第44回 セキュリティ対策が確実に実施されない2つの理由 | gihyo.jp

セキュリティ対策は言語やアプリケーションを問わず非常に重要です。しかし、取るべきセキュリティ対策が確実に実施されないケースが広く見受けられます。 最近の例では次のような物があります。 WordPress Meenews 5.1 Cross Site Scripting WordPress Enable-Latex Remote File Inclusion Dolibarr 3.1.0 RC Cross Site Scripting / SQL Injection 上のURLの脆弱性も対策が簡単なものが多いですが、対策が簡単なSQLインジェクションの脆弱性も数多く見つかっています。 CMS Balitbang 3.x SQL Injection AdaptCMS 2.x SQL Injection Icomex CMS SQL Injection なぜ簡単な対策で防げる脆弱性でもセキュリテ

[pmakino]

入力時のバリデーションと出力時のエスケープが重複処理だというような基本的な思い違いをするような人が解説文を書いているからですねわかります

[ockeghem]

『最後に「何が正しいのか？」常に考えるようにしてください』<この文以下は私への反論のようなのでブログで返答する予定/書いた http://t.co/YAFNQvkQ

[todesking]

バリデーションされてるデータを出力時エスケープするのはコード重複だからやめろっていうの、どこの世界のベストプラクティスだよ……

[moro]

Railsの誤解を解いておくと、SQL実行時にはSQLで使えない文字をエスケープするし、HTMLに出すときもその文脈でエスケープします。自動で。バリデーション? 別の話ですよね? まあARからは分離済です。

[rryu]

大垣さんはそろそろ出力時のバリデーションに通らなかった場合にどう処理すべきなのかを明示するべき。「SQLに安全に使用できない文字が使われました」という例外でも出すのだろうか。

[MinazukiBakera]

苦笑しつつスルーしたいところですが、Railsがdisられている部分はちょっと……。Rubyコミュニティの方々は力強く反応したほうが良いのではないかという気がしないでもないです。

[fukken]

プリペアドクエリのくだりが引っかかる。そもそも対象テーブル名やカラム名としてユーザー入力をそのまま使うのは脆弱性のもとだし、テーブル構造をユーザーに見せる事になるからセキュリティリスクだろ、糞設計だ

[kdmsnr]

よく知らないのに堂々と記事書くのがすごい

[t9a]

"最後に「何が正しいのか？」常に考えるようにしてください。" この記事に記載されていることは正しいことじゃないことが多い。理解した。

[hanageman]

記事を書いてる人自身のバリデーションが壊れててうける

[kana321]

セキュリティ対策が確実に実施されない2つの理由

[sansaisoba]

『この記事を読むのに必要な時間：およそ 3 ～ 5 分』　読めば読むほど考え込んでしまうので、３～５分なんかじゃ読めないです。 『セキュリティ対策とコーディングのベストプラクティスは相反する』…お前は何を（略

[shimada_cake]

"しかし，これはコーディングのベストプラクティスである「重複処理を排除した効率よいコード記述」に反します。" / 反しませんよ

[kogawam]

毎度スパイシーな記事です。プリペアドクエリが使えない説明、なんでPHPを冠した記事で根拠がインストーラやねんっ！って。思いました。

[Naruhodius]

はっ？

[k-holy]

バリデーションが「セキュリティ対策」かは置いといて、内容は別に間違ってないように思うんですが…（Railsの話は分かりません）

[nihen]

なんでこんなに叩かれてるのかわからん。たぶん関連するエントリー: http://d.hatena.ne.jp/IwamotoTakashi/20090910

[y-Aki]

こんな解説がまかりとおっているからですね、わかりません

[masakielastic2]

コードの書き方(コーディング)ではなくアーキテクチャではないだろうか。

[tagomoris]

なんでこの人、あいかわらずこんなこと書き続けてんの「セキュリティ対策とコーディングのベストプラクティスは相反することを理解していない」

[mumincacao]

『入力値の妥当性ちぇっく』と『出力時のえすけーぷ』は別物なのになんで重複処理扱いされるのかなぁ？ 多重のせきゅりてぃ対策ってなに指してるのかさっぱり・・・ （´・ω【みかん

[ghostbass]

「セキュリティ対策とコーディングのベストプラクティスは相反する」今時モノリシックスクリプトで書いてない限り、相反しないはず。

[katzchang]

バリデーションは仕様の話であって、セキュリティ対策ではない。出力の項も結局「バリデーションしなさい」ということになってて、何が言いたいのかようわからん。