初級PHPプログラマがおかしがちなミスＴＯＰ１０:phpspot開発日誌

The PHP coder's top 10 mistakes and problems @ SourceRally.net PHP Community 「PHPプログラマがおかしがちなミスＴＯＰ１０」、という記事があったので紹介。 PHP初心者だとこういうミスがよくありますね。ということで今年からPHPをはじめようと思っている人には気をつけてほしいリストです。 生でクエリを出力しない echo ＄_GET['username']; ↓ echo htmlspecialchars(＄_GET['username'], ENT_QUOTES); やらないとクロスサイトスクリプティングされます。 SQLクエリに＄_GET,＄_POST,＄_REQUESTの値を直接含めない ＄sql = "select * from table where id=".＄_GET["id"]; ↓ ＄sql =

[bbnetworks]

PHP初心者

[webmarksjp]

PHP

[ma2shita]

PHPだけじゃない。WEBプログラムの基本です。

[pmakino]

SQLクエリは特殊な事情がない限りプレースホルダを使うのが原則であって、$_GET等だけを特別視するのは誤り。＞SQLクエリに＄_GET,＄_POST,＄_REQUESTの値を直接含めない

[shozzy]

気をつけなきゃ＞＜

[cheebow]

チェックチェック

[drumsco]

PHP使うときには一度見ること

[at_home]

基本的なことだが、phpを開発しているのに理解できてないこともあった。何でも基本が大事ってことで。

[saladdays]

phpを始める際に読もう。

[miya2000]

クエリ云々ではなくて出力値すべて。DBから取り出した値(間接的にはクエリだけれども)が<script>だってこともありえますよ。

[tks_period]

主にセキュリティ。他言語でも同じ。

[lesamoureuses]

ありがちかどうかわからないけど

[FTTH]

とか云い出すと「明示的にENT_COMPATを指定すべきだ」等と脱線していって収拾がつかなくなるのでもっとやれ♪

[Paul3]

初級PHPプログラマがおかしがちなミス

[usj12262]

5番は有益

[send]

htmlspecialcharsは引数与えないとシングルクオートがエスケープされない点。/↑初心者PGがhtml見てそこまで判断できるのでしょうか？/それとも外部入力をそのまま使うなって観点の話？/miya2000氏そういう意味なら納得

[kaonore]

php

[nshash]

確認、セキュリティネタ多いなぁ。

[leva]

確認、セキュリティネタ多いなぁ。

[sharia]

これで初級か・・・

[masakiplus]

自分でも気をつけます。