勝手に解説：大垣流バリデーション入門

大垣さんは、かねてより「バリデーションは重要なセキュリティ対策である」という持論を持っておられます。そして、それは「世界の常識」と指摘されています。 「入力バリデーションはセキュリティ対策である」は世界の常識です。少なくとも大多数の世界のセキュリティ専門家は「入力バリデーションはセキュリティ対策」は常識だと考えています。 第45回 入力バリデーションはセキュリティ対策 ：なぜPHPアプリにセキュリティホールが多いのか?より引用 私は「バリデーションはセキュリティ対策とは言えない」と思っているのですが、実は「世界の常識」という点に異論があるわけではなくて、話は逆なのです。「従来からバリデーションはセキュリティ対策としてとらえられてきて『世界の常識』となっているが、実はそれはおかしいのではないか?」という問題提起をしているのです。なので、「世界の常識だろ」と言われても、それでは反論になっていま

[katsyoshi]

バリデーションがセキュリティ対策として有効でないと思ってるので

[invent]

勝手に解説：大垣流バリデーション入門 - 徳丸浩のtumblr

[zanasta]

私のような能なしには読むのが厳しいです。入力検証エラー＝仕様外値入力→攻撃と見なし処理するのが常識と言う考え方と、仕変により検証は変化するのでセキュリティ対策とは切り離すべきと言う考え方？(･ω･；)？

[derby]

議題がよくわからない。何から読めばわかるのかな。このページだけでわかるはずなのかな。

[asuka0801]

「バリデーションで文字数制限してるからXSSは起こらない(ｷﾘｯ」とか言い張る人は大手SIerでもたまにいる。世界の常識じゃなくて日本の一部SIerの常識の間違いじゃないかしら？

[tmatsuu]

実際バリデーション周りの実装って本当に難しい。毎回付け焼刃でそれっぽく多段に実装するんだけど、きちんと体系化したいと常々思ってはいた。

[koyhoge]

javascriptが使えない環境では「入力ミスと入力バリデーションエラー」をどうやって区別をするのか問題。アプリ仕様的にも明確に区別できないケースがほとんどであると思う。

[rryu]

「従来サニタイズ対象だったデータをチェックしてはじくことを大垣流バリデーションという」と定義すると理解しやすそう。

[ockeghem]

推測で勝手に書きましたので間違っていたらご指摘ください > @yohgaki