[SQLインジェクション対策]Webアプリケーションとかの入門本みたいのを書く人への心からのお願い。 - ＊「ふっかつのじゅもんがちがいます。」withぬこ
SQLインジェクションについて書くときに以下のメッセージを必ず含めて欲しいです。 単にプリペアドステートメントを使え 絶対に文字列結合でSQLを構築しようとしてはいけない IPAの「安全なSQLの呼び出し方」を読むこと なんでこんなことを書くかというと、同僚が献本されてた「プロになるためのWeb技術入門」なる本のSQLインジェクションの項で、SQLインジェクションの対策として以下のように書いてあったからです*1。 a) 値をバリデーションする b) プリペアドステートメントを使う ダメです。間違っています。単に間違っているだけでなく救いがたく間違っています。正しいSQLインジェクション対策はこう書くべきです。 単にプリペアドステートメントを使え 文字列結合でSQLを構築するな イケてない本を書く人はなんで値のバリデーションをプリペアドステートメントよりも先に書くんですか？値のバリデーション
![[SQLインジェクション対策]Webアプリケーションとかの入門本みたいのを書く人への心からのお願い。 - ＊「ふっかつのじゅもんがちがいます。」withぬこ](https://cdn-ak-scissors.b.st-hatena.com/image/square/abd76f3bb0ec0750428a791cbfbf7959c317f97d/height=288;version=1;width=512/https%3A%2F%2Fogimage.blog.st-hatena.com%2F17680117127052840568%2F17680117127052842215%2F1555633900)
blog.katsuma.tv
前回、JavaScriptでMap Reduceのコードが書けるHadoop Streamingについて紹介しました。 標準入出力さえサポートされてあれば、任意のコードでMap Reduuceの処理が書ける、というものでしたが、エンジニアはそもそも面倒くさがり。コードも書くのも面倒です。 と、いうわけで、今回はもうコードすら書かずにSQLライクでMap ReduceできるHiveというプロダクトについて、まとめたいと思います。 Hive Hiveとは、簡単に言うとHadoop上で動作するRDBのようなものです。 HDFSなどの分散ファイルシステム上に存在するデータに対して、HiveQLというSQLライクな言語で操作できます。 で、面白いのがHiveQLの操作は基本的にMap Reduceのラッパーになっていること。 要するに、SELECT文実行すると裏でMap&Reduceのタスクが走り出
adosql.js - へたっぴ日記
gist: 130016 - adosql.js データベースに ADO で接続して SQL を実行できるコンソールスクリプトを作った。通常はデータベース付属のツールがインストールされていると思うので必要ないと思われます。 Microsoft Access にはこんな感じで接続する。接続文字列変えればいろんなデータベースに接続できる、きっと。 C:\Temp\db>cscript //nologo adosql.js -c "DRIVER={Microsoft Access Driver (*.mdb)}; DBQ=user.mdb" ? select ...行頭「!」入力は、eval してその結果を表示する。 ? !1 + 2 3行頭「$」入力は、コマンド実行。 ? $cmd /c dir ドライブ C のボリューム ラベルがありません。 ボリューム シリアル番号は 4C18-D6C3
Client Side Databaseについて - 枕を欹てて聴く
あんまり解説なかったのでメモ. iReader作ったときに利用した. 正直今のところSafariしか対応してないから, iPhone/iPod touch専用ページくらいしか使いどころないのですが.HTML5なのでいつかはcross-platformで役に立つことを願いつつ. 仕様 HTML Standard interface Database { void transaction(in SQLTransactionCallback callback, [Optional] in SQLTransactionErrorCallback errorCallback, [Optional] in SQLVoidCallback successCallback); void readTransaction(in SQLTransactionCallback callback, [Optiona
Kazuho at Work: Using Top N Sort on MySQL
One of the best practices on using MySQL is to avoid filesort. However there are cases where it is inevitable (e.g. ordering the result of fulltext search by modification date), and although in most cases we only the top N rows of sorted resultset are needed, MySQL does not implement top N sort. After wondering for couple of months if I should hack the MySQL core to implement top-N-sort, today I d
LINQ to SQLは本当に終わりなのか？
LINQ to SQLがSQL Data Programmabilityチームに移管になったと(参考記事)7月に報告した。この出来事により開発者コミュニティ内に、ADO.NET Entity Frameworkの利益になるようにLINQ to SQLへの取り組みが中止されてしまうのでは、という懸念が広がった。LINQ to SQLとEntity Frameworkの両方のプログラムマネジャーを務めるTim Mallalieu氏が先ごろ行った発表により、コミュニティの懸念が深刻化した(リンク)。 Entity Frameworkにはかなりの投資をしているので、.NET 4.0になる頃には、LINQからリレーショナルへのシナリオではEntity Frameworkが推奨のデータアクセス・ソリューションになるでしょう。LINQ to SQLについては顧客の声を聞いており、コミュニティから届くフィ
Blog | Vezquex's Vortices: AppJet databases now faster and more powerful.
AppJet databases now faster and more powerful. at 7/30/2008 09:15:00 AM in AppJet, JavaScript Good morning, everyone. You might like to know that AppJet, the cloud-based JavaScript framework that nobody knows about, just released an update, making it more efficient for the CPU and easier on the coder, a win-win. There are new methods that make it easy to filter and paginate and data sets. See the
SQL の CASE 式って知ってますか？ :: Drk7jp
今日、同僚から MySQL って CASE 式を SQL の中に記述できましたっけ？と聞かれて、SQL 文に CASE - when 式を記述できることを初めて知りました。PL/SQL でのみ有効な構文かと勘違いしてました。 CASE 式はSQL-92 で標準に取り入れられており、意外と歴史は古いです。SQL99 からかと思いました。しかしながら、超便利な CASE 式を知っている人は意外と少ないと思います。Oracle なら同様の処理が記述できる DECODE 関数の方がメジャーですね。実際僕もこちらを用いて業務 SQL を書いてました。 しかし実際のところ、CASE 式の方が明らかに高機能でした。DECODE 関数を使っているOracleユーザには、是非CASE 式への乗り換えを勧めます。CASE 式には下記の通り４つの利用方法があります。 既存のコード体系を新しい体系に変換する（DE
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
https://labs.cybozu.co.jp/blog/kazuho/archives/2008/11/mysql_damage_control.php
Yahoo Developer Network
https://labs.cybozu.co.jp/blog/kazuho/archives/2008/10/filtersql-0_09.php
SQL の理想と現実 - kazuhoのメモ置き場