セキュリティ専門家でも間違える！文字エンコーディング問題は難しいのか?

(Last Updated On: 2018年8月13日)一見徳丸さんのブログは分かりやすいように思えますが、それは単純な実験により分かりやすいように見えるだけで複数の間違いがあります。 その間違いとは 意図の取り違い – 誤読 言語の仕様と実装の理解不足 HTTPやPHP仕様の理解不足 セキュリティ対策をすべき場所の理解不足 です。(※0) 徳丸さんは非常勤とは言え、国の出先機関の研究員であるし、その出先機関は職務放棄とも言える文書（「例えば、PHPを使用しない」と勧める文書）を公開している(いた?)のでしっかり反論しておく必用がありますね。IPAのあの文書は職務放棄と言える文書だと思っています。これについても後で意見を述べます。 意図の取り違い – 誤読 最初の間違いは私のブログのエントリ「何故かあたり前にならない文字エンコーディングバリデーション」に対する理解です。特にPHPユーザに

[denken]

「徳丸さんのブログを見てびっくりすると同時に失望しました。徳丸さんがWebの基礎的な技術仕様や言語の仕様、実際の現場での利用方法などを理解していないで評論していることが分かったからです。」

[wdr_s]

ボタンの掛け違えの連鎖のような...

[kits]

なぜ言及記事に直接リンクしないのだろう。

[deg84]

正直読みにくくて読む気が・・・　あとでFirebugで文字サイズとか行間変えて読んでみる

[H_Yamaguchi]

　確かに、「例えば、PHPを利用しない」には違和感があった。「例えば、IEを利用しない」「例えば、Windowsを利用しない」「例えば、Webアプリケーションを利用しない」・・・

[masayang]

そもそもIPAなんていらんでしょうに。

[mi1kman]

とりあえず落ち着いて記事を寝かしてから公開ボタンを押すべき

[masa_matya]

phpのエンコーディング問題

[americanboss]

"php.iniの設定をするだけで"encoding_translationのことかな？入力値が素直に入ってこない可能性があり、それをソースコード上で追えないのが嫌い。マイナーな設定だし、PHP使いはバカでも読めるコードを残す使命がある。

[MasaHero]

後で読む

[MinazukiBakera]

あとで。とりあえず、「HTTPは所謂ASCIIくらいしか考慮に入れてなかった仕組み」は誤りで、RFC1945の時代からISO-8859-1がデフォルトだという点は指摘しておきたい。コメント欄が変に盛り上がっている?

[nihen]

突っ込みどころ満載すぎるなぁ。すごい気になったのですがコード中ではなくphp.iniで設定できることが殊更メリットのようにいわれるのはまったく理解できないなぁ

[rhosoi]

一個一個のデータがどこからくるか考慮することなのに、簡単なサンプルコードやスニペットで解決する問題にしていまいたがる「PHPerを買いかぶらないでもらいたい」ってのと同じ感覚

[tohokuaiki]

wktkして待つ。「ここ」とかリンク忘れてるし、珍しくヒートアップしてるような・・・。

[yohei]

本当に仕様わかってるのかな?>「HTTPは所謂ASCIIくらいしか考慮に入れてなかった仕組みなのでユーザエージェントには7bitASCIIのプリンタブルな文字しか」HTTPヘッダの値は歴史的経緯によりISO-8859-1、これBK。UTF-8ならよかった

[ockeghem]

お得意の『斜め読み』による誤読でしょうか?『徳丸さんが簡単な実験で明らかにしている"自動"(?)バリデーション』<引用箇所はバリデーションを意図的に回避した場合の例です / 日記書いた http://www.tokumaru.org/d/20090918.html#p01