ホワイトリスト: プログラミングではホワイトリスティングが基本ではない - 徳丸浩の日記(2008-08-20)

_プログラミングではホワイトリスティングが基本ではない 大垣さんのブログにて反論をいただいた。 プログラミングではホワイトリスティングが基本 ホワイトリストはどう作る? 長文のエントリで、「暇な方だけお付き合いください」と書かれている。あいにく締め切りを抱えていて暇ではないのだが、名指しで反論されている以上、放置するのも失礼なので、簡潔にコメントしたい。 私は、一応セキュリティの専門家の端くれのつもりで、XSS Cheat Sheetをはじめ、大垣さんや金床さんの本にも目を通している。しかし、大垣さんの上記2エントリは、私にはさっぱり理解できない。以下、プログラミングの局面で、XSS向けのホワイトリストが作成可能なのかというポイントに絞って議論する。 プログラミングの基本は仕様に忠実であること 大垣さんが具体的な「ホワイトリストの作り方」を提示してくれないので、どのようなホワイトリストをイ

[no_ri]

『アプリケーションの先頭で行う入力値検証は業務要件により行うべし』どこかひっかかるのはなぜだろう

[ihag]

"出力時のエスケープ処理"は，ホワイトリストともブラックリストとも関係ない．ナンセンス．

[hasegawayosuke]

もしかしてこれって金床本を褒めてるの？褒めてるの？褒めてるの？

[Kiske]

こういう議論は非常に参考になる

[cubed-l]

これ以上シンプルでわかりやすい説明はないと思うんだが