ウェブアプリのセキュリティをちゃんと知ろう

7. ウェブアプリの入力、処理、出力入出力ウェブサーバウェブアプリ(PHP など)外部 API サーバ(Facebook API 、決済会社など)入出力処理入出力データベースサーバ(MySQL など)ウェブブラウザ 10. ウェブサーバーを通したウェブブラウザからの入力の仕様を考えようPHP に入ってくる値は何かを知る可変長のバイト列 (文字列ではない！！)GET パラメータPOST パラメータアップロードファイルリクエストヘッダ (Cookie など)実際の処理に渡すべき値は何かを考える文字列か、バイト列か？文字コードは何か？(ウェブサーバーでバイト列を処理することってあまりないので、 PHP では基本的に文字コードのバリデーションは必要だと思って良い)長さはどうか？どういう文法や構造を持つデータ？入力された値を実際の処理に渡すべき値かどうかを確認することを「バリデーション」という 11

[ockeghem]

考え方は同意/スライド12の==='image/gif'は!==では?/スライド19のpreg_replaceは不要かと(json_encodeは/をエスケープするので)

[ttskch]

勉強になる・・・XSSの実例に感心。

[jun_okuno]

ecurity]

[glat_design]

初歩的なことらしいけど難しいので後ほど

[ji_ku]

Bylineから 2 minutes ago Loading… Flash Player 9 (or above) is needed to view presentations. We have detected that you do not have it on your computer. To install it, go here. ウェブアプリのセキュリティをちゃんと知ろう (毎週のハンズオン勉強会の資料) - Presentat

[hamichamp]

メモ。

[kazutan711]

要チェックやな

[kitoku_magic]

一部、参考になりそう

[kogawam]

PHPはよく知らないが僕なら、将来の修正でのバグを気にする。だからmb_check_encodingは冗長UTF-8問題ゆえ代替手段を採るかも。JSへの直接出力も同様に避けるが、ここに示された方法は（僕としては未検討だけど）参考になる。

[kobtea]

今はバグがあるだけで逮捕されるからな...

[youg0717]

ウェブアプリのセキュリティをちゃんと知ろう (毎週のハンズオン勉強会の資料)

[Cherenkov]

バグ 脆弱性の原理 「入力、処理、出力の仕様を明確化する」「ちゃんと仕様を答えられるようにしよう」

[warriorking]

ウェブアプリのセキュリティをちゃんと知ろう

[hiroshi_revolution]

ウェブアプリのセキュリティをちゃんと知ろう

[koba04]

わかりやすい

[amachang]

今週の勉強会の資料です/id:typex2 X-Content-Type-Optionsなんかの下りは、古い IE の仕様バグへの考慮だったり、CSRFはウェブアプリ設計者の仕様バグであると書いてるんですけど。考慮が足りないのはどこらへんでしょうか＞＜