Question

通常，所有理智的开发人员都在努力确保所有公共方法的输入（转换为正确的类型，验证，消毒等）。

我的问题是：您是否在代码中验证了传递给protected / private方法的参数？在我看来，没有必要，如果你正确安装公共方法的参数并从外部返回值（其他类，数据库，用户输入等......）。

但我经常面对框架和应用程序（即prestashop命名一个），其中验证通常在方法调用中重复，在方法体中再次用于securize返回值 - 我认为这是创建性能开销，并且也是糟糕设计的标志。

Answer 1

对于protected，我认为你应该验证它们，因为这个方法可能会被覆盖或稍后从另一个类调用，你不能假设该方法的有效输入。如果这是一个将被其他应用程序使用的组件，则尤其如此。

对于私有，我认为这是浪费，因为您可以控制传递给方法的内容，因此在调用私有方法之前应该验证数据。

Answer 2

如果您坚持认为公共API应该具有抵御不良参数的实现，那么您的标准不应该是方法的可见性，而是API的用户是否将直接调用该方法（或间接调用通过另一个推迟验证的方式来称呼它。

应该进行验证的方法示例：

class A {
    protected final function myMethodDefaultImplementation(...) {
        /* subclasses can just call this method in their myMethod implementations */
        /* should do validation */
        ...
    }
    protected abstract myMethod(...);

    public function orderByDate() {
        return $this->orderBy(ORDER_BY_DATE)
    }

    private function orderBy($crit) {
        /* should do validation */
        ...
    }
}

Answer 3

确切地说 - 如果您的应用程序设计得很好，那么就没有必要了。

Answer 4

我会说它是什么类型的方法（公共，私人，受保护）并不重要，只要需要，你可以采取适当的预防措施，而不需要查看可见性关键字。

Answer 5

只在最后可能的情况下消毒输入。我没有看到OO语义如何使这有任何不同。

例如，如果由于某种原因你不能使用参数化查询或ORM（我现在可以想到的例子:)，你可以写这样的函数：

function getname($id) {
    $id = intval($id);
    mysql_query("SELECT * FROM users WHERE id = $id");
    ...
}

现在任何代码都无法调用此函数并导致意外结果。

保护私人/受保护方法的输入？

5 个答案: