不正データによる終了時のステータスコードで悩む | 水無月ばけらのえび日記

「なぜPHPアプリにセキュリティホールが多いのか?【スクリプトインジェクション対策07】予期しないエラーが発生した場合，プログラムの実行を停止する (gihyo.jp)」。 「プログラムの実行を停止」というのは表現がおかしいと思いますが、要は処理を続行せずにエラー終了すべきということですね。 しかしこういうときに悩むのが、「どういうステータスコードで応答したら良いのか」ということ。普通に考えると500系のレスポンスになると思うのですが、501 (Not Implemented) では変ですし、503 (Service Unavailable) だと一定期間後に復活しそうに見えますし、他に使えそうなコードはないし……。というわけで、まあ素直に500 (Internal Server Error) で良いかなぁ……と思うわけですが。 ところがついこの前、とある案件にて、セキュリティ屋さんから「

[ockeghem]

2008年の記事ですが、ステータス500に関する、ばけらさんの記事。コメント欄も含めてとても興味深いです

[crus]

『セキュリティ屋さんから「500応答はダメ」と言われて』<-何故駄目なんだろ？理由もなしに、決まってるから駄目とかだったりして。

[hiro_y]

異常終了時のHTTPのステータスコードを何にするか。単純に500を返すと攻撃者に情報を与える可能性…か。

[kits]

なぜ500はだめなのだろう。