JWC 작성:

저도 가장 불안히 생각하는 것중 한가지 입니다.
어떤 플러그인을 다운 받아서 설치했는데 DB에 테이블을 생성하는걸 보고 겁이나더군요.
이거 악용만하면 데이터도 마음대로 수정하거나 파괴할 수 있겠구나 하고요.

네 플러그인만 리뷰해줄 수 있는 프렌드분이 한분 계시면 좋을 듯 합니다.
도대체 어떤영향을 주는지, 이런것들이 궁금할때가 많거든요..
일단은 태터를 쓰시는 분은 모두 착한분이라는 믿음을 가지고 있습니다. ( 아직까지는... )
그런데, 성장을 거듭할 수록 나쁜사람들도 많이 생길것 같단 예상...조심스레 해봅니다.

문제는 항상 '자원'의 문제로 귀결되지요... Peris 님 한번 나서주시겠습니까 ?? 
( 조심스럽게...~~ ^^ )

플러그인의 보안등급을 직접 측정하는 부분을 플러그인 모듈 안에 추가해야 되지 않을까 싶습니다.

복잡하게 생각하면 복잡한데, 간단하게 생각하면 플러그인 내용 중에 SQL 쿼리가 존재하는지, 자바스크립트가 존재하는지 등등만 검사해서 표시하도록 해도 해결은 되지 않을까 싶습니다. 어떨까요?

inureyes 작성:

플러그인의 보안등급을 직접 측정하는 부분을 플러그인 모듈 안에 추가해야 되지 않을까 싶습니다.

복잡하게 생각하면 복잡한데, 간단하게 생각하면 플러그인 내용 중에 SQL 쿼리가 존재하는지, 자바스크립트가 존재하는지 등등만 검사해서 표시하도록 해도 해결은 되지 않을까 싶습니다. 어떨까요?

플러그인이 "미사용" 에서 "사용"으로 전환될때 내부적으로 validate 하고, 그 결과에 대해서 사용자에게 경고를 해주는것도 좋을거같습니다.
예를 들자면..

사용하시려는 ***플러그인은 다음과 같은 이유로 위험할 수가 있습니다.
* 이 플러그인은 DB에 테이블을 생성합니다.
* 이 플러그인은 DB에 레코드를 수정합니다.

이를 무시하고 플러그인을 사용하시겠습니까?

처럼 말이지요.

PAPACHA 작성:

플러그인 manifest에 보안등급(?)을 구분할 수 있는 safety element가 있습니다.
PHP 언어 특성상 compile(parse)-time에 사용되는 함수나 명령을 판단하는 것은 불가능합니다.
...

compile time이 아니라 플러그인 사용여부를 체크할 때 index.php를 텍스트로 읽어와 해석하는 것은 가능하지 않나요?

그렇군요 이해했습니다. 인터프리터에서 해석하는 시간이 compile time이 아니라 문자열로 읽어들이는 것이 compile time이군요. php코드로써가 아니라 완전히 plain text로 읽어와도 compile time이 되는건가요?

C addictive people에게는 힘든 개념입니다. ㅠ_ㅠ

단순한 문자열이 아니라 PHP 코드로서 읽어들여 syntatic analysis를 하기 때문에 compile(parse)-time입니다.
syntactic analysis를 해서 AST를 얻어 interpret하면 run-time이 되겠지요.

참고로, 태터툴즈 배포판에 사용되는 optimizer는 syntactic analysis를 통해 compile(parse)-time에 optimizing합니다. 그래서 require와 require_once가 있을 때, 전자는 compile-time에 결정되어 optimizing할 수 있지만 후자는 그렇지 못합니다. 또한 최근에 inureyes님이 글편집 팝업창과 관련하여 commit한 코드 중에 다음은 compile-time에 optimzing할 것이 별로 없습니다.

require ROOT . (isset($_GET['popupEditor']) ? '/lib/piece/owner/contentMenu81.php' : '/lib/piece/owner/contentMenu70.php');

그래서 다음과 같이 수정한 것이지요.

if (isset($_GET['popupEditor']))
    require ROOT . '/lib/piece/owner/contentMenu81.php';
else
    require ROOT . '/lib/piece/owner/contentMenu70.php';

오호.. 요즘 Programming Language 시간에 하는 내용들이 나오는군요;; 저번 중간고사 범위가 lexical/syntatic analysis였다는...-_-;;

확실히, php 코드를 분석해서 그것이 악의적인 동작을 하는지 알아보는 건 불가능할 듯 싶습니다. 일종의 halting problem이려나요? ;

PL 강의만으로 완전히 이해하는 것은 무리지요.
compiler를 들어보셔야 ㅎㅎ