RFC911Xから振り返るHTTPの仕様
HTTPとPHPは切っても切れ離せない関係があります。 PHPもその周辺のミドルウェアもHTTPを正しく理解することで、さらにその力を発揮する事が出来ます。 そんなHTTPに関するRFCが2022年6月に新たに公開されました。 HTTPは実際にどのようなメッセージを送信、受信していてそのメッセージにはどのような意味が込められているのか、 PHPerにとって知っておくべきHTTP仕様をこのタイミングでRFC911*から振り返ってみましょう。 - 想定する聴講者 - HTTP仕様について興味がある方 - HTTP Messageの中身、やり取りについて知りたい方 - HTTP header による挙動変化について知りたい方
新しいHTTPメソッド、QUERYメソッドの仕様 - ASnoKaze blog
新しいHTTPメソッドを定義する「The HTTP QUERY Method」という提案仕様が議論されています。 もともとは、SEARCHメソッドという呼び名が候補としてあげられていましたが、長い議論ののち、一旦QUERYと呼ぶ方向となっております。最終的なFixについては、この draft 02の公開とともに改めてコンセンサスを求めた後に行われます。 QUERYメソッド 「GETリクエストにボディを付けたいという」という質問は長らく有りました。しかし、GETやHEADリクエストでボディをつけることは非推奨となっています (参考URL)。 そのような要望のなかで、リクエストでボディを含められる冪等性の保証された新しいHTTPメソッドが検討されました。それがQUERYメソッドです。冪等性があるため、ブラウザやProxyは自動でリトライすることができます。(なお、POSTはセマンティクス上冪等
OWASP Secure Headers Project | OWASP Foundation
This website uses cookies to analyze our traffic and only share that information with our analytics partners. Accept Introduction 🎯 The OWASP Secure Headers Project (also called OSHP) describes HTTP response headers that your application can use to increase the security of your application. Once set, these HTTP response headers can restrict modern browsers from running into easily preventable vul
HTTPステータスコードを適切に選ぶためのフローチャート : 難しく考えるのをやめよう | POSTD
HTTPステータスコードを返すというのはとても単純なことです。ページがレンダリングできた？よし、それなら 200 を返しましょう。ページが存在しない？それなら 404 です。他のページにユーザをリダイレクトしたい？ 302 、あるいは 301 かもしれません。 I like to imagine that HTTP status codes are like CB 10 codes. "Breaker breaker, this is White Chocolate Thunder. We've got a 200 OK here." — Aaron Patterson (@tenderlove) 2015, 10月 7 訳：HTTPのステータスコードのことは、市民ラジオの10コードみたいなものだと考えるのが好きです。「ブレーカー、ブレーカー、こちらホワイト・チョコレート・サンダー。200
Authorization ヘッダーを環境変数で扱うために CGIPassAuth を有効にする - Qiita
概要 Apache HTTP Server 2.4.13 で CGIPassAuth ディレクティブ (公式マニュアル) がコア機能に追加されました。このディレクティブのデフォルト値は Off です。On をセットすると CGI (FactCGI) で Authorization ヘッダーを環境変数で扱うことができるようになります。CGIPassAuth ディレクティブは .htaccess でも使うことができるので、共用のホスティングサービスでも利用できることを意味します。 以前のバージョンでは mod_rewrite の RewriteRule ディレクティブを使うかコンパイル時に SECURITY_HOLE_PASS_AUTHORIZATION フラグを指定する必要がありました。これらの方法と比べて CGIPassAuth ディレクティブのほうがかんたんです。 mod_cgi、mod
PHPに関するHTTPOXY脆弱性の問題と対応方法 - Code Day's Night
外部から簡単にHTTP_PROXYという環境変数がセットでき、サーバ間通信や外部サイトと連携している場合に影響があるかもしれない脆弱性です。(HTTPoxy. CVE-2016-5385) PHPの場合はphp-fpm, mod_php, Guzzle4以上やいくつかのライブラリで影響あります。 対応方法は簡単です。 Apache側で対応する場合は、mod_headerを使える状況であれば、confファイルに下記の1行を追加。 RequestHeader unset Proxy FastCGIの場合は下記の1行を追加。 fastcgi_param HTTP_PROXY ""; Guzzleは6.2.1で対応されたようです。 Release 6.2.1 release · guzzle/guzzle · GitHub コミットログを見ると、CLIの時のみ、getenv('HTTP_PROXY
Mitigating the HTTPoxy Vulnerability with NGINX
On 18 July 2016, a vulnerability named ‘HTTPoxy’ was announced, affecting some server‑side web applications that run in CGI or CGI‑like environments, such as some FastCGI configurations. Languages known to be affected so far include PHP, Python, and Go. A number of CVEs have been assigned, covering specific languages and CGI implementations: Apache HTTP Server (CVE-2016-5387)Apache Tomcat (CVE-201
httpoxy
Recommended reading Summary What Is Affected Immediate Mitigation Prevention Interesting, but once you’ve mitigated How It Works Why It Happened History of httpoxy CVEs A CGI application vulnerability (in 2016) for PHP, Go, Python and others httpoxy is a set of vulnerabilities that affect application code running in CGI, or CGI-like environments. It comes down to a simple namespace conflict: RFC 3
Choosing an HTTP Status Code - Racksburg
What could be simpler than returning HTTP status codes? Did the page render? Great, return 200. Does the page not exist? That’s a 404. Do I want to redirect the user to another page? 302, or maybe 301. I like to imagine that HTTP status codes are like CB 10 codes. “Breaker breaker, this is White Chocolate Thunder. We’ve got a 200 OK here.” — Aaron Patterson (@tenderlove) October 7, 2015 Life is bl
HTTP ページ上でのパスワード要求はやめましょう
[これは Mozilla のセキュリティエンジニア Tanvi Vyas 氏のブログ記事 No More Passwords over HTTP, Please! を同氏の許可を得て翻訳したものです] Firefox 46 Developer Edition は、HTTP ページ上でログイン情報の入力を求められた場合、開発者に警告を行います。 ユーザ名とパスワードの組み合わせは、ユーザの個人データへのアクセスを管理する手段です。Web サイトはこうした情報を注意深く扱い、パスワードは HTTPS のような安全な (認証、暗号化された) 接続を通じてのみ要求すべきです。しかし残念なことに、HTTP のような安全でない接続でユーザのパスワードが扱われている例が 非常に多く 見られます。このプライバシーとセキュリティの脆弱性を開発者の皆さんに知らせるため、最新の Firefox Develope
HTTPlug
Decouple your package from implementation HTTPlug allows you to write reusable libraries that need an HTTP client without binding to a specific implementation. Read more about the why and how of the HTTP client abstraction in our documentation. Use your HTTP Client of choice We provide adapters for existing HTTP Clients, so you can use your regular tools, even in compatible third-party packages. F
PHPにおけるHTTPヘッダインジェクションはまだしぶとく生き残る
この記事はPHPアドベントカレンダー2015の3日目の記事です 。 MBSD寺田さんの記事「LWSとHTTPヘッダインジェクション」では、PHPのheader関数に関連して、PHP側のHTTPヘッダインジェクション対策を回避する手法と、それに対するPHP側の対応について書かれています。この記事では、寺田さんの記事を受けて、現在でもHTTPヘッダインジェクション攻撃が可能なPHP環境が残っているかを検証します。 HTTPヘッダインジェクションとは 以下の様なスクリプトがあるとします。 <?php header('Location: ' . $_GET['url']); オープンリダイレクタ脆弱性がありますが、それは気にしないとして、PHP5.1.1までのバージョンでは、以下の様な攻撃が可能でした。 http://example.jp/header.php?url=http://example
HTTP/2の特徴 HTTP/1.1との違いについて | REDBOX Labo
今回は高速化手段の一つとして注目されているHTTP/2に関して、主な特徴HTTP/1.1との違いなどを紹介したいと思います。HTTP/2はHTTP/1.1と比べ様々な最適化がされています。 HTTP/2とはSPDYというプロトコルをご存じでしょうか。SPDYは2009年頃米GoogleによるWeb高速化の取り組みの一環から誕生しました。SPDYは従来から利用されているHTTPと互換性を保ちながらセッション層を効率化するプロトコルで、既にTwitterやFacebook、一部大手サイトなどが取り入れるようになりました。 HTTP/2はこのSPDYの進化版という位置づけで２０１５年５月にIETF（Internet Engineering Task Force）によって仕様の策定が進められ、RFC化を果たしました。そのためHTTP/2は従来のHTTPと互換性を保ちながら内部的な効率化がされていま
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
GitHub - flano-yuki/http3-note: My HTTP/3 Note
GitHub - utkusen/reqstress: a benchmarking&stressing tool that can send raw HTTP requests
rel=noopener - HTML: ハイパーテキストマークアップ言語 | MDN
GitHub - php-vcr/php-vcr: Record your test suite's HTTP interactions and replay them during future test runs for fast, deterministic, accurate tests.
https://www.hiawatha-webserver.org/
GitHub - antonmedv/console: Web PHP Console
GitHub - Sainsburys/sainsburys-http-service: Sainsbury's PHP micro-framework for HTTP-based REST or RPC services