Массовая уязвимость в проектах на Ruby

[Pilat]

«Ruby uses a slightly different approach than many other languages to match the end and the beginning of a string.»

Стандарт для современных регулярных выражений — это Perl-совместимые. Почему они не поддерживались при проектировании языка — непонятно, но те самые 90% программистов об этом наверно и не подозревали.
Из-за в частности таких придумок Ruby я избегаю насколько возможно. К сожалению, хорошие программы на нём есть, и не использовать их не удаётся.

[Alukardd]

> К сожалению, хорошие программы на нём есть, и не использовать их не удаётся.
А вот это уже интересное заявление. Можно примеры таких программ на Ruby от которых Вам не хотелось бы отказываться или заменять на аналоги? Если не ошибаюсь, то лично я не пользуюсь ни одной Ruby программой.

[donnerjack13589]

homebrew?

[Alukardd]

Это как я понял некое подобие checkinstall с закосом под порты? Извините, но с OS'X не довелось пообщаться.

[Zelgadis]

Просто source-based менеджер. Как порты только нет категорий и часть ставиться из пакетов, а часть из сорцев (можно все из сорцев)

[bsideup]

GitLab

[Zelgadis]

Причем тут GitLab? GitLab это сервис хостинга git репозиторией.

[bsideup]

… написанный на Ruby, от которого мы в нашей компании не можем отказаться в силу отсутствия достойной конкуренции

это был ответ Alukardd-у, просто случайно как продолжение ветки запостил

интересно, кстати, заминусовали ответ или сам GitLab как продукт?

[Zelgadis]

Я не знаю, я GitlLab использую.

[EvilShadow]

Зачем заменять на аналоги то, что работает? Зачем отказываться от того, что изящно? Зачем переходить на заведомо более слабые языки с более сильных? Разумеется, речь не идёт о Си. Пожалуй, это единственный язык, от которого нельзя отказаться.

[Alukardd]

Даже если уйти от споров на тему «что лучше», т.к. это бесконечный разговор, то почему Вы решили что нету такого понятия как «приязнь»? Для программиста ЯП это инструмент, для пользователя это материал, а эти вещи весьма субъективны. Почему я не могу сказать, что я не люблю Java как пользователь т.к. на машине надо держать какую-то ВМ, что бы она что-то запускала?.. (это просто пример)

[kai]

А для руби или пхп этого уже не надо? Они уже в ядре? ;)

[Alukardd]

Вот у меня Ruby и не стоит, просто для примера написал Java. Как я уже заметил выше, я не использую ни одной программы на Ruby и соответственно его интерпретатор у меня не стоит.

[EvilShadow]

почему Вы решили что нету такого понятия как «приязнь»?

Почему Вы решили, что я так решил?
Комментарий был к фразе

Можно примеры таких программ на Ruby от которых Вам не хотелось бы отказываться или заменять на аналоги?

которая звучит так, будто руби — чудовищный язык, от которого любой нормальный человек должен хотеть отказаться и как можно скорее заменить на аналоги.

[Alukardd]

Ну, мой комментарий вполне логичен, если прочитать предыдущий:

К сожалению, хорошие программы на нём есть, и не использовать их не удаётся.

Вот и хотелось услышать что «не удаётся не использовать».

[sdevalex]

Redmine

[Alukardd]

Весьма специфичное приложение. Однако, пример засчитан.
p.s. ответ сразу всем 4-м комментаторам.

[Pilat]

Redmine

[kai]

Redmine? ))))

[Progrik]

Redmine!

[Ghostwriter]

Chef, Vagrant

[Alukardd]

Вот! Спасибо. Я дождался ответа, важного лично для меня. Chef, puppet — две вполне годные программы и написаны на Ruby. И пусть в виду неких прений с начальством на прошлой работе мне так и не удалось попользоваться puppet'ом, я всё равно считаю его удобной программой.

[Enchant]

Salt весьма хорошая альтернатива, написана на python. Имхо, понятнее и проще чем puppet,

[Zelgadis]

puppet вообще зло.

[preprocessor]

ня?

[VolCh]

Capistrano

[stalker_by]

Redmine, Chef, Puppet

[arturich]

> Стандарт для современных регулярных выражений — это Perl-совместимые. Почему они не поддерживались при проектировании языка — непонятно, но те самые 90% программистов об этом наверно и не подозревали.

Согласен, что всегда надо разрабатывать по принципу «наименьшего удивления». Т.е. делать именно ожидаемое поведение системы/модулей/классов/функций и т.д.

[Sega100500]

Складывается впечатление, что в Ruby многострочный режим в регулярках включен по-умолчанию, отсюда и такое поведение. Хотя это по-моему неправильно, иначе зачем тогда модификатор 'm'? Поведение '^' описанное в проблеме как раз подходит под описание работы в многострочном режиме.

[Sega100500]

извиняюсь, не в той ветке написал

[Paxa]

Моя бабушка так-же отказывается использовать новый утюг когда мы ей его подарили, говорит слишком сложно и непредсказуемо выпускает пар при нажатии на кнопку

[EvilShadow]

Как прославиться:
1. Читаем guides.rubyonrails.org
2.…
3. PROFIT!

[Homakov]

да.

[alprk]

омг, снова ваша работа?)

[or10n]

ну вообще в posix-regex ^ — это поиск по линиям(по каждой строке в отдельности), \A — поиск по всей строке целиком.

[or10n]

да и в perl-regex собственно тоже

[jerom]

Нет, в perl это поведение включает специальный ключ, который надо писать у каждого выражения.

Единственная особенно по-умолчанию в Perl — что $ допускает перевод строки после него (и только перевод строки, после него ничего уже не должно быть).

[Homakov]

да, такое тоже бывает — \Z позволяет перевод, \z уже нет.

в руби банально нет ключа чтобы заставить ^ матчить начало строки. Надо просто заменять на \A. Так сказала партия.

[Homakov]

ммм цель немножко другая, исправить неочевидное поведение языка. Y U NO тут причем )

[Homakov]

пожалуйста. правда не совсем понятен смысл мемо пикч — сарказм или что это? в любом случае я поржал, за что вам спасибо.

[Homakov]

есть некая грань между ленивыми растяпами и github/tumblr/scribd, этому и посвещен пост. если все ошибаются может стоит «изменить систему» лол

[phasma]

Да, это весомый аргумент :) Проблема существует и ее нужно решать.

[VolCh]

большинство кодеров невнимательны, не читают документацию и не знакомы с best practicles и ключевыми рекомендациями по своему языку.

Обычно это приводится в качестве недостатка PHP :)

[Sauron]

Непонятно только, кто писал ГитХаб — лентяи или самоучки? А может лентяи самоучки?

[crackedmind]

Пойду на всякий случай проверю…

[Homakov]

SO MUCH LOL'D.

[antage]

Попробуйте brakemanscanner.org — он отлично находит подобные ошибки в rails-приложения.

[Homakov]

людям кто знает эти вещи сканеры не нужны. а кто незнает — незнают о сканерах в том числе. Хотя проект хороший

[murr]

Отличный инструмент, спасибо!

[mpetrunin]

Огромное спасибо за ссылку

[Sega100500]

Складывается впечатление, что в Ruby многострочный режим в регулярках включен по-умолчанию, отсюда и такое поведение. Хотя это по-моему неправильно, иначе зачем тогда модификатор 'm'? Поведение '^' описанное в проблеме как раз подходит под описание работы в многострочном режиме.

[youROCK]

Честно говоря, до сих пор не понимаю use-case для многострочного режима в регулярных выражениях (по крайней мере на PHP).

[jerom]

С ключом g легко писать циклы по строкам внутри длинного текста (вместо split):

$_ = "1st\n2nd\n3rd\n";

while(/^(.*)$/gm) {
    say $1;
}

[Sega100500]

Написал о проблеме разработчикам Ruby, и вот ответ:

«In Ruby there is no multiline flag, regexps in Ruby are always in multiline mode. See advogato.org/person/fxn/diary/498.html for some gotchas regarding regexp flags in Perl vs Ruby.

In Ruby, you need to use \A and \z (or \Z) to match start and end of string.

…

Ruby won't prevent you shooting your foot.»

Как я и предполагал, в Ruby просто всегда по-умолчанию многострочный режим, поэтому надо пользоваться \A \z.

[Sega100500]

И еще вдогонку из документации:

^ — Matches beginning of line
$ — Matches end of line
\A — Matches beginning of string.
\Z — Matches end of string. If string ends with a newline, it matches just before newline
\z — Matches end of string

И описания хорошо видно, что работает с полной строкой (даже многострочной), а что с line в строке.

Хотя на самом деле с непривычки это несколько обескураживает, но привыкнуть можно. По крайней мере я после прочтения книги о Ruby как-то сразу для себя уяснил это и использовал в первом же regexp именно \A и \z. Но, согласен, что по невнимательности это может привести к проблеме.

[Homakov]

спасибо! Да, разумеется руби по умолчанию в этом режиме. Но это огромный фейл «Ruby won't prevent you shooting your foot» это был сильный промах руби изначально пойти по такому пути. Я не думаю что реально поднять уровень знания об этой проблеме достаточно высоко. Куда проще было бы принять свой фейл и выйти из мультилайн режима.
А так да, конечно, «you need to use \A and \z (or \Z) to match start and end of string» мы это и так знаем. Эдакое «тайное» знание

[Sega100500]

Дело не в тайных знаниях. Дело в привычке. Те, кто не привык к тому, что многострочный режим НЕ используется по-умолчанию, при переходе на Ruby будут ошибаться.
Ну а по-хорошему, наверное, чтобы писать на Ruby надо внимательно читать документацию и просто писать правильно. Как ни крути, а есть отличия…

[Homakov]

ссылочку не дашь пожалуйста на ответ руби?

[Sega100500]

bugs.ruby-lang.org/issues/6472

[slayerhabr]

хомяков снова открывает америку, в следующий раз напиши плиз о шифровании паролей или настройки файрвола