Menéame: comentarios [4097459]

#21 Algoritmo Promote – Menéame (el blog, MEH)

TikisMikiss — Tue, 16 Sep 2025 18:57:38 +0000

#20 También, también. Pero cuando se les saca la fecha es creyendo que son "viejos". Y eso tiene que calar también en nuevos que ven eso y dicen "pues si no llevas tiempo mejor no comentar".

» autor: TikisMikiss

#20 Algoritmo Promote – Menéame (el blog, MEH)

ccguy — Tue, 16 Sep 2025 18:51:42 +0000

#19 hay montones de nuevos usuarios que lo primero que hacer es soltar una gilipollez.

» autor: ccguy

#19 Algoritmo Promote – Menéame (el blog, MEH)

TikisMikiss — Tue, 16 Sep 2025 18:36:14 +0000

#9 Seguramente tampoco ayuda la agresividad contra nuevos usuarios.

Que es cierto que muchos serán antiguos usuarios (es que se da por hecho ya que no existen usuarios nuevos), pero habrá otros tantos que no, y si cuando vas a comentar se les suelta la fecha de registro ante cualquier opinión (ni siquiera hace falta que sea sobre política), pues lo normal es que huyan espantados.

Lo mismo si participan enviando cosas y ven que lo tienen más complicado sin ciertos apoyos internos.

Pero, en fin, es una combinación de muchos factores. El Menéame actual no es newbie-friendly.

» autor: TikisMikiss

#18 Algoritmo Promote – Menéame (el blog, MEH)

TikisMikiss — Tue, 16 Sep 2025 18:34:20 +0000

#8 Vamos a ver, #7 no lo ha hecho mal, dice que ve algo y se ofrece a contarlo. No le veo especial ego en eso (otra cosa es que sí lo tenga en otras noticias sobre política ).

Lo que no puede hacer es ponerlo en público. Aunque las diga, arreglar y cambiar ese código no es fácil, y no puede abrirse la puerta a que cualquiera vea la "info" y aproveche el periodo hasta que eso se arregle (que puede ser muuy largo) para hacer maldades.

» autor: TikisMikiss

#17 Algoritmo Promote – Menéame (el blog, MEH)

TikisMikiss — Tue, 16 Sep 2025 18:31:50 +0000

#4 "No hay ningún comentario que justifique esta pausa, que podría ser un intento de reducir la carga de la CPU o un parche para evitar una race condition."

A mí me huele a lo segundo...

» autor: TikisMikiss

#16 Algoritmo Promote – Menéame (el blog, MEH)

ccguy — Tue, 16 Sep 2025 15:17:55 +0000

#14 calidad de código es calidad de código. Y que esté pensado para ejecutarse desde cron no garantiza que solo se vaya a ejecutar desde cron.

» autor: ccguy

#15 Algoritmo Promote – Menéame (el blog, MEH)

Mangione — Tue, 16 Sep 2025 07:20:38 +0000

#13 Pues sí, faltaría más que yo tenga que ir detrás de ellos después de cómo se comportan.
Incluso gratis, sí gratis, cuando otros pedirían algo a cambio.
Y no, no voy a ir detrás de ellos, cuando ellos no se molestan ni en cuidar a sus propios usuarios. Y no lo digo porque esté dolido, lo que estoy es muy sorprendido de que un sitio como este haga las cosas que hace.

Puedes ser agresivo, no soy de cristal. Lo que sí que me sorprende es que alguien señale vulnerabilidades que van más allá del propio código (exploits de uso), que se ofrezca a explicarlos, y que la respuesta sea que esa persona tiene "ego" o "está dolida". Si fuese por ego o estar dolido me lo habría callado y explotaría esos problemas activa y maliciosamente. Que por cierto, es algo que hace algún que otro usuario de "día 0" (2006) y que tiene como "amistades" en la plataforma al dueño que me insulta.

Dicho lo cual, empiezo a pensar que los factores explotables son una feature, no un bug.
Así que mejor me callo, y que hagan su trabajo, que poco o mucho ellos cobran por ello.

» autor: Mangione

#14 Algoritmo Promote – Menéame (el blog, MEH)

migrad — Tue, 16 Sep 2025 07:09:35 +0000

#2 es un script que se ejecuta en un cronjob. Necesitarías acceso a la instancia para poder ejecutarlo. No es accesible desde la web (a no ser que encontrases un agujero de seguridad en la web que te permitiera ejecutar el script.)

#4 Le falta contexto para que entienda bien el código. Mucho de lo que indica son "podría ser" al no tener, por ejemplo, el código que preprocesa los enlaces, títulos, etc. y que elimina ciertos caracteres. Por tanto hay que coger la explicación de Gemini como superficial.

El fichero es muy similar al que se encuentra en github: github.com/Meneame/meneame.net/blob/master/scripts/promote10.php, lo que me confirma que durante estos años no se han producido grandes modificaciones en el código.

» autor: migrad

#13 Algoritmo Promote – Menéame (el blog, MEH)

silvano.jorge — Tue, 16 Sep 2025 07:08:34 +0000

#10 faltaría más, incluso gratis, no voy a ir detrás de ellos...
Tienes razón que si te has sentido ofendido por uno de los dueños no sería ego, si no que estás dolido.
Perdón si he sido un poco agresivo.

» autor: silvano.jorge

#12 Algoritmo Promote – Menéame (el blog, MEH)

javierchiclana — Tue, 16 Sep 2025 07:04:15 +0000

400 Bad Request
Request Header Or Cookie Too Large
nginx/1.26.0

» autor: javierchiclana

#11 Algoritmo Promote – Menéame (el blog, MEH)

alpoza — Tue, 16 Sep 2025 06:51:01 +0000

#1 votaría erroneo, por que aunque lo dice la entradilla el titular esta mal: eso no es un algoritmo es un cacho codigo

» autor: alpoza

#10 Algoritmo Promote – Menéame (el blog, MEH)

Mangione — Tue, 16 Sep 2025 06:21:47 +0000

#8 ¿Ego? Explico en abierto que el algoritmo se puede explotar fácilmente, digo que estoy más que dispuesto a explicárselo (incluso gratis), pero que no voy a ir detrás de ellos (cuando luego me toca soportar a gente como uno de los dueños de la web insultándome gravísimamente).

Y tú lo llamas ego. Ok...

» autor: Mangione

#9 Algoritmo Promote – Menéame (el blog, MEH)

ccguy — Tue, 16 Sep 2025 06:19:56 +0000

El problema tampoco es de pluralidad tal y cual (por otro lado aquí el tema está muy desequilibrado porque algunos no hacen otra cosa que rebuznar consignas). No vienen nuevos usuarios que valgan la pena cada vez quedan menos de los buenos.

» autor: ccguy

#8 Algoritmo Promote – Menéame (el blog, MEH)

silvano.jorge — Tue, 16 Sep 2025 06:14:23 +0000

#7 joder, cuanto ego veo ahí, no se por qué dices "faltaría más"... Sería una bonita forma de colaborar sin pagar la suscripción, ya que utilizas la web.

» autor: silvano.jorge

#7 Algoritmo Promote – Menéame (el blog, MEH)

Mangione — Tue, 16 Sep 2025 06:10:25 +0000

#5 Lo he puesto precisamente por si les interesa preguntar. No voy a ponerlo aquí, obviamente, y aunque no gano nada haciéndoles trabajo gratis estoy dispuesto a explicárselo si quieren, pero no voy a ir detrás de ellos (faltaría más).

» autor: Mangione

#6 Algoritmo Promote – Menéame (el blog, MEH)

--833139-- — Tue, 16 Sep 2025 06:08:36 +0000

El verdadero problema de Meneame no es tecnológico o de algoritmos. Lo sabe cualquiera.
Que alguien piense que modificando algoritmos Meneame va a ser más plural, diversa y ecuánime es que no ha enterado de nada

» autor: --833139--

#5 Algoritmo Promote – Menéame (el blog, MEH)

silvano.jorge — Tue, 16 Sep 2025 06:05:54 +0000

#2 puedes decírselo, ¿pero lo vas a hacer o sólo vas a patalear?

» autor: silvano.jorge

#4 Algoritmo Promote – Menéame (el blog, MEH)

ccguy — Tue, 16 Sep 2025 05:25:29 +0000

#1 Se lo enchufo a Gemini con este prompt: " Comenta el código fuente que te pongo a continuación. Busca problemas de seguridad, de rendimiento, de organización y calidad de código. "

Respuesta:

Claro, aquí tienes un análisis completo del código fuente que has proporcionado, dividido por categorías y con un resumen al principio.

Resumen de Problemas

El código presenta problemas críticos de seguridad, serios cuellos de botella de rendimiento y una calidad de código deficiente que dificulta su mantenimiento.

Seguridad: El problema más grave es la inyección de SQL, ya que las variables se concatenan directamente en las consultas. También existen vulnerabilidades de inyección de comandos y Cross-Site Scripting (XSS).

Rendimiento: El código sufre del problema N+1 en las consultas a la base de datos dentro de bucles, realiza consultas complejas y poco optimizadas, y utiliza SQL_NO_CACHE de forma indiscriminada, lo que puede sobrecargar la base de datos. La pausa artificial (usleep) dentro de un bule también ralentiza la ejecución sin una razón clara.

Calidad y Organización: El código abusa de las variables globales, lo que lo hace frágil y difícil de probar. Las funciones son muy largas (monolíticas) y mezclan responsabilidades (lógica, acceso a datos, presentación). Utiliza prácticas anticuadas de PHP y carece de consistencia (p. ej., define constantes dos veces).

Análisis Detallado

A continuación, se desglosan los problemas encontrados en cada área.

1. Problemas de Seguridad

Esta es la sección más crítica. El código tiene vulnerabilidades graves que deben ser corregidas de inmediato.

Inyección de SQL (Crítico): Las variables se insertan directamente en las cadenas de las consultas SQL en lugar de usar sentencias preparadas. Esto permite que un atacante manipule las consultas. Aunque algunas variables como $site_id puedan parecer seguras, esta práctica es extremadamente peligrosa.

Ejemplo en promote_from_subs:
PHP

$res = $db->get_results("... interval $hours hour) and status = 'published' and link_karma >= $min_karma and ... where dst=$destination) and $destination not in (select id from ...)");

Si $hours, $min_karma o $destination pudieran ser manipulados de alguna forma (directa o indirectamente), un atacante podría alterar la consulta para extraer o modificar datos.

Solución: Utilizar sentencias preparadas con PDO o MySQLi para vincular los parámetros de forma segura.

Inyección de Comandos (Crítico): La función passthru ejecuta un comando del sistema y pasa variables directamente.

Ejemplo en publish:
PHP

passthru(__DIR__."/post_link.php $site_info->name $link->id published");

Si el nombre de un sitio ($site_info->name) contuviera caracteres especiales del shell (como ;, |, &), un atacante podría ejecutar comandos arbitrarios en el servidor.

Solución: Sanitizar siempre los argumentos que se pasan a comandos del sistema con funciones como escapeshellarg().

Cross-Site Scripting (XSS): La función print_row genera HTML e inserta datos directamente sin escaparlos.

Ejemplo en print_row:
PHP

$output = "<tr>...<a href='".$link->get_relative_permalink()."/log'>$link->title</a>...";
if (!empty($link->message)) {
$output .= "<br/>$link->message";
}

Si el título de un enlace ($link->title) o un mensaje del sistema ($link->message) contiene código JavaScript malicioso (p. ej., <script>alert('XSS')</script>), este se ejecutará en el navegador de quien vea la salida.

Solución: Escapar toda la salida que se va a renderizar como HTML con htmlspecialchars().

2. Problemas de Rendimiento

El script parece diseñado para procesar una gran cantidad de datos, pero contiene varios patrones que lo harán lento e ineficiente.

Problema de N+1 Consultas: Dentro del bucle principal de la función promote, se realizan múltiples consultas a la base de datos para cada enlace.

Ejemplo en promote:
PHP

foreach($links as $dblink) {
// Esto probablemente hace una consulta a la BD para obtener el objeto completo
$link = Link::from_db($dblink->link_id);
// Esta función realiza más consultas a la BD
$changes = update_link_karma($site_id, $link, $past_karma);
// ...
}

Si se procesan 30 enlaces, se podrían estar ejecutando 30 o más consultas adicionales dentro del bucle.

Solución: Modificar la consulta inicial para que obtenga todos los datos necesarios de los enlaces con un JOIN, evitando así la necesidad de consultarlos uno por uno.

Uso excesivo de SQL_NO_CACHE: Esta directiva obliga a la base de datos a ignorar su caché de consultas. Si bien puede ser útil en casos muy específicos, su uso generalizado aquí sugiere que el desarrollador intentaba solucionar un problema de datos obsoletos sin entender la causa raíz. Esto aumenta innecesariamente la carga sobre el servidor de la base de datos.

Pausa artificial (usleep): La línea usleep(10000); introduce un retardo de 10 milisegundos en cada iteración del bucle. Esto añade un mínimo de 0.3 segundos a la ejecución si se procesan 30 enlaces. No hay ningún comentario que justifique esta pausa, que podría ser un intento de reducir la carga de la CPU o un parche para evitar una race condition. Es una solución ineficiente y poco clara.

Consultas complejas y potencialmente lentas: La consulta en promote_from_subs es muy larga, con múltiples JOINs y subconsultas (NOT IN), que suelen ser poco eficientes en MySQL. Sin los índices adecuados en las tablas (sub_statuses, links, subs), esta consulta podría tardar mucho tiempo en ejecutarse.

3. Problemas de Organización y Calidad de Código disorganized

El código sigue un estilo procedural anticuado y carece de las buenas prácticas de la programación moderna.

Abuso de variables globales: Funciones como promote, publish y get_subs_coef dependen de variables globales (global $db, $globals, $output;). Esto crea un acoplamiento fuerte entre las funciones y el estado global, haciendo el código:

Difícil de entender: No se sabe qué dependencias tiene una función sin leer su código.

Difícil de probar: Es imposible probar una función de forma aislada.

Frágil: Un cambio en una variable global puede romper una función en otra parte del código de forma inesperada.

Solución: Usar inyección de dependencias: pasar los objetos necesarios (como la conexión a la base de datos) como argumentos a las funciones.

Funciones Monolíticas: Las funciones promote y update_link_karma son muy largas y tienen demasiadas responsabilidades. Por ejemplo, promote se encarga de:

Obtener datos de configuración.

Realizar múltiples cálculos y estimaciones.

Consultar la base de datos para obtener candidatos.

Procesar cada candidato en un bucle.

Tomar decisiones de publicación.

Generar una salida HTML para logging.

Solución: Refactorizar estas funciones dividiéndolas en unidades más pequeñas y con una única responsabilidad (p. ej., una función para calcular el decay, otra para obtener candidatos, otra para generar el informe, etc.).

Mezcla de Lógica y Presentación: El código mezcla la lógica de negocio (cálculo de karma, promoción de enlaces) con la generación de HTML (echo, print_row). Esto viola el principio de Separación de Responsabilidades.

Código Duplicado y Confuso:

Las constantes se definen dos veces, primero con const y luego con define. Esto es redundante y no tiene ningún efecto. Se debe elegir un método y ser consistente.
PHP

const MAX = 1.15;
// ...
define(MAX, 1.15); // Esto no hace nada, ya que MAX ya es una constante

El código está lleno de "números mágicos" (valores literales como 0.21, 24, 80, 8, etc.) sin explicación. Deberían definirse como constantes con nombres descriptivos.

Falta de comentarios claros: Aunque hay algunos comentarios, no explican el "porqué" de la lógica compleja, como las fórmulas para calcular el decay o los bonus de karma. Esto hace que el código sea muy difícil de mantener o modificar.

» autor: ccguy

#3 Algoritmo Promote – Menéame (el blog, MEH)

soberao — Tue, 16 Sep 2025 04:35:56 +0000

Será el algoritmo responsable de las noticias en portada sobre el cultivo de la orquídea y de Wasabi...

» autor: soberao

#2 Algoritmo Promote – Menéame (el blog, MEH)

Mangione — Tue, 16 Sep 2025 03:47:32 +0000

Menudo coladero para exploits está hecho eso...
Puedo deciros al menos 5 o 6 tácticas fáciles y a botepronto para descarrilar ese algoritmo. Seguro que debe haber muchas más que no se me hayan ocurrido mientras lo leía...
Y eso, el usuario maligno no os lo va a decir, lo va a usar en su favor...

» autor: Mangione

#1 Algoritmo Promote – Menéame (el blog, MEH)

Jacusse — Tue, 16 Sep 2025 03:39:45 +0000

Está clarísimo #0...

» autor: Jacusse