Performance et optimisation de PrestaShop

Optimisation et sécurisation du code de PrestaShop

GroupeSitti (www.sitti.fr)
Équipe de 6 développeurs & intégrateurs
400 PrestaShop installés – versions de 0.9.6 a 1.3.1
Hébergementmutualisé – cluster de 10+ machines (load balancers, serveurs web, serveurs de fichiers, serveurs de bdd)
A propos de nous ?

Les 4 pilliers de la performance
Infrastructure(serveurs, bases de données)
Focus sur : Code côtéserveur (1ère couche, PHP + SQL)
Réseau, protocolede transport
Code côté client (2eme couche: HTML+ CSS + Javascript)

(…) Programmers waste enormous amounts of time thinking about, or worrying about, the speed of noncritical parts of their programs, and these attempts at efficiency actually have a strong negative impact when debugging and maintenance are considered. We should forget about small efficiencies, say about 97% of the time: 1
premature optimization is the root
of all evil.
Yet we should not pass up our opportunities in that critical 3%. A good programmer will not be lulled into complacency by such reasoning, he will be wise to look carefully at the critical code; but only after that code has been identified.
Très important(Donald E. Knuth)

Votre architecture doitêtreéfficace(une bonne planification)
Vousdevez coder en utilisant les meilleurespratiques(ne pas faire de choses stupides ;))
Préférezplutôt la "maintabilité" et la lisibilité du code aux performances
Lorsquela performance n'estpas critique (ex. systèmes temps réel, sites à fort trafic), vouspourrezl'améliorerdansdes versions ultérieures
Quand faut-il optimiser ?

Mesurezd'abord ! Vousdevezconnaitre les points critiques, les goulotsd'étranglement
Mesurezdifférents scénarii et configurations
Passer sous Linux? Test Linux, non Win. => différences
Aurez-vous plus de 10000 produits? Tester votre module avec une base de 10000 élémentset non 5
Est-ceque 1% d'amélioration justifie un travail additionnel?
Et 5%? 10%?
Essayez d'estimer le coût de développement vs. coûtmatériel : parfoisc'est moins cherd'ajouter de la mémoire vive
Quand faut-il optimiser ?

Les petits gains de performance
En utilisant (int) au lieu de intval () estpeutêtre 4x plus rapidemaisle gain global estnégligeable (saufsivousêtesFacebook)
Le code exécutéuneseulefois
Tools::setCookieLanguagepourraitêtreaméliorée, maisellen'estexécutéequ'uneseulefois
Les optimisationsmythiques ( ” vs ' )
Mais”$a $b $c” … est plus rapideque $a.” ”.$b.” ”.$c
Qu'est-ce qu'il n'est pas nécessaire d'optimiser ?

Charge serveur:
ab, siege, multi-mechanize ...
Charge de la base de donnée:
MySql Slow Query Log, mysql proxy, ...
EXPLAIN
PHP:
xdebug, dbg, xhprof ...
Network / client side
Yslow, Firebug, WebKitinspector, dynaTrace AJAX, fiddler, Google webmaster tools
Comment mesurer ?

Serveur:
Tâchedifficile, voire impossible sur des hébergementsmutualisés
Demandez à votre admin sys ;)
Le CPU est rarement un point critique, il indique généralement des problèmes avec le code non-optimisé
La RAM est bon marché mais pas illimitée - attention à la consommation de mémoire des scripts
Problèmetypique : gd + jpg -> 2 Mb surdisque, 33 Mb décompressésen mémoire
Ramdisk pour les fichierssouventappelés (frameworks, configuration, tmp)
Le point généralement critique: I/O (filesystem, dbs)
Amélioration de l’infrastructure

Chaque appel aux fichiers a un coût qui dépend de l'OS, du système de fichiers et du nombre de fichiers
Toujoursutiliser des cheminsabsolusdans require/ include
Les performances peuventcommencer à se dégradersivousavez plus de 50 000 fichiersdans un répertoire
Chaqueproduit a une image, chaque image a 6 vignettes
Debian+ Apache 1.3 (hébergement mutualisé, nfs):
Système de fichiers
# Files
Glob('*') exec. in sec.
file_exists / sec.
1000
4,59
36000
11000
13,30
21000
65000
55,81
1475
122000
142,16
718

Fractionnement du contenu des répertoires
img/p/534-189-small.jpg
devient
img/p/small/534-189.jpg
Lecture transparente avec un .htaccess
RewriteRule (.*)/p/([^/]*)home.jpg $1/p/home/$2home.jpg
Ecriture transparente en php
if (!imageResize($file, $dir.$imageType['name'].'/'.$language['iso_code'].'-default- '.stripslashes($imageType['name']).'.jpg', ...
Solution

Base de donnée
Vérifiezvos indexes!
Attention aux jointures!
SELECT * FROM ps_feature` f LEFT JOIN ps_feature_lang` fl ON ( f.ìd_feature` = fl.ìd_feature` AND fl.ìd_lang` = 1) WHERE f.ìd_feature` = 1SELECT * FROM ps_feature_lang` fl WHER fl.ìd_feature` = 1 AND fl.ìd_lang` = 1
Version
Tables
Columns
Without index
1.1.0.5
88
458
50
1.2.0.5
134
670
50
1.3.10
135
679
2 (cool! :)

Utilisez des VIEWs à la place de SELECTs compliqués
Avezvousbesoin de ps_connections& ps_connections_page?
Si vousavez un traficconséquent, celles-cipeuventgrossir de plus de 10+ Mb / jour
Base de donnée

Grosproblème, requêtes non uniques:
1.3.10, simulation du processus de commande:
Index – recherche – connexion – commande(11 pages au total)
3001 requêtes SQL, maisseulement 1314 uniques! (44%)
PHP - SQL

Requêtes répétées

Requêtes non optimisées

Le mieuxestd'utiliser un proxy MySQL oumemcached
Utiliserun cache en interne:
Peutêtreplacé en local ou global
PrestaShop utilisepartiellementun cache local
Simple à implémenter, à régler et .... à oublier
Chaqueméthode/classedoitmettre en cache sespropresrequêtes
Solutions

static public function getCurrency($id_currency){
return Db::getInstance()->getRow('SELECT * FROM `'._DB_PREFIX_.'currency` WHERE `deleted` = 0 AND `id_currency` = '.intval($id_currency));
}
static public functiongetCurrency($id_currency){
if (!isset(self::$_cache[$id_currency])) {
self::$_cache[$id_currency] = Db::getInstance()->getRow('SELECT * FROM `'._DB_PREFIX_.'currency` WHERE `deleted` = 0 AND `id_currency` = '.intval($id_currency));
}
return self::$_cache[$id_currency];
}
Cache local

Directementdans la classe MySQL
Récupèretous les résultats de requêtes
Difficilea implémenter :
Certainesrequêtespeuventêtrerépétéesmaisrenvoient des résultatsdifférents (->cart)
Nous avonsbesoind'unesorte de "blacklist"
Uneunique implémentation rend la maintenance du code plus simple
Devraitêtreimplémentécommeunefonctionnalité du coeur
Cache global

Regexpestcoûteux, et compliqué
return preg_match('/^[a-z0-9!#$%&'*+/=?^`{}|~_-]+[.a-z0- 9!#$%&'*+/=?^`{}|~_-]*@[a-z0-9]+[._a-z0-9-]*.[a-z0-9]+$/ui', $email);
Utilisez des filtres(> PHP 5.2):
return filter_var($email, FILTER_VALIDATE_EMAIL);
Effectuezdes tests avant de lancer des expressions régulièresgourmandes:
if (strpos($email, '@')!==false)
Utilisezstr_replace à la place de preg_replace:
preg_replace('/"/', '"', $value)
Faster: str_replace('"', '"', $value)
Eviter les regexpSome people, when confronted with a problem, think “I know, I'll use regular expressions.” Now they have two problems. (jwz)

Eviterles sous-masques capturants
return preg_match('/^([^<>{}]|<br />)*$/ui', $text);
return preg_match('/^(?:[^<>{}]|<br />)*$/ui', $text);
?: = sous-masque non-capturant (pas d'allocation de mémoire!)
Vousn'êtes pas obligéd'utiliserregexp
return trim($table,'a..zA..Z0..9_') == '';
estidentiqueà
return preg_match('/^[a-z0-9_-]+$/ui', $table);
maisestjusqu'à 2 fois plus rapide!
Eviter les regexp(2)

foreach($cart->getProducts() as $product)
if ($orderStatus->logable)
ProductSale::addProductSale(intval($product['id_product']), intval($product['cart_quantity']));
Devraitêtre:
if ($orderStatus->logable)
foreach($cart->getProducts() as $product)
ProductSale::addProductSale(intval($product['id_product']), intval($product['cart_quantity']));
(pas utile de tester le if à chaqueitérations'iln'y a pas de changement)
Bien placer les conditions

// Send an e-mail to customer
if ($id_order_state!= _PS_OS_ERROR_ AND $id_order_state!= _PS_OS_CANCELED_ AND $customer->id)
{
$invoice = new Address(intval($order->id_address_invoice));
$delivery = new Address(intval($order->id_address_delivery));
$carrier = new Carrier(intval($order->id_carrier));
$delivery_state= $delivery->id_state ? new State(intval($delivery->id_state)) : false;
$invoice_state= $invoice->id_state ? new State(intval($invoice->id_state)) : false;
$data = array(
'{firstname}' => $customer->firstname,
'{lastname}' => $customer->lastname,
'{email}' => $customer->email,
'{delivery_company}' => $delivery->company,
'{delivery_firstname}' => $delivery->firstname,
'{delivery_lastname}' => $delivery->lastname,
'{delivery_address1}' => $delivery->address1,
'{delivery_address2}' => $delivery->address2,
'{delivery_city}' => $delivery->city,
'{delivery_postal_code}' => $delivery->postcode,
'{delivery_country}' => $delivery->country,
'{delivery_state}' => $delivery->id_state ? $delivery_state->name : '',
'{delivery_phone}' => $delivery->phone,
'{delivery_other}' => $delivery->other,
'{invoice_company}' => $invoice->company,
'{invoice_firstname}' => $invoice->firstname,
'{invoice_lastname}' => $invoice->lastname,
'{invoice_address2}' => $invoice->address2,
'{invoice_address1}' => $invoice->address1,
'{invoice_city}' => $invoice->city,
'{invoice_postal_code}' => $invoice->postcode,
'{invoice_country}' => $invoice->country,
'{invoice_state}' => $invoice->id_state ? $invoice_state->name : '',
'{invoice_phone}' => $invoice->phone,
'{invoice_other}' => $invoice->other,
{order_name}' => sprintf("#%06d", intval($order->id)),
'{date}' => Tools::displayDate(date('Y-m-d H:i:s'), intval($order->id_lang), 1),
'{carrier}' => (strval($carrier->name) != '0' ? $carrier->name : Configuration::get('PS_SHOP_NAME')),
'{payment}' => $order->payment,
Voyezvous le problème ?

'{products}' => $productsList,
'{discounts}' => $discountsList,
'{total_paid}' => Tools::displayPrice($order->total_paid, $currency, false, false),
'{total_products}' => Tools::displayPrice($order->total_paid - $order->total_shipping - $order->total_wrapping + $order->total_discounts, $currency, false, false),
'{total_discounts}' => Tools::displayPrice($order->total_discounts, $currency, false, false),
'{total_shipping}' => Tools::displayPrice($order->total_shipping, $currency, false, false),
'{total_wrapping}' => Tools::displayPrice($order->total_wrapping, $currency, false, false));
if (is_array($extraVars))
$data = array_merge($data, $extraVars);
// Join PDF invoice
if (intval(Configuration::get('PS_INVOICE')) AND Validate::isLoadedObject($orderStatus) AND $orderStatus->invoice AND $order->invoice_number)
{
$fileAttachment['content'] = PDF::invoice($order, 'S');
$fileAttachment['name'] = Configuration::get('PS_INVOICE_PREFIX', intval($order->id_lang)).sprintf('%06d', $order->invoice_number).'.pdf';
$fileAttachment['mime'] = 'application/pdf';
}
else
$fileAttachment= NULL;
if ($orderStatus->send_email AND Validate::isEmail($customer->email))
Mail::Send(intval($order->id_lang), 'order_conf', 'Order confirmation', $data, $customer->email, $customer->firstname.' '.$customer->lastname, NULL, NULL, $fileAttachment);
$this->currentOrder = intval($order->id);
return true;
}
$this->currentOrder = intval($order->id);
return true;

Ici, on prépare tout l'envoi du mail avec le pdf en pièce jointemêmesi on ne l'envoie pas.
“Every times you do it, a little kitten dies”
Conditions non optimisés

Considérezl'export/import commeopérationslourdes
Pour le flux BeezUP, nous utilisonsObjectModel
Celafonctionnemais nous avons 17 requêtes SQL par produitpour collectertoutes les informations (product, features, attributes, images...)
Ok pour 100 produits,... et pour 100 000 ?
Risqué sil’ondoit le générersurdemande
La tâcheCronprépare le fichieravantque le robot n'yaccède
Le robot accède au xml en cache
Utilisez un CRON pour générer le cache

L'envoide contenucompresséréduit la bandepassante
Pour du contenustatique, utilisezmod_gzip/ mod_deflate
Pour les fichiersphputilisez :
Dansinit.phpchangez:
ob_start();
to:
ob_start('ob_gzhandler');
And enjoy! (page index.php: avant: 21.1 kb, après: 5.3 kb)
(mais, le mieuxestd'utiliser zlib.* dans php.ini)
Minimisez vos js et css placez-les dans un fichier unique
Réseau

Utilisez un CDN (Content Delivery Network) pour vos .js
Utilisez le cache (mod_expires, Etags) pour les fichiersstatiquescomme les images
Vouspouvez le faire dans un .htaccessoudanshttpd.conf
ExpiresActiveOn
ExpiresDefault"access plus 15 days“
ExpiresByTypeimage/gif A2592000
Réseau

Utilisez les sélecteursDOM simples. Evitezles recherchescompliquéesUtilisez des ids si possible.
Jqueryn'est pas toujours plus rapide.Utilisez des méthodes natives
Evitezd’utiliser du HTML / XML en résultat AJAX; utilisezplutôt du JSON. Vouspouvezréduire la quantité de données de l'ordre de 75%!
Coté client

Botnets
Concurrents malhonnêtes
Acheteurs frauduleux
…
Pourquoi se protéger ?

Injection SQL
CSRF
XSS
Path transversal
…
Differents types d’attaque

Permet d’intéragir avec la base de donnée
Sécuriseztoutesvos variables avantl’utilisationdans des requêtes SQL!<?php
......
$order_detail = Db::getInstance()->ExecuteS('
SELECT *
FROM .'_DB_PREFIX_.'order_detail
WHERE id_order='.(int)$_GET['id_order']
AND payment=''.pSQL($_GET['payment']).''');
Injection SQL

Exploite votre identité auprès de votre site
Utilisez des tokens
Utilisezuneauthentificationdans les paramètres GET ou POST
index.php?tab=AdminOrders&token=e84b3fda0b04b922b3bc27b08d4fe136
CSRF

Injection de code HTML / JavaScript dans la page
Sécuriseztoutesvos variables avantl’affichage!
<input type="text" name="lastname" value="{$smarty.post.lastname|htmlentities}" />
preg_replace('/.*script/ui', '', $_POST['lastname']);
preg_replace('/.*onmousedown|onmousemove|onmmouseup|onmouseover|onmouseout|onload|onunload|onfocus|onblur|onchange|onsubmit|ondblclick|onclick|onkeydown|onkeyup|onkeypress|onmouseenter|onmouseleave/ui', '', $_POST['lastname']);
...
XSS

Accès à des données non autorisées
Sécuriseztoutesvos variables avant de charger le fichier
Vérifiezl’extention du fichier
include (dirname(__FILE__).'/mails/'. preg_replace(‘/.{2,}/', '.', Tools::getValue('mail')).'html');
Path transversal

?
Questions

Performance et optimisation de PrestaShop

by Sabrina Maréchal on Jun 24, 2010

Accessibility

Categories

Tags

Upload Details

Usage Rights

1 Embed 1

Statistics

Performance et optimisation de PrestaShop — Presentation Transcript