diff --git a/lang/tl/docs/coding.html b/lang/tl/docs/coding.html
index fe455c1138c..b4e842df985 100644
--- a/lang/tl/docs/coding.html
+++ b/lang/tl/docs/coding.html
@@ -29,14 +29,14 @@ na sumunod sa mga istandard na ito hangga't maaari.
.php.
Dapat gamitin ng lahat ng template file ang
extensiong .html.
- Dapat gamitin ng lahat ng text file ang Unix-style
+ Dapat gamitin ng lahat ng text file ang estilong-Unix
na text format (ang karamihang text editor ay may ganitong option).
Dapat 'full' tag ang gamitin ng lahat ng php tag
tulad ng <?php ?> ... sa halip
na 'short' tag tulad ng <? ?>.
- Dapat panatilihin ang mga copyright notice.
+ Dapat panatilihin ang mga umiiral na copyright notice.
Maaari kang magdagdag ng sarili mo kung kinakailangan.
Dapat kasama ng bawat file ang main config.php file.
@@ -45,7 +45,7 @@ Maaari kang magdagdag ng sarili mo kung kinakailangan.
na-authenticate ng wasto, gamit ang require_login() at isadmin(),
isteacher(), iscreator() o isstudent().
- Dapat gamitin ng lahat ng pagaccess sa mga database
+ Dapat gamitin ng lahat ng pag-access sa mga database
ang mga function sa lib/datalib.php hangga't maaari - ginagawa nitong
magkaroon ng compatibility sa maraming uri ng database. Makikita mo na
posible ang halos lahat ng gusto mong gawin sa pamamagitan ng mga
@@ -305,10 +305,63 @@ kasalukuyang timestamp na nakuha sa pamamgitan ng PHP
time() function.
-
-
-Dokumentasyon ng Moodle
-Version: $Id$
+
+Mga Isyu hinggil sa Seguridad (at paghandle ng datos ng form at URL)
+
+
+
+ - Huwag aasa sa 'register_globals'. Ang bawat variable ay dapat ininitialise nang wasto sa bawat code file. Kailangan ay kitang-kita kung saan nagmula ang variable
+
+ - Iinitialise ang lahat ng array at object, kahit walang lamant.
$a = array()
+ o $obj = new stdClass();.
+
+ - Huwag gagamitin ang
optional_variable() na function. Sa halip ay gamitin ang optional_param() na function. Piliin ang wastong halaga na PARAM_XXXX para sa uri ng datos na inaasahan mo. Para matsek at maiset ang isang opsiyonal na halaga para sa isang variable, gamitin ang function na set_default().
+
+ - Huwag gagamitin ang function na
require_variable(). Sa halip ay gamitin ang function na required_param(). Piliin ang wastong halaga na
+PARAM_XXXX para sa uri ng datos na inaasahan mo.
+
+ - Ingatan ang paggamit ng
data_submitted(). Kailangan munang linisin ang datos bago gamitin
+
+ - Huwag gagamitin ang
$_GET, $_POST o $_REQUEST. Gamitin ang angkop na required_param() o optional_param() na angkop sa pangangailangan mo.
+
+ - Huwag magtsek ng aksiyon sa pamamagitan ng tulad ng
+
if (isset($_GET['something'])). Gamitin ang e.g., $something = optional_param( 'something',-1,PARAM_INT ) at pagkatapos ay gawin ang angkop na test para matiyak kung nasa inaasahang range ng value ito e.g., if ($something>=0) {....
+
+ - Hangga't maaari, pangkatin ang lahat ng
+
required_param(), optional_param() mo at iba pang pag-initialise ng variable sa simula ng bawat file, para madali silang matagpuan.
+
+ - Gumamit ng mekanismong
+'sesskey' upang maprotektahan ang mga form handling routine sa mga atake.
+Payak na halimbawa ng paggamit: kapag nilikha ang form, isama ang
<input type="hidden" name="sesskey" value="<?php echo sesskey(); ?>" />.
+Kapag iprinoseso mo ang form tsekin sa pamamagitan ng if (!confirm_sesskey()) {error('Bad Session Key');}.
+
+ - Kailangang 'linisin' ang lahat ng filename sa pamamagitan ng
+function na
clean_filename(), kung hindi pa ito nagagawa sa pamamagitan ng angkop na paggamit ng required_param() o optional_param()
+
+
+ - Ang anumang datos na binasa mula sa database ay dapat idaan sa
+
addslashes() bago ito isulat pabalik sa database. Maaaring tirahin ang isang buong object ng datos sa isang iglap sa pamamagitan ng addslashes_object().
+
+ - Hangga't maaari, ang datos na iimbakin sa database ay kailangang manggaling sa
+
POST data (mula sa isang fom na may method="POST") sa halip na GET data (ab, datos mula sa URL line).
+
+ - Huwag gagamitin ang datos mula sa
+
$_SERVER hangga't maiiwasan. May mga suliranin ito sa potability.
+
+
+ - Kung hindi pa nagagawa sa ibang lugar, tiyakin na ang lahat ng datos na isinulat sa database ay dumaan sa function na
clean_param() sa pamamagitan ng angkop na PARAM_XXXX para sa uri ng datos.
+
+ - Kung magsusulat ka ng pasadyang SQL code, tiyakin na wasto ito. Mag-ingat sa mga nawawalang quote sa palibot ng mga halaga. Posibleng SQL 'injection' exploit.
+
+ - Tsekin ang lahat ng datos (lalo na ang isinusulat sa database) sa
+bawat file na ginagamit ito. Huwag asahan na gagawin ito sa ibang lugar.
+
+
+ - Ang mga bloke ng code na isasama ay dapat mayroong tiyak na balangkas na PHP (hal. class declaration, function definition atbp.) - ang straight na bloke ng code ay nagpopromote ng dinaiinitialise na paggamit ng variable.
+
+
+Dokumentasyon ng Moodle
+Version: $Id$