正規表現でPHPを脆弱にする (1) 「^ と $」 - Qiita

みなさん正規表現は好きですか？ 私は好きです。簡単に脆弱性を作り込めて、とても便利ですからね。 この記事ではPCRE関数(preg_match(), preg_replace()など)を利用して、みなさまにPHP正規表現のバッドノウハウを教示いたします。 先に結論を書きます 単独の文字列のマッチに $ を用いるのは予期しないパターンになるのでやめましょう。^は特に危険ではありませんが、^と$の組み合せではなく\Aと\zの組み合せを覚えましょう。ただし、m修飾子で複数行(マルチラインモード)で、行頭と行末にマッチさせたい場合を除きます。 文字列のマッチに ^ と $ のペアを利用する そうですね、例としてQiitaのようなユーザー登録サイトの表示名 @tadsan のような文字列を登録する前の検査をするとします。 要件としては、使用可能な文字は abcdefghijklmnopqrstuvw

[fashi]

すごくためになった気分になったが実コードではtrim()併用するので関係なかった

[Wafer]

脆弱性の話ではないのでタイトルを変えるべきでは。(1)とあるので続きの中に出てくるのかもしれないが。

[zonu_exe]

trim併用もあんまりおすすめしないですが本文に書いておけばよかったですね

[delphinus35]

よく見たら「脆弱性」ではなくて「脆弱にする」だったがこれの何が脆弱なのか書いてないしそもそもPHPに限った話じゃなかった（Perl互換の正規表現なら他の言語も該当する）

[goccho]

rubyでは常識

[dowhile]

き、脆弱性の話はどこにいったんだ……？

[kabacsharp]

pregなのにpregじゃないんだ？　“よって、覚えるべきは \Aと\zのペアです。本日は\Aと\zを頭に叩き込んで帰ってください。”

[n314]

trimというかinput type=text で改行入ってたら全てエラーにしてもいいような。

[ksugimori]

メールヘッダインジェクションとかの脆弱性に繋がる話なんだろうけど、本文中で少し触れても良かったのでは。(2)以降に書くつもりだとしてもみんな全部読むとは限らないので。

[I8D]

ちゃんとテストしようと思いました。

[wata88]

テスト大事

[torinky]

正規表現でPHPを脆弱にする (1) 「^ と $」