|
|
\chapter{Staticky generovaný web}
|
|
|
|
|
|
Princip statické webové stránky sahá ke až vzniku WWW, kdy existovaly pouze stránky statické, tedy stejné pro každého uživatele. Jejich obsah může být průběžně aktualizován, ovšem negenerují se zvlášť pro každého uživatele na základě různých proměnných. U statických webů tedy dochází k vytvoření čístého HTML ve chvíli, kdy je změněn zdrojový obsah, nebo kdy autor ručně spustí generátor. \cite{pcmagstatic}
|
|
|
|
|
|
Dynamické stránky jsou generovány speciálně pro každého uživatele na základě jeho nastavení, různých vstpů, proměnných a dalších vlastností. Ke generování dochází ve chvíli, kdy si uživatel stránku vyžádá, nikoliv předem, jako je tomu u staticky generovaných stránek. \cite{pcmagdynamic}
|
|
|
|
|
|
\section{Výhody statických webových stránek}
|
|
|
|
|
|
Pro sdílení statického obsahu mezi různé uživatele stačí velmi jednoduchý HTTP server bez jakýchkoliv dalších modulů typu \textit{PHP}, \textit{Pythnon} a dalších systémů, které by obsah dynamicky generovaly například z dat vytažených z databáze, nebo z uživatelského vstupu. Na straně serveru tedy nedochází ke zpracování obsahu těsně před jeho odesláním uživateli, čímž se v komunikaci mezi klientem a serverem se drasticky snižuje \uv{Time To Firt Byte}\footnote{Time To First Byte --- čas mezi odesláním požadavku a přijmutím prvního bajtu dat.} a tím dochází ke snížení celkové latence. \cite{mozttfb}
|
|
|
|
|
|
Snížení samotné latence může pozitivně přispět ke spokojenosti uživatelů, což dokazuje nespočet výzkumů na toto téma, například analýza z webového portálu Financial Times:\quest{Dvojtečka?}
|
|
|
|
|
|
\begin{quote}
|
|
|
\quest[inline]{Musím to překládat, nebo stačí tanhle přímá citace. Je složená ze dvou částí v textu.}
|
|
|
The speed of the site negatively impacts a user’s session depth, no matter how small the delay\dots \quest{Jak spojit dvě části? Takhle?} The data suggests, both in terms of user experience and financial impact, that there are clear and highly valued benefits in making the site even faster. From this research we’ve chosen to invest even more time in making every aspect of the new FT.com website even faster over the coming months. \cite{financialtimes}\quest{Citace tady nebo před přímou řečí?}
|
|
|
\end{quote}
|
|
|
\begin{quote}
|
|
|
Rychlost webové stránky negativně ovlivňuje hloubku jejího užívání, ať už je odezva sebemenší ... Data ukazují, z pohledu uživatelské spokojenosti a finančního dopadu, že existují jasné a důležité výhody při zrychlení stránky. Z tohoto výzkumu jsme se rozhodli v následujících měsících zainvestovat ještě více času do úprav všech aspektů nové stránky FT.com s cílem jejího zrychlení.\todo{Nechat opravit překlad}
|
|
|
\end{quote}
|
|
|
|
|
|
Eliminováním dynamického obsahu se také předchází nevyžádaným vstupům od uživatele, které mohou být i cílené na prolomení bezpečnostních nedostatků webové aplikace a v některých případech mohou vést k úniku citlivých dat, převzetí kontroly útočníka nad webovou aplikací nebo celým serverem, podstrčení falešných dat uživateli a mnoho dalším běžně se stávajícím útokům. Statický web eliminuje tento problém, jelikož nemá žádný uživatelský vstup.
|
|
|
|
|
|
Sledování a analýze nejčastějších chyb webových aplikací a serverů se věnuje organizace OWASP\footnote{The Open Web Application Security Project --- \url{https://owasp.org/}.}, která vydává aktualizované seznamy a statistiky. Podle OWASP byly v roce 2017 nejčastější tyto chyby a bezpečnostní nedostatky: \cite{owasp2017}\quest{Opět citace tady nebo za seznamem?}
|
|
|
|
|
|
\begin{enumerate}
|
|
|
\item{Injekce}
|
|
|
\item{Rozbitá autentizace}
|
|
|
\item{Odhalení citlivých dat}
|
|
|
\item{XML External Entities (XXE)}
|
|
|
\item{Nefunkční řízení přístupu}
|
|
|
\item{Špatná konfigurace zabezpečení}
|
|
|
\item{Cross-Site Scripting (XSS)}
|
|
|
\item{Nezabezpečná deserializace}
|
|
|
\item{Uživání komponent se známými zranitelnostmi}
|
|
|
\item{Nedostatečné logování a monitorování}
|
|
|
\end{enumerate}
|
|
|
|
|
|
Většina těchto chyb se vztahuje právě k dynamickým webovým aplikacím. Bezpečnost tedy závisí nejen na programátorovi který aplikaci vytváří, ale také na tom, že programovací jazyk je bezpečně implementován. To nelze tvrdit o nejpoužívanějším jazyce PHP, který nejen že obsahuje spousty chyb, ale zároveň nevede programátora ke psaní bezpečného kódu a ve výsledku vzniká opravdu děravá aplikace.
|
|
|
|
|
|
Údržba velkých webových aplikací je také často problematická. Kód je nutné udržovat v návaznosti na aktualizace daného jazyka, databázového systému a dalších věcí. Těmto aktualizacím se z bezpečnostních důvodů nelze vyhýbat. Statický web nemusí udržovat funkční propojení s databázemi a různými frameworky\todo{Lepši slovo?} a je tedy mnohem méně náročný na dlouhodobou údržbu. Při zvolení správného generátoru není nutná ani údržba šablon a celý systém nikdy nepřestane fungovat. Protože statický generátor nepracuje s uživatelským vstupem, vyhýbá se bezpečnostním chybám a tím i nutným aktualizacím.\todo{Zdroj?}
|
|
|
|
|
|
Jako každý jiný systém, i tento má nevýhody. Hlavním z problémů je to, že správa statického generátoru a tvorba obsahu je náročnější, než klasický webové rozhraní s administračním panelem, různými uživateli a jednoduchou správou pro běžné technicky nenadané uživatele. Pro přidání nebo úpravu obsahu je nutné pracovat s lokálními soubory ve stromové struktuře a při generování je často potřebný zásah do shellu\footnote{Program pro interpretování příkazů v prostředí příkazové řádky.}. Tvorba systému pro automatizované generování je také náročnější než instalace některého z běžných CMS\footnote{Content Management System}. \cite{softpedia_generators}
|
|
|
|
|
|
\section{Princip generátorů}
|
|
|
|
|
|
Generátor statického obsahu je tvořen ze tří hlavních částí. První částí jsou soubory šablon, které popisují rozložení stránky, vizuální vlastnosti, typografii, ale také vstupní a výstupní kódování a formáty. V podstatě definují jak a kam se bude obsah vkládat. Druhou částí je obsah obecně psaný v některém ze značkovacích jazyků, nejčastěji v jazyce Markdown. Obsah je strukturován do vlastních sekcí a souborů, aby bylo snadné rozlišit, do které části výsledné stránky patří. Třetí a poslední částí je samotné jádro generátoru, které zpracovává obsah, vkládá ho do šablon a renderuje statickou webovou stránku.
|
|
|
|
|
|
Většina generátorů zároveň umí pracovat s konfiguračními soubory, kterými jde nastavit chování generátoru na jednom centralizovaném místě. Část z nich má také integrovaný jednoduchý web server, který umožňuje autorovi náhled výstupních stránek během tvorby obsahu.
|
|
|
|
|
|
\cite{softpedia_generators}
|