高木浩光＠自宅の日記 - ASPとかJSPとかPHPとかERBとか、逆だったらよかったのに

■ プログラミング解説書籍の脆弱性をどうするか 印刷されて流通する書籍に脆弱性がある、つまり掲載されているサンプルコードにズバリ脆弱性があるとか、脆弱性を産みやすいコーディングスタイルを身につけさせている解説があり、それが脆弱なプログラマを生産し続ける根源になっている問題は、「なんとかしないといけないねえ」と以前から言われてきた。 ソフトウェア製品の脆弱性は、指摘があればパッチが提供されたり修正版に差し替えられたりするが、書籍の脆弱性はどうか。正誤表が差し込まれるとか、回収する措置がとられるかというと、それは望めそうにない。言論には言論で対抗すればよいということになるだろうか。 久しぶりにいくつかの書籍について調べてみた。先月園田さんの日記などで比較的評判良く紹介されていた2冊を読んだ。 山本勇, PHP実践のツボ セキュアプログラミング編, 九天社, 2004年6月 GIJOE, PHP

[heguro]

"サニタイズ言うな"

[rin51]

サニタイズは後手の対策なのだから何を入力や出力するか設計時にちゃんと考慮しろ、と言ってる？

[tettekete37564]

“だが、そのような確認作業をしないと正しいコードかどうかわからないような、プログラムの書き方をすべきでない。”/"できるだけ局所的な視点でコードの正当性を確認できるように書く"

[xxxxxeeeee]

＞脆弱プログラマ

[holypp]

同意＞HTML中にプログラムを埋め込むというこの仕組みが、最初からデフォルトでエスケープされるように作られていたらよかったのに……と思えてくる、そんな今日この頃だ。

[setamise]

《要約》サニタイズは手段。手段ありきで考えるな。全ての目的（出力先）を想定してコードを書くのは無茶。本来の姿である仕様、要件から必要な手段を講じていけば、そもそも付け足しのセキュリティ対策なんて不要

[igaiga07]

サニタイズ言うなはここかー

[yuki_2021]

サニタイズという言葉を使わずにその処理を表現できますか？

[naoyes]

いまどき、そんな貧民的プログラミング思考をするのはプログラム職人として恥ずかしいことだ。

[webmarksjp]

security

[yama1106]

<%= a %>で初めからエスケープ？されるべき

[lesamoureuses]

なるほど。そうか。＞プログラムの開発方法論として、できるだけ局所的な視点でコードの正当性を確認できるように書くのが、近代プログラミングの基本

[hime0524]

サニタイズ

[masui]

特別な関数を使わないとタグを出力できないようにするのが一番安全ということなのかな?

[nemoba]

攻撃者視点で対策を考えるのではなく、許可するべきことを決める

[tmd9999]

セキュリティ

[peltier]

書籍のコードの脆弱性－これはどうにもならんからね、自分も本を読むときには注意して読むようにしよう

[kusigahama]

確かに。

[YasSo]

あれ？意外とあんまりブクマされてないね。

[youpy]

PEAR のHTML_Template_Flexy は逆ですね

[denken]

セキュリティ対策は頭が頭痛で痛くなる問題だけど、echoで出力せずに専用の関数に通すというのは良いと思った。

[walf443]

HTMLを出力するときにはエスケープするのが当たり前

[secondlife]

情報リテラシーが低いのが問題だよなぁ。サニタイズが常識になればこういうのもなくなるんだけど、常識にならないのが…。

[hiragisan]

セキュリティ対策ではなく、本質的に必要な処理

[fukken]

冗長性が発生しても、部分だけを見て問題が無いことが確認できるようにすべし

[rna]

色々考えさせられる。サニタイジングからバリデーションへ？

[rhosoi]

ところでphpではヌル文字列をサニタイズしとくべき。表示のエスケープはテンプレートシステムで全部やっとけã

[sunabako]

(続)サニタイズ言うな!? ;-)

[upwide]

変数は全てエスケープ対象に。怪しいデータが送信されたら、例外処理して終了が基本。