов.

Здорово, правда? :)

Поехали дальше.

Разделение на выдачу контента и принятие формы

Приведённый ниже код с учётом формы отправки сообщения пока не затрагивает вопрос поведения модуля в админке — мы всё ещё занимаемся частью кода для сайта.

sub guestbook()
{
	if ( defined param('edt') ) # админка
	{
		print "Hello, admin interface!";
	}
	else # сайт
	{
		# Получить данные
		if ( $ENV{'REQUEST_METHOD'} eq 'GET' )
		{
			my $q = sqlpcms("select * from guestbook where published = 1 and owner = $owner");
			my %hash; $q->bind_columns( \( @hash{ @{$q->{NAME_lc} } } ));
			my $messages = '';
 
			while ($q->fetch)
			{
				$messages .= qq[
					<p>Имя: $hash{name}</p>
					<p>Дата: $hash{post_date}</p>
					<p>Сообщение: $hash{text}</p>];
			}
			return "<h2>Гостевая книга</h2><form>...</form>Сообщения: $messages";
		}
		# Записать данные
		elsif ( $ENV{'REQUEST_METHOD'} eq 'POST' )
		{
			my $name = param_dexss_lim('name', 128);
			my $text = param_dexss_lim('text', 1500);
			sqlbcms("INSERT INTO GUESTBOOK
				(NAME, TEXT, POST_DATE, published, owner)
				VALUES
				(?,    ?,    NOW()),    0,         $owner",
				$name, $text
			);
			return "Данные записаны.";
		}
	}
}

Что нового в коде: есть две ветки. Одна читает из базы (формируя HTML-вёрстку), другая пишет в базу принятое из формы и сообщает, что "Данные записаны.".

HTML-вёрстка в этом варианте зашита в perl-код. Это вносит неудобства и ограничения. Далее мы от этого избавимся.

Шаблоны

Что плохого в том, что HTML-вёрстка зашита в Perl-коде?

Неудобство редактирования кода: синтаксическая подсветка, автодополнение — всё это не работает внутри простой строки на языке Perl.
Невозможность применить разную вёрстку для разных тем оформления сайта.

Эти проблемы решаются с помощью вынесения вёрстки в шаблоны. Шаблон — это просто внешний HTML-файл. Шаблон загружается в переменную функцией tpl_str.

Примеры:

# в переменную
my $html = tpl_str('test.html');
 
# сразу на экран
print tpl_str('test.html');

Передача даных в шаблон

tpl_str с одним параметром (именем файла) просто читает файл.

Чтобы заполнить шаблон данными, следует вызывать tpl_str с двумя параметрами:

Имя файла шаблона;
Хеш замены. В хеше ключи означают имена переменных в шаблоне, а на значения ключей переменные в шаблоне будут заменены.

Переменные в шаблоне — это просто слова со знаком доллара в начале, например $name.

Пример шаблона и заполнения:

HTML-шаблон test.html с 2 переменными:

<p>Привет, меня зовут $name. Мне $age лет.</p>

Perl-код:

tpl_str('test.html',{
	name => 'Иван',
	age  => 10,
});

Результат:

<p>Привет, меня зовут Иван. Мне 10 лет.</p>

Посмотрите на содержимое файла файла:

/var/www/html/sp/cms/themes/sp-blog/news.html

Это шаблон новости из темы оформления sp-blog. Вот насколько просто у нас делаются шаблоны.

Пути к шаблонам

В примерах выше приведён вызов tpl_str с именем файла шаблона. Такое сработало бы, если бы шаблон был один на всех и лежат рядом со скриптом.

В реальности нам необходимо поддерживать темы оформления (шаблоны лежат в разных папках) и темы оформления блогов (наборы подпапок в личных папках блогеров).

Хорошие новости, CMS заботится и об этом. Выяснить вручную, какой сайт запрошен (школьный или блог), и какая тема оформления в нём выбрана, не нужно.

Путь к папке с шаблонами хранит переменная $theme_dir, а выбранную тему хранит переменная $theme.

Таким образом, если стоит задача получить заполненный шаблон guestbook.html без забот, следует писать полный путь, построенный из этих переменных и имени нужного файла на конце:

my $html = tpl_str("$theme_dir/$theme/guestbook.html", {
	# замены...
});

Вынесение вёрстки из кода в шаблон:

sub guestbook()
{
	# ...
	while ( $q->fetch )
	{
		$messages .= tpl_str("$theme_dir/$theme/guestbook.html",{
			name => $hash{name},
			date => $hash{post_date},
			text => $hash{text},
		});
	}
	return tpl_str("$theme_dir/$theme/guestbook.html",{
		messages => $messages,
	});
	# ...
}

Результат: вёрстка во внешних файлах:

guestbook.html — шаблон страницы с гостевой, заголовки, форма
guestbook-item.html — шаблон отдельной записи

Этот вариант максимально прост, но требует, чтобы шаблон был в каждой теме оформления.

Кеширование и шаблон по умолчанию

tpl_str хороша для админки или для простых страниц. Она читает шаблон с диска на каждый вызов, а в случае отсутствия шаблона не происходит автоматическая подгрузка одноимённого файла из темы sp-default.

Чтобы эффективнее использовать замены в шаблонах в циклах, а также поддерживать идею взятия отсутствующего шаблона из темы sp-default, используйте связку из двух функций:

open_tpl — только читает шаблон, возвращает массив строк. При повторном вызове быстро берёт шалблон из памяти без обращения к диску. Выигрыш при использовании SpeedyCGI (то есть в боевых условиях).
tpl_replace_ant — выполняет замену по массиву, прочитанному ранее функцией open_tpl, возвращает массив строк с заменами (конечную вёрстку, готовую для выдачи пользователю).

Параметры open_tpl:

Полный путь к файлу шаблона (используйте переменные для указания пути к темам и имени выбранной темы аналогично tpl_str)

Параметры tpl_replace_ant:

Анонимный хеш или ссылка на кэш
Ссылка на массив, прочитанный open_tpl

Пример:

Админка

TODO список комментов, кнопки одобрить, удалить

Как понять, что сайт просматривает авторизованный пользователь

TODO

Создание встроенного модуля CMS. Часть 3

Содержание

Самый простой вариант

Собственная таблица для произвольных данных

Добавление данных

Отступление о безопасности

Чтение данных

Отладка

Разделение на выдачу контента и принятие формы

Шаблоны

Передача даных в шаблон

Пути к шаблонам

Кеширование и шаблон по умолчанию

Админка

Как понять, что сайт просматривает авторизованный пользователь

Навигация

Персональные инструменты

Пространства имён

Варианты

Просмотры

Действия

Поиск

Навигация

Инструменты