php言語の脆弱性について

strcmpは型のチェックが厳格でないという仕様上の問題がありますが、それが実際に脆弱性になる *自然な* 例を作ることは容易ではありません。 strcmpによる比較が「おかしい」例として下記があります。 <?php $a = 8498209348989438; $b = 8498209348989439; var_dump($b - $a); var_dump(strcmp($a, $b)); この結果は下記となります。 float(1) int(0) すなわち、異なる数値であるのにも関わらず結果は「等しい」となっています。 しかし、これは入力が数値（float）であるものを文字列にキャストしているからおかしくなっているわけであって、わざわざstrcmpによる比較をすることが不自然です。 では、さっきの例を文字列型で比較するとどうなるかというと、 $a = '84982093489894

[ockeghem]

『パスワード認証において、phpのstrcmp, strcasecmpといった関数には脆弱性があると聞きます』<この種の質問はたまに見かけますね