PDOのサンプルで数値をバインドする際にintにキャストしている理由
先日PHPカンファレンス北海道2016にて「『例えば、PHPを避ける』以降PHPはどれだけ安全になったか」と題して基調講演を担当致しました。その際のスライドはこちら。 そうしたところ、以下のご指摘をいただきました。 @ockeghem スライド拝見しました。39番目のスライドですが、バインドのタイミングでintにキャストするのはちょっと例として良くない気がします。意図的にオーバーフローを起こすことで想定外のレコードの取得を許してしまいそうです。キャストしない方がまだ安全だと思うのですが。 SQLデータベースは、int型よりも大きな桁数を扱える場合があるので、intへのキャストを避けた方がよいという指摘は一般論としてはもっともなものだと考えます。PHPの場合、9223372036854775807を越える数字文字列をint型にキャストすると、9223372036854775807が返ります(
PHPでデータベースに接続するときのまとめ - Qiita
【2021/10/15 追記】 この記事は更新が停止されています。現在では筆者の思想が変化している面もありますので，過去の記事として参考程度にご覧ください。PDO に関しては大きく変わっていない部分が多いとは思いますが， PHP 8.x 以降での動作保証はありません。 あらかじめ読んでおきたい記事 Qiita - 【PHP超入門】クラス～例外処理～PDOの基礎 by @7968 初心者がやりがちなミス 以下のどれかに1つでも当てはまるコードは見直す必要があります．付録にリンクを貼っておきましたので，「該当するかも？」という人はクリックして飛んで読んでください．太字にしてあるものは脆弱性に直結する危険度の高いものです． mysql_query などの非推奨関数を利用している SET NAMES あるいは SET CHARACTER SET などで文字コードを指定している そもそもデータベース
Joomla!の「ゼロデイコード実行脆弱性」はPHPの既知の脆弱性が原因
Joomla!にコード実行脆弱性(CVE-2015-8562)があり、パッチ公開前から攻撃が観測されていたと話題になっています。 Joomlaに深刻な脆弱性、パッチ公開2日前から攻撃横行 「Joomla!」に再び深刻な脆弱性、3.4.6への速やかなアップデートを推奨 パッチ公開の前に攻撃が始まる状態を「ゼロデイ脆弱性」と言いますが、それでは、この脆弱性のメカニズムはどんなものだろうかと思い、調べてみました。 結論から言えば、この問題はJoomla!側に重大な脆弱性はなく、PHPの既知の脆弱性(CVE-2015-6835)が原因でしたので報告します。 exploitを調べてみる 既にこの問題のexploitは公開されていますが、悪い子が真似するといけないのでURL等は割愛します。以下のページでは攻撃の原理が説明されています。 Vulnerability Details: Joomla! Re
Highly Available MySQL/PHP Applications with mysqlnd
Jul 5, 20146 likes4,887 viewsAI-enhanced description This document discusses how to achieve high availability in PHP/MySQL applications using the mysqlnd driver. It describes different MySQL high availability configurations including master-slave replication, multi-master replication using Galera or NDB Cluster, and how mysqlnd's mysqlnd_ms plugin allows applications to connect to these clustered
大規模ソーシャルゲームを支える技術～PHP+MySQLを使った高負荷対策～
より詳細なCQRSに関する資料はこちら https://little-hands.hatenablog.com/entry/2019/12/02/cqrs 参考資料：http://little-hands.hatenablog.com/entry/jjug2017fall 社内新規プロダクトでDDD, CQRSの思想をベースとしたアーキテクチャを構築し、コマンド(更新系処理)ではSpring Data JPA(Hibernate)を、クエリ(参照系処理)ではjOOQを採用しました。 結果としてそれぞれのORMの良いところを生かした組み合わせのアーキテクチャが構築できたので、その経緯と得られた知見についてお話ししたいと思います。 以下のようなトピックを考えています。 ・CQRSの定義とメリットデメリット ・DDD,CQRSを検討するにあたってのORMの選定ポイント ・構築したアーキテクチャ
PDOでの数値列の扱いにはワナがいっぱい（2） — A Day in Serenity (Reloaded) — PHP, CodeIgniter, FuelPHP, Linux or something
PHP Advent Calendar 2013 in Adventarの18日目です。昨日は、takc923さんの「PHPのissetの罠」でした。 「PDOでの数値列の扱いにはワナがいっぱい」を書いたところ、以下のように結構反響がありました。 PDOでの数値列の扱いにはワナがいっぱい — A Day in Serenity (Reloaded) — PHP, FuelPHP, Linux or something http://t.co/kDJAWzdMqr | 先日思いっきりハマったところ。 — K.K. (@kkmym) December 16, 2013 他の方も書いてるけど、バインドで型を明示すればおｋ / “PDOでの数値列の扱いにはワナがいっぱい — A Day in Serenity (Reloaded) — PHP, FuelPHP, Linux or somethin
PHPとセキュリティの解説書12種類を読んでSQLエスケープの解説状況を調べてみた
この投稿はPHP Advent Calendar 2013の13日目の記事です。昨日は@tanakahisateruのPHPが糞言語なのはどう考えても参照をポインタだと思っているお前らが悪いでした。 現在twitterのタイムラインで、史上空前のSQLのエスケープブームが起こっています。 オレオレSQLセキュリティ教育は論理的に破綻している | yohgaki's blog 「プリペアードクエリが基本だけど、動的に SQL を組み立てる場合もあるから、そういう場合に備えてエスケープも知っておいたほうがいいかも」 - Togetterまとめ エスケープとプレースホルダをめぐる議論 - Togetterまとめ SQLインジェクション対策としてのプリペアドステートメントとエスケープについての議論 - Togetterまとめ IPAの「安全なSQLの呼び出し方」が安全になっていた | yohgak
PHPの開発に使えるVagrantfileのまとめ | Engine Yard Blog JP
このエントリはPHP Advent Calendar 2013 - Qiita [キータ]の1日目です。 PHPの開発に幅広く利用されるようになったVagrantですが、公開されているVagrantfileがGitHub上だけでも300件以上と色々とあるのでまとめておこうと思います。 Search · Vagrant php yandod/php5-nginx-vagrant-sample こちらは手前味噌ですが、自分が使っているVagrantfileです。素のPHPやPHPUnit、各種フレームワークの動作検証に使うためにPHP5.5とNginxを構築しています。 またデータベースとしてMySQLとPostgreSQLを両方セットアップしてあり、ImageMagickも入っているあたりも特徴かと思います。 10up/varying-vagrant-vagrants 通称、「VVV」と呼
モバイルゲームにおけるAWSの泥臭い使い方
EC2ではマルチキャストが使えないから○○が動かないってよく聞きます。確かにVPCであってもEC2ではL2ブロードキャストはサポートされていないので、ENIにブロードキャスト/マルチキャストパケットを投げても誰にも届きません。でも当たり前ですが、ユニキャストはできますよね？であればアプリケーションがマルチキャストのつもりで投げたパケットを捕まえて、L3アドレスはそのままにL2で複数のユニキャストフレームとして送ってしまえばいいのでは？そんな事を試して実際動く事を確認したところをデモを含めてお届けします。
フリーランサー/小規模向けのプロジェクト管理·Solo MOONGIFT
SoloはPHP製のソフトウェアです。 ごく小規模な、そう一人でも使えるプロジェクト管理は意外と使い勝手が良いものはなかったりします。少人数で使うにはちょっと大袈裟な機能がたくさんなので、手に余る感じでした。そこで紹介したいのがSolo、小規模にこだわったプロジェクト管理です。 インストール。ウィザードに沿って進めるだけです。 メイン画面です。プロジェクトが並びます。 プロジェクト作成画面。基本的にこういったモーダルウィンドウで入力を行います。 プロジェクトにはタスクが追加できます。 カレンダー機能があります。タスクの期限に合わせて表示されます。 クライアント。 タスク管理。プロジェクトを横断的にチェックできます。 ファイルの添付もできます。 プロジェクトテンプレート。 タスクはタイムトラッキング機能が備わっています。 Soloは主にフリーランスが集まってプロジェクトをこなすのに合わせた設
Post by @mask-legacy · 1 image
みなさん、こんにちは。マスク・ド・レガシーです。 PHPカンファレンスも無事に終わり、ゆっくりと休暇を楽しんでいたところ、にわかにタイムラインが騒がしくなっていました。今回は話題の中心になったSpikaを題材にPHPのコーディングについて考えてみようと思います。 SpikaはMITライセンス化のオープンソースとして公開されたメッセンジャーアプリケーションです。プロジェクトにはネイティブで実装されたiOS、Android向けのモバイルアプリケーションとPHPで実装されたサーバーサイドを組み合わせる事で独自のメッセンジャーサービスを構築する事ができます。 メディアの記事ではバックエンドはCouchDBとの事でしたが、プッシュ通知を管理する為のキューと管理画面にMySQLも利用されています。インストーラーによると動作条件は下記の通りです。 PHP 5.0 or higherMySQL 4.0 o
PHPカンファレンス2013 で「PHPerのためのデータサイエンス入門」という話をしてきました #phpcon2013 - 肉とビールとパンケーキ by @sotarok
PHPカンファレンス2013 先日 9/14 に行われた PHP カンファレンス2013 で「PHPerのためのデータサイエンス入門」という話をしてきました。 データサイエンスというと、おそらく、キモになるところは「モデリングと効果測定のところ」ではないかと僕は思っているのですが、実はデータサイエンスの守備範囲は非常に広く、扱う領域、知識の幅を必要とする分野です。特に、データサイエンスの領域はエンジニアリングの領域のみならず、ビジネスの領域も含むと思います。データを分析し、ビジネスに使える結果・モデルをどう得るか、それを出すためには、どういった結果が、ビジネスに効いてくるのか、それがわからなければいけません。エンジニアリングからビジネスまで、という領域に対して、業務上、コミットできる人は、世の中にそう多くは無いと思います (だからこそ、データサイエンティストというのは稀有な存在であり、今最
OSC 2013 Hokkaidoの発表で使用したスライド資料「PHP+MySQLを使ったスケーラブルなソーシャルゲーム開発」｜技術ブログ｜北海道札幌市・宮城県仙台市のVR・ゲーム・システム開発 インフィニットループ
ホーム 技術ブログ OSC 2013 Hokkaidoの発表で使用したスライド資料「PHP+MySQLを使ったスケーラブルなソーシャルゲーム開発」 OSC 2013 Hokkaidoの発表で使用したスライド資料「PHP+MySQLを使ったスケーラブルなソーシャルゲーム開発」 当ブログでも告知させて頂きましたOSC北海道、今年も盛況のうちに終わりました。 関係者の皆様、本当にお疲れ様でした。 セミナーを聞きに来てくださった皆様、弊社ブースに遊びに来てくれた皆様、忙しい中ありがとうございました。 さて、今年も発表に使った資料を公開させて頂きます。 今年は「PHP+MySQLを使ったスケーラブルなソーシャルゲーム開発」というタイトルで、ソーシャルゲームのサーバ群がどのようにスケールアウトされていくのか、物語仕立てで解説しています。 また、現在の負荷やネックとなる箇所をどのように調査しているのか、
Vagrant + ChefでオレオレPHP開発環境を作ってみました
追記: 依存レシピの管理はBerkshelfを使うべきと思いますが、とりあえずGitのサブモジュールにしてしまっています。 使用するIPアドレスとポートが"192.168.33.10"から"localhost:8081"(php5.5ブランチ)と"localhost:8080"(masterブランチ)に変わりました。記事内の各所は適宜置換して下さい。 -- レポジトリは https://github.com/mp-php/vagrant-phpdev-ubuntu です。 主な環境は * PHP5.5 * Apache2.4 * MySQL5.5 です。MySQLのrootユーザのパスワードはデフォルトだと"root"になります。これは cookbooks/chef.json で変更できます。 以下、READMEの通りですが、大まかな流れを書いておきます。 まず git clone して
PDOにてMaster&Slaveのコネクションを操作するクラス(PHP)
皆様、ご無沙汰しております。笹亀です。 いよいよきたる、9/10に新しいiPhone5 S(仮名)が発表される予定ということで、iphone4を使っている自分は今回のタイミングで変更する予定なので、いまから発表が楽しみです。 さて、本日はフレームワークなどを利用している場合などであれば、あまり使用することはないですが、PDOを利用したレプリケーションしたデータベースのコネクションを切り分ける方法をご紹介したいと思います。PHPでも様々なフレームワーク（symfony,Cake,ZendFramwork）を使い開発をされるようになってきており、あまりレプリケーションの切り分けを考える必要がなくなってきておりますが、切り分けを行う方法（考え方）という視点で見ていただけますと幸いです。 ※尚、ご使用される場合は自己責任でお願い致します 概要について レプリケーションのコネクションを切り分けること
PHPのMySQLとの接続・切断のタイミング - new takyam();
ウェブオペレーションエンジニアはリリース前のソースコードのココを見ているッ！ http://blog.nomadscafe.jp/2012/12/post-15.html こちらの記事、アプリケーションチューニングの初期にとるべき行動の勘所がまとまってて、非常に勉強になりました。 データベースというとすぐにSQLの話になってしまいますが、その前にアプリケーションからどのようにデータベースへ接続しているのかを確認します。TCPのハンドシェイクのコストはそれなり高いので、適切な範囲で接続を維持するようにして効率性をあげます。イベントベースで動くmemcachedはコネクション維持のコストが小さいのでできるだけ長いプロセス単位での接続、MySQLは1コネクション1スレッドと少しコストがあがるのでリクエスト単位で接続を落とすようにしています (本文から引用。強調は引用時に強調) というわけで、My
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
PHPで100万件バッチ回したら死ねる
PHP+MySQLを使ったスケーラブルなソーシャルゲーム開発
プロジェクト管理ツールをWeb上で実装出来るPHP製のソフトウェア・Solo - かちびと.net
Inside pixiv's infrastructure〜application cluster side〜
