Programování, tvorba webu

Ruku v ruce s dnešní dávkou bezpečnostních aktualizací pro redakční systém Drupal byla uvolněna i verze Drupal 6 RC2. Druhý Release Candidate zahrunuje všechny opravy chyb, které řeší ráno vydaný Drupal 5.6. Oficiální zpráva o vydání zmiňuje také současný stav vývoje nejoblíbenějších a nejdůležitějších modulů pro Drupal 6. 

Nemilá zpráva čekala dnes ráno na uživatele redakčního systému Drupal. Bylo vydáno hned šest bezpečnostních oznámení, které popisují lehce, středně a dokonce i vysoce kritické problémy. Postiženo je jimi několik doplňkových modulů, nicméně kritické problémy se týkají i jádra Drupalu. K aktualizacím tedy budou muset přistoupit všichni jeho uživatelé. 

Nová verze redakčního systému Drupal slibuje větší uživatelskou přívětivost, snazší administraci a řadu novinek, které vám umožní vytvořit si na základě Drupalu lepší web. Přestože je Drupal 6 zatím ve stádiu betaverze, rozhodl jsem se jej nasadit na svůj nový projekt Backup HowTo. Byl jsem překvapen, jaký kus práce vývojáři udělali ve čtvrté betaverzi v porovnání s první; ještě zřetelnější to je, pokud srovnáme Drupal 6 s pátou řadou. 

Vývojářům Drupalu se moc nedaří. Včera byla oznámena sada bezpečnostních problémů postihujících několik modulů i samotné jádro Drupalu. Více informací jsem psal dnes ráno. Před pár hodinami byla uvolněna další aktualizace hlavní části Drupalu, která opravuje chybu zanešenou v opravném Drupalu 5.4 ze včerejška. Oprava totiž způsobila, že RSS zdroje pro jednotlivé kategorie se tváří jako prázdné.

Redakční systém Drupal má myslím docela dobře zpracován komentářový systém. V administraci je možné nastavit oprávnění pro určité skupiny uživatelů, kteří mohou nebo nemohou přispívat do komentářů pod články, komentáře lze zavírat nebo úplně vypínat, a to jak globálně tak pro jednotlivé články. Dokonce lze použít i vizuální editor pro zadávání textu komentářů. Jedna věc mi však z pohledu komentujícího dlouho chyběla. Informace o reakcích a automatické vyplňování jména. 

Během včerejška se sešlo hned několik bezpečnostních hlášení, které se týkají zranitelnosti redakčního systému Drupal. Postiženo je jádro i několik doplňkových modulů. Aktualizaci svých systémů byste tedy rozhodně neměli odkládat. Zároveň s řešením problémů byly uvolněny nové verze celého Drupalu.

Pokud jste to včera nepostřehli, bylo vydáno upozornění na méně závažné chyby v doplňkových modulech pro redakční systém Drupal. Moduly Project a Project issue tracking umožňují spravovat informace o vašich projektech a řídí celou řadu přístupových práv k těmto projektům. Chyba spočívá v tom, že pokud uživatel získá identifikátor nodu k projektu, ke kterému nemá přístup, může sledovat aktivitu práce s CVS.

Pod nadpisem plným zkratek a cizích slov bych chtěl upozornit na nově objevenou bezpečnostní chybu v modulu pro redakční systém Drupal. Chyba je v modulu Nodereference, který je součástí sady Content Construction Kit, s jejíž pomocí lze vytvářet volitelná pole v příspěvku. Nový bezpečnostní problém nahlášený Gerhard Killesreiter z Drupal Security Teamu se týká XSS.

Právě byly vydány dvě bezpečnostní informace týkající se kritické zranitelnosti redakčního systému Drupal. Zranitelná je jak pátá řada Drupalu, tak verze 4.7. První bezpečnostní upozornění sice bylo vydáno pouze pro Drupal 5.x, další zpráva se však týká již obou aktuálně používaných vývojových větví Drupalu.

Nedávno jsem se rozhodl s konečnou platností odstranit několik drobných problémů s validitou kódu, který mi redakční systém Drupal na Maxiorlovi generuje. Validátor od W3C nenašel mnoho závažných chyb, většina se týkala pouze JavaScriptu v použitých počitadlech a jednoho problému, který se týkal přímo Drupalu.

Jeden z doplňkových modulů pro redakční systém Drupal obsahuje chybu, která si vyžaduje aktualizaci tohoto modulu. Po nedávno opravovaných modulech Print a Forward přichází na řadu LoginToboggan. Tento modul upravuje přihlašování a odhlašování uživatelů k redakčnímu systému. Chyba není označena jako kritická, nicméně z preventivních důvodů je lepší aktualizaci provést.

Dnes byla vydána dvě upozornění na bezpečnostní chyby v modulech Print a Forward určených pro redakční systém Drupal. Obě chyby jsou označeny jako méně kritické. Moduly nejsou součástí jádra Drupalu, takže stačí, pokud budete aktualizovat jen web, které zmíněné moduly využívají.

Na každém webu najdete části, které tvoří hlavní obsah, části sloužíci k navigaci v rámci webu, odkazy na spřátelené stránky, různé dočasné informace atd. Vzhledem k tomu, že se reklamy AdSense zobrazují v závislosti na obsahu stránky, je dobré reklamní systém donutit k tomu, aby si obsahově nepodstatných částí vašeho webu nevšímal. Řešení je velmi jednoduché a ve vztahu k pravidlům AdSense také legální.

Údržba webu, který běží na systému Drupal, je poměrně snadná. Administrátorské rozhraní je přehledné a poskytuje vám dostatek nástrojů k tomu, abyste zařídili, že váš web poběží jako hodinky. Horší je to ovšem se sledováním aktualizací použitých modulů. Pokud kromě jádra Drupalu používáte jenom jeden či dva doplňkové moduly, pak je snadné se kouknout na jejich stránky. Ovšem v případě, že doplňkových modulů máte mnohem více, je sledování jejich aktualizací přeci jenom časově náročnější.

Publikační systém Drupal se dočkal páté, novinkami prošpikované verze. Vývoj trval osm měsíců a změna hlavního čísla verze ještě déle, neboť Drupal 4 byl uvolněn v roce 2002. Stovky vývojářů pracovali na doplnění více jak tisícovky úprav. Změn se dočkala administrační část, přibyly nové funkce pro práci s obsahem, webový instalátor, vylepšeno bylo také API, atd. Vývojáře bude zajímat vestavěná podpora jQuery JavaScript library, která mimo jiné umožňuje snadné použití AJAXu.