第2回 Pythonの脆弱性 ～ReDOS～ | gihyo.jp

では、なぜこのようなことが起きてしまうのでしょうか。具体的な脆弱性の解説に移る前に、まずはReDoSのしくみについて説明します。 ReDoSのしくみ ReDosの脆弱性を理解するためには、そもそも正規表現によるマッチングを行う処理系である、正規表現エンジンのしくみについて知る必要があります。 正規表現エンジンの概要 正規表現エンジンとは、簡単に言えば「ユーザーから受け取った文字列（入力文字列）が、正規表現で表される文字列と合致するか否か」を判定するプログラムです。そしてこのプログラムのキモとなる「正規表現文字列の解釈」と「入力文字列が合致するか否かを判定する部分」は、「⁠有限オートマトン」を利用して実現しています。 具体的には、正規表現の文字列を有限オートマトンに変換後、入力文字列を有限オートマトンの入力として与え、文字列中に正規表現にマッチする部分があるか否かを、有限オートマトンの状態を

[asiamoth]

ReDOSの話題って、毎回毎回「正規表現が必要ない箇所に正規表現を使うな」で済むよね。今回は まだ正規表現でゴリ押ししてて苦笑。たとえばカンマをsplitすれば良いだけでは。

[u4cniics]

正規表現便利なんだけど可読性が悪いのでなるべく使わないでほしい。人の書いたぐちゃぐちゃ正規表現を読み解くときが地獄。

[nilab]

第2回　Pythonの脆弱性 ～ReDOS～ | gihyo.jp

[tmatsuu]

ReDoSの原理と作り込まないためのポイント、脆弱性有無をチェックするツールsafe-regexまで。くわしい。いいね。

[UDONCHAN]

RoDoSの原理理解してたとて、他のことも考えながらコード書いてて、正規表現書く度にチェックするのは困難っぽいから、挙げられてるツールうまく使ってチェックするのが良さそうだ。