「セキュアなPHPアプリケーションを作成するための7つの習慣」のサンプルがとんでもなく酷い - ockeghem's blog

はてブで250以上のブックマークを得ている以下のエントリ。 PHP アプリケーションを作成する際には、可能な限りセキュアなアプリケーションにするために、次の 7 つの習慣を守る必要があります。 入力を検証する ファイルシステムを保護する データベースを保護する セッション・データを保護する XSS (Cross-Site Scripting: クロスサイト・スクリプティング) の脆弱性から保護する フォームへの投稿を検証する CSRF (Cross-Site Request Forgeries: クロスサイト・リクエスト・フォージェリー) から保護する ほう。しかし、内容はどうだろうか。 読んでびっくりした。説明も微妙なところが多いが、サンプルが酷い。こんなサンプルでは悪い習慣が身についてしまう。全部は書ききれないと思うので、目についたところからピックアップして紹介する。 パストラバーサル

[ockeghem]

id:yuyarin改善案といっても元が酷すぎます。「安全なウェブサイトの作り方」読めでいいのでは?あぁ、ひょっとしてPHPコミュニティはIPAが嫌い?

[honeybe]

あとで。

[Aoba]

PHPのセキュリティ関連の話題は大抵こういう穴があるのはなんでだろうね。

[pitworks]

　1.入力を検証する 2.ファイルシステムを保護する 3.データベースを保護する 4.セッション・データを保護する 5.XSSの脆弱性から保護する 6.フォームへの投稿を検証する 7.CSRF (Cross-Site Request Forgeries) から保護する

[te2u]

PHPはあまり知らない。/シングルクォートで囲まなくてもすむように、is_numericで検証していると思うが。is_numericをパスし、かつSQLインジェクションとなる実例がほしい。

[webbingstudio]

むずかしいなー

[denken]

IBMこわい

[IwamotoTakashi]

id:riafさんは、この記事に問題点があるというなら具体的に指摘すればいいのに。

[yura_saito]

サンプルについての苦言

[cubed-l]

アレそんなに伸びちゃったのか…

[se-mi]

酷いサンプルにつっこみ

[yuyarin]

改善案を示さないとなぁ。

[n2s]

↓ぐさっ＿|￣|○ il||li