へぼへぼCTO日記 - PlackにおけるCSRFとDNS-Rebinding対策
最近のwebセキュリティ界隈ではCSRFやDNS-Rebindingが話題ですが、Plackでアプリケーションサーバを立ち上げる際にこれらの対策をどのように行うかについてまとめてみました。 まず、CSRF対策ですが、拙作のPlack::Middleware::RefererCheckを使うことにより、RefererのチェックによるCSRF対策が行えます。CSRF対策としては、onetime token方式も存在しますが、個人的にはRefererチェックが導入が楽で好きではあります。Refererを送信しないクライアントを対象にしたサービスを運営される方は別途onetime token方式の対策をおこなってください。 Plack::Middleware::RefererCheckの使い方はこのようになります。(SYNOPSYSからの抜粋) use Plack::Builder; builde
へぼへぼCTO日記 - Plack::Middleware::Header
Plack::Middleware::Headerをgithubに上げました。 これは、Plack::Middlewareレイヤーでレスポンスヘッダを設定するもので、Apacheでいうところのmod_headersに相当します。 使い方はこんな感じです。 use Plack::Builder; builder { enable 'Header', set => ['X-Plack-One' => '1'], append => ['X-Plack-Two' => '2'], unset => ['X-Plack-Three']; $app; }; 自分はPlack::Middleware::Staticと併用してExpiresをつけたりするのに使うために作りました。IEがExpires: -1とかやっておかないとしばらくキャッシュしてIf-Modifled-Sinceなリクエストも投げてく
へぼへぼCTO日記 - patternがemptyな場合には前回成功時のpatternが使われるというハマりポイント
print "match1\n" if "baz" =~ m{}; "foo" =~ m{foo}; print "match2\n" if "baz" =~ m{}; の結果は match1 である。なぜならperldoc perlrerefに書いてある通り、 If 'pattern' is an empty string, the last successfully matched regex is used. であるから。 patternを動的に生成してたりする時に空になっちゃうケースなんかがあると思うので、その場合はマッチ処理自体を回避するようにするほうがよいかと思われます。 最初バグかと思いました。
へぼへぼCTO日記 - Casual Talks#1でLTしてきました
昨日(11/20)にperl-casualのCasual Talks#1にて拙作のFormValidator::NestedについてLTしてきました。 slideをslideshareにあげておきました。 得られた教訓 1. 実際に話し始めると早口気味になるのでスライド大目ぐらいが自分にはちょうどいいかも 2. プロジェクターにつなぐときはねじをちゃんとしめておく 3. やっぱり笑いを一つぐらいとっといたほうが場は暖かくなる (PAUSE ID requestの際にcatalyst-pluginを作りたいと書いていたと言ったときに若干嘲笑気味の笑いはありましたがｗ) 自分以外も発表が初めてだという方も多かったのに、発表が皆さんうまくて非常に面白かったです。またの機会があったら今回の教訓を踏まえまた発表できたら幸いです。 主催されたyusukebeさん、会場の用意や二次会の(実質)幹
へぼへぼCTO日記 - JSocketを使ってPOSTもストリーミングするPlackアプリ
さて、前エントリでJSocketというのを作ったと書いたのですが、これは実はjavascriptで動くtwitter streamクライアントを作るならばmultipart/mixedを使うべきというのを読んで、レスポンスがpollではなくてストリーミングできるというのを知って、リクエストもやりたいよというふうに思ったのがきっかけでした。 まず、XHRでできないかを試してみたのですが、xhr.send(data)を一回読んでしまうと少なくともjavascript側ではリクエストは完了したと思ってしまって、再度xhr.send(data)しても反応はありませんでした。 そこでJSocketの登場です。JSocketを使うとhttpリクエストを断続的に送信することができます。やったですね。 で、Plack::Server::Coroを使って試しにリアルタイムチャットを作ってみました。どうぞお試
へぼへぼCTO日記 - javascriptからsocketが扱えるJSocketを作りました
javascriptからsocketを扱いたいなぁという事象が発生したんですが(それについては別エントリで)、SocketJSというのがあるんですがDownloadするところがなぜかSSLになっていてCAがCAcertでfirefoxだとデフォルトでは見れないので、かっとなって自分で作ってみました。今も反省していません。 コードはgithubからどうぞ。 使い方はjs/jsocket.jsに軽く書いてあります。 /* * Jsocket - Socket on Javascript * Author: Masahiro Chiba * Depends: * - jQuery: http://jquery.com/ * - jQuery TOOLS - Flashembed: http://flowplayer.org/tools/flashembed.html * SYNOPSIS:
へぼへぼCTO日記 - mod_psgi試してみた
mod_psgi をインストールしてみたをみて速くなるなら試してみようということでmod_psgiを試してみますた。 まずはこんな感じの簡単なPSGIアプリで。 my $app = sub { return ['200', [Content-Length => '5'], ['hello']]; }; [hello] mod_psgi Requests per second: 1403.51 [#/sec] (mean) mod_perl Requests per second: 668.33 [#/sec] (mean) Standalone Requests per second: 452.00 [#/sec] (mean) Standalone::Prefork Requests per second: 448.93 [#/sec] (mean) おおおお。超絶早いですね! で、お次
へぼへぼCTO日記 - Archer and Git
最近会社のレポジトリ管理も順次gitに移行しようとしてるのですが、今までArcher&svnでデプロイしていたものをgit用にarcher.ymlを書き換えしてみた。 http://gist.github.com/211153 汎用的にはこんな感じ。中央サーバのレポジトリにreleaseというブランチを作っておいて、作業者もそれの追跡ローカルブランチなreleaseを作っておくというのが前提。releaseに直接コミットは厳禁。 git stash saveがあるから作業ディレクトリを別に用意する必要ないかなぁとか思ってこんな形にしてみた。今のところ満足してるけど運用しているうちになんか不具合がでるかもしれない。
へぼへぼCTO日記 - Acme::Coro::Sukeをリリースしました
Acme::Coro::Sukeを先ほどCPANにリリースしました。(githubにもあげてあります) これは、Coroのasyncと基本的には同じ動作をするbenzoというブロック定義ができるようになるもので、benzoブロックにCoroがスレッドを切り替えるたびに、「うわぁ…べんぞうさんの中…すごくあったかいナリぃ… 」とコロちゃんが囁やいてくれるモジュールです。 一番簡単な使い方は以下のようになります。 use Coro; use Acme::Coro::Suke; benzo { }; cede; enjoy Acme::Coro::Suke! CPANに上げる三つめのモジュールがAcmeモジュールというのはこれはひどい。
へぼへぼCTO日記 - ファイルPATHを覚えているfhを作成できるIO::File::WithPathをリリース
Plackのsendfileサポート関連を追いかけてて、Plack::Server::Apache2でsendfileサポートされてない理由がfhからファイル名を取るベストな方法がないというわけで、gist: 200797みたいなパッチを書いて#http-engineとかに張り付けたけどそれlinuxでしか動かないよねみたいなことで日本の恥を晒してしまったりしてたわけですが、その中でIO::File::WithPathみたいなのがあればいいよねと話がでていたので作ってみました。 CPANとgithubにあげてあります。 使い方はこんな感じ。 my $fh = IO::File::WithPath->new('/path/to/file'); print $fh->path; # /path/to/fileがとれるよ print $fh->getline; # IO::Handleとしても扱
へぼへぼCTO日記 - Wassrのyapcasia2009チャンネルの発言をIRCに投稿するボットをYAPC::Asiaの二日目向けに作った
Home > perl > Wassrのyapcasia2009チャンネルの発言をIRCに投稿するボットをYAPC::Asiaの二日目向けに作った Older twitterの#yapcasia2009ハッシュタグがスクリーンに晒されるのが個人的に非常にツボだったので、wassrのyapcasia2009チャンネルに発言するとirc.freenode.orgの#yapc.asia-jaに投稿するボットも作ってみました。 wassrにはstreaming APIはないようなので5秒ごとにpollingしちゃってます。いいんでしょうか。 参考文献(つうかほぼパクリ): Twitterのハッシュタグ付き発言をIRCに投稿するボットをYAPC::Asia向けに作った 以下コード #!/usr/bin/perl use strict; use warnings; use AnyEvent::
へぼへぼCTO日記 - YAPC::Asia2009の参加トークをわかりやすくするグリモン作ったよ
さて、明日からついにYAPC::Asiaが始まりますね。皆さんは参加されるトークをすでに決められたでしょうか？ 参加するトークの詳細ページ(ex.Welcome)でadd to personal scheduleを行うと参加トークの管理ができるようになっているみたいです。ただこれがhttp://conferences.yapcasia.org/ya2009/スケジュール上では確認できなくてちょっと不便だなーと思ったのでわかりやすくするぐりもんを作ってみました。 yapcasia2009myschedule.user.js です。いれるとスケジュールの表示がこうなります。 らくだのマークがわかりやすくて印刷用にも最適ですね！ では、YAPC::Asia会場でお会いしましょうです。
へぼへぼCTO日記 - mysqlでskip-character-set-client-handshakeはもう使わないほうがいいと思われ
Home > mysql | perl > mysqlでskip-character-set-client-handshakeはもう使わないほうがいいと思われ Older skip-character-set-client-handshake を [mysqld] セクションに追記すると、クライアントがどんな文字コード設定をもっていようが問答無用で character_set_* を (_system をのぞいて) すべて同じ値に統一してくれる http://d.hatena.ne.jp/a666666/20090826/1251270979 ふーむ。 skip-character-set-client-handshakeを薦める文書がネット上にはやたら転がってるんだけど、これには大きな落とし穴がある。 たしかに表示されるcharacter_set_*は統一されるかもしれないがこれはあく
へぼへぼCTO日記 - FormValidator::NestedをCPANにアップしました
知人にCPAN Authorになると宣言してから8年、やっとこさなりました。もちろんCPANにアップするだけなら誰だってできるので質の高いソフトウェアをアップできるように今後は心がけて生きたいと思います。 で、初めてアップしたのがFormValidator::Nestedです。 これは、FormValidator::Simple、FormValidator::Lite、FormValidator::LazyWayなんかを参考に作られたFormValidatorです。 上記のモジュール達との主な違いといえる特長は、 ネストしたパラメータを扱える 配列なパラメータを扱える profileを継承できる あたりになるかと思います。 profileはとりあえず今はymlでいて、そのファイルの置かれたbaseディレクトリを指定してそこからの相対PATHがkeyになるという感じです。(FormValid
へぼへぼCTO日記 - Email::MIMEの生成をtemplateエンジン経由で行ってくれるEmail::MIME::Kitがいい感じ
Home > perl > Email::MIMEの生成をtemplateエンジン経由で行ってくれるEmail::MIME::Kitがいい感じ Older Email::MIME::Kitがいい感じです。内部ではEmail::MIME::Creatorを使っているのですが、MIME::LiteでいうところのMIME::Lite::TTのようなもので、更にheaderに関してもtemplateで書けます。 素のEmail::MIME::Creatorで use strict; use warnings; use utf8; use Encode; use Email::MIME; use Email::MIME::Creator; use Email::Send; use Template; my $t = Template->new({ENCODING => 'UTF-8'}); my $
へぼへぼCTO日記 - HTML::FillInForm::Liteの使いどころ
正規表現でHTML::FillInFormを実現しているHTML::FillInForm::Liteを最近つかっています。HTML::FillInFormの機能に加え、任意のオブジェクトを渡してそのアクセサからデータを取得してくれるため、DBIx::Class::AsFdatなどのモジュールを使わずに、DBICのrowデータをそのままfillinできるのがうれしかったりします。また、パラメータの取得方法部分もHTML::FillInFormよりも比較的拡張しやすくなっているので便利です。 ただ、性能がHTML::FillInFormよりもいいかというと自分の環境下やデータではそうでもなかったりして、特に大きいhtmlデータが対象だとかなり性能が劣化するようです。formのidをtargetで指定してあげることで大分緩和されますがHTML::FillInFromとの差は歴然としてあるようです
へぼへぼCTO日記 - Exif情報確認君はじめりです
Exif情報確認君はじめりです。 今期、新たな試みとして社内でチームを2つつくってそれぞれサービスを1個づつ作ろう！とやってみた。が、日々の作業に忙殺されて結局作れないまま3月が終わろうとして、これは言いだしっぺとしてまずいと思い適当にExif情報確認君なるものをでっちあげてみた。 これはなに？ JPG画像をメールで送るとその画像に含まれるExif情報をメールで返送してくれるサービスです。さらにExif情報を削除した画像が添付されます。 Exif？ Exchangeable image file formatの略称。カメラの機種や撮影時の条件情報を画像に埋め込んだデータ(のフォーマット)。詳しくは Exchangeable image file formatを。 そのた もしかしてSPAMの踏み台になる恐れがあるかも。本当にそうなってきたら対策考える。 まぁそういうわけで、来期はもうすこ
へぼへぼCTO日記 - 主要CPANモジュールのメールアドレスの正規表現
use strict; use Encode; use Email::Address; use Email::Valid; use Email::Valid::Loose; use Email::Find::addrspec; my $wsp = '[\x20\x09]'; my $vchar = '[\x21-\x7e]'; my $quoted_pair = "\\\\(?:$vchar|$wsp)"; my $qtext = '[\x21\x23-\x5b\x5d-\x7e]'; my $qcontent = "(?:$qtext|$quoted_pair)"; my $quoted_string = "\"$qcontent*\""; my $atext = '[a-zA-Z0-9!#$%&\'*+\-\/\=?^_`{|}~]'; my $dot_atom_text = "$at
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
へぼへぼCTO日記 - Re: PSGI Implのsendfileについて
へぼへぼCTO日記 - メールヘッダからaddr-specを抜き出す正規表現