第11回 スクリプトインジェクションを防ぐ10のTips | gihyo.jp
前回はスクリプトインジェクションがなくならない理由を紹介しました。それをふまえて今回はスクリプトインジェクションを防ぐ10のTipsを紹介します。 デフォルト文字エンコーディングを指定 php.iniには、PHPが生成した出力の文字エンコーディングをHTTPヘッダで指定するdefault_charsetオプションがあります。文字エンコーディングは必ずHTTPヘッダレベルで指定しなければなりません。しかし、デフォルト設定ではdefault_charsetが空の状態で、アプリケーションで設定しなければ、HTTPヘッダでは文字エンコーディングが指定されない状態になります。 HTTPヘッダで文字エンコーディングを指定しない場合、スクリプトインジェクションに脆弱になる場合あるので、default_charsetには“UTF-8”を指定することをお勧めします。サイトによってはSJIS、EUC-JP
PHP 4とregister_shutdown_function()に気をつけろ!! - よくきたblog
register_shutdown_function()はマニュアルを見てもらえばわかるのですが,PHPのスクリプト処理が終了した後に実行される関数(メソッド)を登録する関数です. ※指摘があり再確認したらregister_shutdown_functionは期待通りの動作をするようでした…(涙 PHP 4(バージョン4.4.4)で構築しているある案件で ・常に最後に実行される処理を用意したい. ・デバッグモードのときだけプロファイルを表示するようにしたい ってことでregister_shutdown_function()を何も考えずに使用した. コアクラスのようなものを作成していたので,シャットダウンメソッドで上記を実装. 例えばこんな感じ. class Core { var $flag; function Core() { $this->enableFlag(); : : : regi
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
2007-10-31 - 技じゅちゅ的メモ
