サニタイズ/入力値検証/エスケープの考え方 - Qiita

サニタイズって言うと怖い人たちがやってくるから言わないようにしましょう。 サニタイズは入力値検証もエスケープもなにもかもを含んだ広い意味になってしまったので、うっかり言ってることが食い違うと大変です。 入力値検証は、PHPの外からPHPに入ってくる値を検証することです。 外というと主に$_REQUEST/$_GET/$_POST等のリクエストパラメータがイメージされますが、実際はそれ以外にも環境変数、コマンドライン引数、ファイルやデータベースからの読み込みなど、PHP以外からやってくる全てのものを指します。 入力値検証はセキュリティ対策ではない もう入力値検証はセキュリティ対策としてあてにしないようにしようという記事がありますが、「もう」以前に、そもそも入力値検証は根本的にセキュリティ対策ではありません。 入力値検証は、『入力値が要件として正しい値か否かをチェックする』機能であって、そこに

[kibitaki]

ああ、型扱えない子だと偶然とか言うのかな。結局処方でフレームワーク使いましょうとか、異常文字チェックなんて手許の工具入れに常に持っとくレベルを実装コストとかもう頭痛い。けしからんなぁ。

[pmakino]

「入力値検証は根本的にセキュリティ対策ではありません」「セキュリティ対策であるエスケープとは完全に別物」‹エスケープも本質はセキュリティ施策ではないんやで

[ockeghem]

『もう入力値検証はセキュリティ対策としてあてにしないようにしようという記事がありますが、「もう」以前に、そもそも入力値検証は根本的にセキュリティ対策ではありません』<すまぬ