入力値検証の話 - T.Teradaの日記 - 2007-09-08

Webアプリケーションのセキュリティ対策としての入力値検証について議論されています。 そろそろ入力値検証に関して一言いっとくか: Webアプリケーション脆弱性対策としての入力値検証について - 徳丸浩の日記(2007-09-05) 思ったことをいくつか書きます。 徳丸さんの日記は、ユーザがテキストボックスなどで自由に値を入力できる住所などのデータを主に対象としたものだと思う。 ただ、ユーザの自由な入力を起源としないデータも存在する（ここでは「システム起源のデータ」と呼ぶ）。 hidden、リンクURLに埋め込まれているGETパラメータ、Cookieなどには、この手のデータが入ることが多い。 システム起源のデータの多くは、ある型に従うことが期待されるもので、原則的に入力値検証をすべきもの（BMPの「ピクセルあたりビット数」と同じような感覚）。 システム起源のデータも、エスケープさえすればイン

[ghostbass]

hiddenだろうがoptionのvalueであろうが「クライアントサイドから渡される値」には変わりがないのでは。

[ockeghem]

「システム起源のデータ」をhiddenフィールドなど格納することの是非についてはそのうち書く

[hiro_y]

webアプリの入力値チェック、システム起源の入力値に対するチェック。

[cubed-l]

んー