bcryptの72文字制限をSHA-512ハッシュで回避する方式の注意点
宅ふぁいる便から平文パスワードが漏洩した件を受けて、あらためてパスワードの安全な保存方法が関心を集めています。現在のパスワード保存のベストプラクティスは、パスワード保存に特化したハッシュ関数（ソルトやストレッチングも用いる）であるbcryptやArgon2などを用いることです。PHPの場合は、PHP5.5以降で使用できるpassword_hash関数が非常に便利ですし、他の言語やアプリケーションフレームワークでも、それぞれ用意されているパスワード保護の機能を使うことはパスワード保護の第一選択肢となります。 なかでもbcryptは、PHPのpassword_hash関数のデフォルトアルゴリズムである他、他の言語でも安全なハッシュ保存機能として広く利用されていますが、パスワードが最大72文字で切り詰められるという実装上の特性があり、その点が気になる人もいるようです（この制限はDoS脆弱性回避が
『PHP メールフォーム』の上位10件が勝率10% - Qiita
2018/12/30にGoogle日本語版で『PHP メールフォーム』を検索した結果です。 日によって変動する可能性があります。 1位 PHP工房 https://www.php-factory.net/mail/01.php PHP4.3.9～PHP7 やめろ。 努力はわかるのだが、努力の方向性が全力で間違っているというか。 クラスすら使えない時代の古のPHPに対応するため、今から見ると「とてもひどい」としか言いようのない構造です。 しかもそのままの状態で進化し続けてしまったため、もはや手の出しようがない混沌になっています。 そんな有様でありながら、脆弱性対策もしっかり行っており、CSRF対策やレスポンシブ対応までしっかりされています。 惜しくも$mail_check=0にした場合にメールヘッダインジェクションできますが、これはメアド形式チェックをしないというフラグで、デフォルトもチェッ
休日個人開発で学ぶテストコード！ 画像に“集中線”を合成するツールを作ってみよう - エンジニアHub｜Webエンジニアのキャリアを考える！
休日個人開発で学ぶテストコード！ 画像に“集中線”を合成するツールを作ってみよう プライベートでも何か作りたい！ そんなときの「今日からはじめる休日個人開発」シリーズ、第二弾はテストコードを書きながら簡単なMVCモデルの画像加工ツールを作ってみましょう。好きな写真に集中線を合成できます。 皆さん、プライベートで何か開発していますか？ 「何か作りたい」という気持ちはあるものの、いまひとつ何から始めたらいいのか分からず、動けないままの人も多いと思います。 そんな皆さんのために、「仕事以外にも休日に個人で気軽に何かを作ってみよう！」という企画の第二弾です。今回は、第一弾で用意した開発環境を使って、画像を加工するツールを実際に作っていきます。 せっかくですので、ただ作るだけではなく、テストコードも一緒に書いてみましょう。最近は、CI（継続的インテグレーション）やCD（継続的デリバリー）も一般的にな
PHPにおけるシンボリックリンクを使ったデプロイの危険性について（「realpath_cache」和訳）
2016/10/31 PHPにおけるシンボリックリンクを使ったデプロイの危険性について（「realpath_cache」和訳） PHP サーバーサイド この文書は@julienPauliさんによる記事「realpath_cache」の日本語翻訳です。元々は@gilbiteさんがKLab社内向けに翻訳したものでしたが、日本語では見たことがない指摘を含んでおり今でも有用だと考えたため、@julienPauliさんの了解を取った上で@hnwが修正・追記して公開するものです。 はじめに PHP に realpath_cache_get(), realpath_cache_size() という関数があることをご存じでしょうか？ また、php.ini に realpath_cache から始まる設定項目があることは？ realpath cache は知っておきたい極めて重要な概念です。 特に、コードの
PHP 5からPHP 7への移行で、Tumblrはレイテンシが半分、CPU負荷も半減。テストツールでPHP 7への移行に問題ないかをチェック
PHP 5からPHP 7への移行で、Tumblrはレイテンシが半分、CPU負荷も半減。テストツールでPHP 7への移行に問題ないかをチェック PHPの10年ぶりのメジャーバージョンアップとして昨年12月に登場した「PHP 7」は、PHP 5と比べて2倍以上の実行速度を実現するとリリース前からPHPの生みの親であるRasmus Lerdorf氏自身が説明してきました。 PHP 5からPHP 7へと内部システムのアップデートを行ったTumblrはその成果をブログで発表し、たしかにPHP 7のへ移行したことで実行速度が2倍になったことを裏付けています。 静的解析と自動テストでPHP 7への移行に問題がないかを確認 Tumblrが公開したブログ「Tumblr Engineering — PHP 7 at Tumblr」によると、Tumblrがその内部で稼働しているシステムをPHP 5からPHP 7
安全なPHPアプリケーションの作り方2016
PHPカンファレンス2020での講演資料です。 アジェンダ 誤解1: Cookieは誤解がいっぱい 誤解2: 脆弱性があるページにのみ影響がある 誤解3: 脆弱なECサイトはセキュリティコードを保存している 誤解4: クレジットカードをサイトに保存すると漏洩リスクが高まる 誤解5: ハッシュ値で保存されたパスワードは復元されない 誤解6: 高価なSSL証明書ほど暗号強度が高い 誤解7: TRACEメソッドの有効化は危険な脆弱性である 誤解8: 怪しいサイトを閲覧すると情報が盗まれたりウイルスに感染する 誤解9: イントラのウェブサイトは外部からは攻撃できない 誤解10: セキュリティ情報はウェブで収集する
初心者を戒めるPHP - Qiita
この記事は何か 挑発的な文言になってる箇所はあるものの、内容としてはそれなりにまじめに書いたつもり。むしゃむしゃしてやった。いまでは反芻してゐる。 PHPDocは必ず書け あらゆる再利用可能な手続きは、他人が容易に応用できるように型が明示的でなければいけない。メンバー全員が実装コード全てを把握できるものならそれが理想だけれど、残念ながら時間は有限だ。ヘッダだけを読んでメソッドの仕様が理解でき、またはコードを読む助けになるようなコメントが良い。 有名な事実を紹介すると、多くのコードは数か月(早ければ数日！)も経てば、他人が書いたコードに感じられるほど理解できなくなることがしばしばある。もちろん設計の練度にもよらうが、設計判断について注意を要した点などをコメントに残しておくことで、ひいては未来の自分の役に立てることができる。 お前の先輩は「PHPには型がない」などと知ったかぶって意味不明1なこ
PHPのround関数とは一体なんだったのか - hnwの日記
（7/3 14:05追記）Javaに関する記述について誤認があったので盛大に書き換えました。Java 6、Java 7、Java 8それぞれで実装が変わっていたようです。 （7/13 23:55追記）本記事中ではroundを四捨五入と言い切ってしまっています。これは筆者がC99のroundを基準に考えているためですが、言語によっては偶数丸めになっているround関数も珍しくありません。ご注意ください。 PHPのround関数について、ネット上で次のような記述を見つけました。 PHP 四捨五入の計算を間違える唯一の言語として畏れられていましたが、そのバグは治っているかもしれません（治ってないかもしれません） 主要なプログラミング言語8種をぐったり解説 - 鍋あり谷あり 各言語を面白おかしく紹介する内容とはいえ、ずいぶん雑な理解だなーという印象です。ゆるふわな話だけでPHPがdisられ続けるの
SonarQubeでPHPのコードを静的解析する - Qiita
2019-02-10 追記： SonarQubeではなくPHPStanで同様のことをする記事も書きました。いま個人開発ならこちらがを選ぶことも多そうです。 LaravelプロジェクトのコードをCircleCI上のPHPStanで静的解析してreviewdogにコメントしてもらう SonarQubeはオープンソースの静的解析ツール 一言で言うと「コードのダメな部分を教えてくれるやつ」です。LGPLライセンス。 下のようなこんな感じでコード品質の推移が一覧できます。また、コードごとに何が悪いのか、どう直すべきなのかを見ることができます。（画像はDrupalの解析結果） オンプレ環境で使えるのがメリットで、GitHubで個人のプロジェクトを解析するなら、各種静的解析SaaSを使うのが簡単なのでおすすめです。 PHP向け静的解析SaaSの主観的比較 (Scrutinizer, SensioLabs
lllnorikolll@online » $i++ と ++$i の速度の違いについて実験した
見慣れないforの条件を見かけたので、実験してみた。$i++ と ++$i に、そんな使い分けるほどの差があるのかどうか。 $ php -v PHP 5.4.36 (cli) (built: Jan 2 2015 09:31:47) Copyright (c) 1997-2014 The PHP Group Zend Engine v2.4.0, Copyright (c) 1998-2014 Zend Technologies with Xdebug v2.2.6, Copyright (c) 2002-2014, by Derick Rethans <?php $tmp = 1; // Post-increment $time_start = microtime(true); for ($i=0; $i<100000; $i++) { $tmp = 1; } $time_end = m
「NULLは配列」「なにをいってるんだお前は」 - Qiita
$values = [ 'a'=>null, 'b'=>'abc', ]; foreach($values as $key => &$value) { // 単純にコードがおかしいのだが、二週目にエラーなので気付かず $value[$key] = strtoupper($value); // ホントはこう書きたかったのだ // $value = strtoupper($value); } $ng = 1; $ng['abc'] = 2; // PHP Warning: Cannot use a scalar value as an array $ok = null; $ok['abc'] = 2; // => ['abc'=>'2']
PHPアプリケーションのデプロイにぴったりなDeployerを試す | さくらのナレッジ
今や開発環境はローカルにあるのが一般的です。OSを合わせたい場合でもVMを使えば簡単に実現できます。問題はコードが書き終わった後のデプロイではないでしょうか。どのサーバにどのコードを反映し、どんなタスクを実行するのか、ライブラリの変更があるのかなどを適切に管理する必要があります。 Ruby/Ruby on Rails界隈ではCapistranoというソフトウェアが使われることが多いです。Capistrano自体は汎用的なデプロイツールですが、PHPであればやはりPHP製のツールの方が分かりやすいでしょう。そこで今回はDeployerというPHP製のデプロイツールを紹介します。 Deployer — Deployment Tool for PHP Deployerのセットアップ Deployerはとても簡単にセットアップできます。本体をダウンロードして、パスの通ったところに配置するだけです。
nginx と PHP-FPM の仕組みをちゃんと理解しながら PHP の実行環境を構築する
DISTRIB_ID=Ubuntu DISTRIB_RELEASE=14.04 DISTRIB_CODENAME=trusty DISTRIB_DESCRIPTION="Ubuntu 14.04.1 LTS" PHP-FPM って何？ Answer PHP: FastCGI Process Manager (FPM) - Manual FPM ( FastCGI Process Manager ) は PHP の FastCGI 実装のひとつで、 主に高負荷のサイトで有用な追加機能を用意しています。 そもそも CGI って何？ Common Gateway Interface (CGI) - Wikipedia Common Gateway Interface（コモン・ゲートウェイ・インタフェース、CGI）は、ウェブサーバ上でユーザプログラムを動作させるための仕組み。 現存する多くのウェブ
composerを速くするプラグイン・prestissimoを作った
composerが遅くてお嘆きの日本のPHPerの皆さんこんにちは。 表題の通り、追加インストールするだけでcomposerが速くなるプラグインを作りました。 # インストール $ composer global require hirak/prestissimo # アンインストール $ composer global remove hirak/prestissimo インストールした状態でlaravel/laravelをcreate-projectすると、26秒とかでダウンロード完了しました。Laravelは50個ぐらい依存パッケージがあり、同じ環境で普通にインストールすると5分ぐらいは最低かかるので、10倍以上速くなってます。 2016/1/13(水)にPHPBLT#2というイベントがあり、その中で同じデモをしてきました。 Composer並列化プラグイン #phpblt from
PHPで学ぶオブジェクト指向 - Qiita
はじめに 効率的なwebアプリケーションという本で学んだ内容を備忘録として記録していきます。 私は今までオブジェクト指向というものを何度も勉強しようとしてみたものの、Humanクラスがどうのこうのとか、Birdクラスを継承したChickenクラスがどうとか・・・意味がわからなさすぎて何度も挫折してきました・・ｗ そんな中、最近私はSchooというオンラインで授業が受けれるサービスに加入しました。 そこでこの本の著者である小川雄大さんの「オブジェクト指向入門」という授業を開講していたので、受けてみたところ、目から鱗が落ちるくらいの衝撃でオブジェクト指向がスルスルと頭に入って行きました。 そこでもっと本格的にオブジェクト指向を勉強しようと思って、小川雄大さんの書かれた「効率的なwebアプリケーション」を購入し、ここにまとめようと思った次第であります。 オブジェクト指向の3大要素 ポリモーフィズ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
PHPで学ぶデザインパターン - オブジェクト指向の基礎 - Qiita
[PDF] PHPデベロッパーのための JavaScriptセキュリティ入門
PHPer人生、一度はフレームワークを作っておこう！
GitHub - hirak/prestissimo: composer parallel install plugin
PHP のドキュメントを読んで PHP のことをもっと知ろう
