タグ

関連タグで絞り込む (23)

タグの絞り込みを解除

reviewとPHPに関するraimon49のブックマーク (11)

  • 『最初に「読む」PHP』は全体的にとても良いが惜しい脆弱性がある


    最初に﹁読む﹂PHP︵クジラ飛行机︶を読みました。本書にはセキュリティ用語︵クロスサイトスクリプティング、SQLインジェクション等︶はほとんど出てきませんが、脆弱性についてよく配慮された記述となっています。しかし、その細部の詰めが甘く、脆弱性が混入してしまいました。その内容を報告したいと思います。 クロスサイトスクリプティング 出力時にHTMLエスケープするという原則を比較的早い段階で説明しています。その説明が素晴らしいと思いました。 ユーザーから送信されたデータを、PHPを使ってそのまま画面に表示することは、レイアウトの崩れや セキュリティ上の危険につながります。必ず、HTMLに変換してから表示します。そこで、画面に﹁(^o^)<Hello﹂と表示するプログラムを作ってみましょう。 ﹁HTMLに変換して﹂という表現がとてもいいですね。難しくいうと、Content-Typeをtext/pl
    raimon49
    raimon49 2015/06/11
    入門書としてかなり好ましそう。新入社員などに薦める一冊として覚えておきたい。
    リンク

  • 正規表現によるバリデーションでは ^ と $ ではなく \A と \z を使おう


    正規表現によるバリデーション等で、完全一致を示す目的で ^ と $ を用いる方法が一般的ですが、正しくは \A と \z を用いる必要があります。Rubyの場合 ^ と $ を使って完全一致のバリデーションを行うと脆弱性が入りやすいワナとなります。PerlやPHPの場合は、Ruby程ではありませんが不具合が生じるので \A と \z を使うようにしましょう。 はじめに 大垣さんのブログエントリ﹁PHPer向け、Ruby/Railsの落とし穴﹂には、Rubyの落とし穴として、完全一致検索の指定として、正規表現の ^ と $ を指定する例が、RubyonRails Security Guideからの引用として紹介されています。以下の正規表現は、XSS対策として、httpスキームあるいはhttpsスキームのURLのみを許可する正規表現のつもりです。 /^https?:\/\/[^\n]+$/
    raimon49
    raimon49 2014/03/04
    ＞Rubyの正規表現機能は、デフォルトで複数行モードである / ひー。知らなかった。PHPも末尾が改行コードだと挙動が変わる。
    リンク

  • HerokuでPHPをmbstring付きで動かす&パフォーマンス比較 : candycane development blog

    そろそろgithubと並んで使った事が無いなら危機感を感じるレベルなPaaSですが、PHPの場合は何を使っていますか？PHP FogやOrchestra.ioといったPHPに最適化されたプラットフォームもありますが、PaaSの王道とも言えるHerokuでもPHPは非公式にサポートされています。しかもこれが非公式サポートであるにも関わらず、facebookの開発者コンソールからクリックだけでデプロイできるので密かにメジャーなプラットフォームになっているという不思議な状況です。Ruby界隈では常識かと思われるHerokuがPHP界隈で流行っていない原因に「mbstringがサポートされていない」というのがあります。しかし今回ちょっとやってみたらmbstringをHeroku上にセットアップする事が出来ました。ひとまずコチラが実際の環境です。 phpinfo() on Herokumbstrin

  • 引き続き Apache 2.4.1のスループット評価（旧Apacheと動的コンテンツ処理性能比較）

    人間とウェブの未来（旧） 「ウェブの歴史は人類の歴史の繰り返し」という観点から色々勉強しています。2014年までの人間とウェブの未来の旧ブログです。 前回の記事「Apache 2.4.1のスループット評価（旧ApacheとNginxとのベンチマーク比較）」を非常に多くの方に見て頂いており、こういう情報が重要なんだなぁ、としみじみ思った。多くのオープンソースを使わしてもらっているので、こういう形でフィードバックしていけたらよいな。参考にして頂いてありがとうございます。 今回は、前回の記事に続き、個人的にも非常に興味のあるApache2.4.1の「動的コンテンツのスループット」がどの程度なのかを評価したいと思う。 ※いくつかの検証を追加したのと、細かい部分で比較の仕方がよろしくなかったので修正を加えました。 ■ 修正と追記箇所（2012年3月2日） ・PHPのバージョンを5.3.10に統一（思

    引き続き Apache 2.4.1のスループット評価（旧Apacheと動的コンテンツ処理性能比較）
    raimon49
    raimon49 2012/02/28
    MaxClientsは256　httperfで
    リンク

  • 大垣本を読んで「バリデーションはセキュリティ対策」について検討した - ockeghem(徳丸浩)の日記


    このエントリでは、セキュリティの観点から、バリデーション実装について検討します。大垣さんの本を読んで﹁大垣流バリデーション﹂について勉強した結果を報告します。 はじめに 大垣さんの記事﹁入力バリデーションはセキュリティ対策﹂では、﹁入力バリデーションはセキュリティ対策である﹂が力説されています。この記事はおそらくid:ajiyoshiさんのブログ記事﹁妥当性とは仕様の所作 - SQLインジェクション対策とバリデーション﹂を受けてのことだと思います。id:ajiyoshiさんのエントリでは、﹁妥当性検証は仕様の問題であってセキュリティ対策ではありません﹂と明言されています。私はid:ajiyoshiさんに近い考えを持っていますので、大垣さんの主張について、私なりに考えてみました。 記事を書くにあたり、徳丸の立場を明確にしておきたいと思います。 バリデーションの基準は仕様の問題 バリデーション
    大垣本を読んで「バリデーションはセキュリティ対策」について検討した - ockeghem(徳丸浩)の日記
    raimon49
    raimon49 2011/12/28
    タフなユーザー体験ｗ
    リンク

  • そろそろ CodeIgniter からの移行先について一言言っておくか - A Day in Serenity @ kenjis


    (2012/08/30) そろそろ CodeIgniterからの移行先についてもういっぺんだけ言っておくか - A Day in Serenity @ kenjis を書きました。 ということで、ライセンス問題で発火した CodeIgniterから移行するフレームワークを検討されている方も多いかと思います。 [2014/10/29 追記] CodeIgniter 3.0 はMIT ライセンスでリリースされることになりました!詳細。 なので、参考のために移行先に関する情報を書いておきます。 似たようなフレームワークを探したい場合 断言しますが、候補はこの3つです。 Kohana http://kohanaframework.org/ Yii http://www.yiiframework.com/ FuelPHP http://fuelphp.com/ Kohana Kohana

  • PHP フレームワークの「FuelPHP」がスゴすぎる - A Day in Serenity @ kenjis


    新しいことを勉強して、久々に心底感動しました。 Twitter である方が Fuel についてつぶやきをしているのを拝見し、この時初めてその存在を知りました。。 PHP の新しいフレームワークで、複数のフレームワークのいいところを集めたものということだったので、ちょっと触ってみるかとダウンロードしてドキュメントを読みながら Hello World! を作ってみる。すると・・・ こ・・これはすごい・・ なにがすごいって、これまで私は﹁CodeIgniter﹂を超愛用していました。CodeIgniterは、もちろんそのほとんどがすごくいいのですが、若干だけ不満があったのです。しかし、FuelPHP では CodeIgniterの好きなところはそのままに、不満が全部吹っ飛んでいたのです。 では、その全貌をご覧入れましょう。 [広告] FuelPHP 入門書の決定版が発売されました。詳しくは、
    PHP フレームワークの「FuelPHP」がスゴすぎる - A Day in Serenity @ kenjis
    raimon49
    raimon49 2011/11/18
    better CodeIgniter？
    リンク

  • もし『よくわかるPHPの教科書』の著者が徳丸浩の『安全なWebアプリケーションの作り方』を読んだら - ockeghem's blog


    たにぐちまことさんの書かれた﹃よくわかるPHPの教科書︵以下、﹁よくわかる﹂︶﹄を購入してパラパラと見ていたら、セキュリティ上の問題がかなりあることに気がつきました。そこで、拙著﹁体系的に学ぶ 安全なWebアプリケーションの作り方︵以下、徳丸本︶﹂の章・節毎に照らし合わせて、﹁よくわかる﹂の脆弱性について報告します。主に、徳丸本の4章と5章を参照します。 4.2 入力処理とセキュリティ ﹁よくわかる﹂のサンプルや解説では、入力値検証はほとんどしていません。しかし、入力値検証をしていないからといって即脆弱かというとそうではありません。徳丸本でも強調しているように、入力値検証はアプリケーション要件︵仕様︶に沿っていることを確認するもので、セキュリティ対策が目的ではないからです。 ﹁よくわかる﹂の中で、私が見た範囲で唯一の入力値検証は、郵便番号のチェックをするものです。以下に引用します︵﹁よくわ
    もし『よくわかるPHPの教科書』の著者が徳丸浩の『安全なWebアプリケーションの作り方』を読んだら - ockeghem's blog

  • PHPフレームワークの「codeIgniter」がスゴすぎる | H2O Blog.


    新しいことを勉強して、久々に心底感動しました。 Facebookである方が﹁もうすぐCodeIgniterカンファレンスが開催される﹂といったつぶやきをしているのを拝見し、この時初めてその存在を知りました。。 PHPのフレームワークで、習得が早く、動作速度が爆速だということだったので、ちょっと触ってみるかとダウンロードしてドキュメントを読みながら Hello World!を作ってみる。すると・・・ こ・・これはすごい・・ なにがすごいって、これまで私は﹁CakePHP﹂を超愛用していました。CakePHPは、もちろんそのほとんどがすごくいいのですが、若干だけ不満があったのです。しかし、codeIgniterではCakePHPの好きなところはそのままに、不満が全部吹っ飛んでいたのです。 では、その全貌をご覧入れましょう。 モデル・ビューが不要 CakePHPもcodeIgniterも、MV
    raimon49
    raimon49 2011/02/04
    制約の緩さが良いんだよね。
    リンク

  • CodeIgniterから再びcakePHPに戻す。その理由。 - nantekkotai achieves


    CodeIgniterは素晴らしい。これは間違いない。無駄な物がなく、規則も緩いからわざわざフレームワークを迂回するためのコードを書かなくていい。標準でバリデーションもページネーションもある。面倒なことはない。 それでも使用するフレームワークをcakePHPに戻した。何が不満だったのか、そしてなぜcakePHPに戻したのか。 理由は簡単。それはつまりCodeIgniterの長所でもあるのだが、規則が緩いことである。規則が緩いと自己流のコードが増える。そのコードの流れを覚えているうちはまだいい。しかし、一日のうち一時間か二時間程度しか書かないコード、時には数日も放置してしまう個人用のアプリ制作だと、その自己流のコードの流れを思い出すだけでも中々のコストが発生してしまうことに気付いた。 cakePHPはCodeIgniterに比べれば、パフォーマンスも悪いし、規則もしっかりしているから時には迂
    CodeIgniterから再びcakePHPに戻す。その理由。 - nantekkotai achieves
    raimon49
    raimon49 2010/08/06
    Rails直系と比べて規約が緩すぎる面はある。
    リンク

  • PHPのテスティングフレームワーク - p4lifeのメモ

    今回取り上げるテスティングフレームワークライブラリ，アプリケーションの品質を高めるために必要不可欠なテストですが，そのテストを実行するためのツールに関する情報を集めました． phpt PHPUnit SimpleTest lime DocTest PHPSpec phpthttp://qa.php.net/write-test.php PHP 独自のテスト機構 PHP 本体，PEAR のテストで最も良く使われる．テストファイルの拡張子は .phpt TAP*1 対応：PEAR 1.5.0 から対応 pear run-tests コマンドに -t オプションを付けると run-tests.log に TAP フォーマットのログが出力される特徴: pear コマンドが使えればテストを実行できるため，大抵の環境で動かせる GET/POST/Cookie, php.ini 設定, 標準入力をパラメ

    raimon49
    raimon49 2008/03/15
    PHPにもRSpecやDocTestの影響を受けたテスティングフレームワーク があるらしい。
    リンク
  • 1

お知らせ

もっと読む

公式Twitter

  • @HatenaBookmark

    リリース、障害情報などのサービスのお知らせ

  • @hatebu

    最新の人気エントリーの配信

はてなブックマーク

公式Twitter

はてなのサービス

  • App Storeからダウンロード
  • Google Playで手に入れよう
Copyright © 2005-2024 Hatena. All Rights Reserved.