マッチするはずの正規表現がマッチしない現象 - T.Teradaの日記

今日は、PHPでよく使用される正規表現エンジンであるPCRE（Perl Compatible Regular Expression）の、余り知られていない（と思う）制約について書きます。 プログラム 題材は下のPHPプログラムです。 <?php header('Content-Type: text/html; charset=latin1'); $url = $_REQUEST['url']; if (preg_match('/^(.*?):/s', $url, $match)) { $scheme = $match[1]; if ($scheme !== 'http' && $scheme !== 'https') { exit; } } echo '<a href="'. htmlspecialchars($url). '">link</a>'; 外部から受け取った「url」パラメータ

[zuborawka]

覚えておく

[kanno_kanno]

脆弱性にもなるのか

[ytoku]

あー盲点だった

[rsky]

「マッチしない場合はチェックOK」のフローはダメ』

[loungep]

「マッチするはずの正規表現がマッチしない現象」

[TAKESAKO]

マッチするはずの正規表現がマッチしない現象 - PHPでよく使用される正規表現エンジンであるPCRE

[ockeghem]

さすがはT.Teradaさんの内容過ぎて一般のアプリケーションプログラマには理解不能。よって、フィールド毎に満たすべき文字種・文字列長をチェックするのが吉。参考: http://itpro.nikkeibp.co.jp/article/COLUMN/20090525/330611/

[Kenji_s]

preg_match()の上限値の問題

[shimooka]

『「マッチしない場合はチェックOK」のフローはダメ』

[IwamotoTakashi]

"「マッチしない場合はチェックOK」のフローはダメ"