ウェブアプリのセキュリティをちゃんと知ろう
7. ウェブアプリの入力、処理、出力入出力ウェブサーバウェブアプリ(PHP など)外部 API サーバ(Facebook API 、決済会社など)入出力処理入出力データベースサーバ(MySQL など)ウェブブラウザ 10. ウェブサーバーを通したウェブブラウザからの入力の仕様を考えようPHP に入ってくる値は何かを知る可変長のバイト列 (文字列ではない！！)GET パラメータPOST パラメータアップロードファイルリクエストヘッダ (Cookie など)実際の処理に渡すべき値は何かを考える文字列か、バイト列か？文字コードは何か？(ウェブサーバーでバイト列を処理することってあまりないので、 PHP では基本的に文字コードのバリデーションは必要だと思って良い)長さはどうか？どういう文法や構造を持つデータ？入力された値を実際の処理に渡すべき値かどうかを確認することを「バリデーション」という 11
PHPでTwitter APIのOAuthを使う方法まとめ
この記事以降 Twitter API の仕様が変わっており、このままでは正しく機能しない場合があると思います。近いうちに今のやり方を書くので、それまで参考程度にご覧ください。 Twitter API の OAuth でひととおりやってみた。 忘れないようにメモ。 大雑把な流れ Twitter にアプリケーションを登録する。 Consumer Key と Consumer secret を取得する。 リクエストトークンを取得する。 認証用 URL を取得する。 ユーザーから承認を受ける（bot の場合は自分でやる）。 アクセストークンを取得する。 API にアクセスする。 以下、やった作業の手順です。 事前準備 HTTP_OAuth を使えるようにする OAuth の通信部分そのものは PEAR の HTTP_OAuth を使うことにしたので これをインストールする。 一番めんどくさい部分を
UTF-8の冗長なエンコードとは何で、なんでそれがセキュリティ的に危ないのか？を文字コード知識レヴェル3くらいの凡プログラマが考えてみる - tohokuaikiのチラシの裏
何故かあたり前にならない文字エンコーディングバリデーション | yohgaki's blog ってあるように、いまいち文字コードの不正な判定による危険性ってのが分かってない。 SJISの問題は、（2/3）SQLインジェクションを根絶！セキュア開発の極意 - 第5回■注目される文字コードのセキュリティ問題：ITproの記事がわかりやすかった。 というか、やっぱりPHP使ってると誰でも一度は「なんじゃこの『￥』は？」って思うもんなんで。 なるほど、確かに↓の図のように「あるバイト」が2つの意味を持つっていう文字コード形態はやばいんだなと。 EUC-JPはそんなことはしないで、1つのバイトには1つの意味しか取らせない。 だけど、これでも文字化けが起こることがある。経験的には、「マルチバイトをXX文字で切り落としたい」とかやった場合。ちゃんと文字コードを判定してくれるPHPでいえばmb_subst
Mac で Basic 認証下での Flash ファイルアップロード不可問題の回避方法 (ラボブログ)
スパイスラボ神部です。 企業のキャンペーンサイト制作などにご一緒させていただいていると、Flash の動作確認にはいろいろ苦慮することになりますが、特に大きな壁として flashによるファイルアップロードと認証に関するジレンマ - hanai にあるような ・Mac の場合、どのブラウザでも Basic 認証下ではファイルアップロードできない という問題があります。 実はこれは Flash プラグインとしての正しい挙動で、Basic 認証下ではファイルをダウンロードさせる動作以外はサポート外なもようです。 FileReference API の機能とセキュリティについて サーバーが認証を必要とする場合、唯一正常に実行できる可能性があるのは、Flash Player ブラウザプラグインを使ったファイルのダウンロードです。すべての Flash Player でのアップロードや、スタンドアロー
PHPでセッションを完全に破棄する方法 - プログラマはサイコロを振らない
PHPでセッションを破棄する方法について、きちんと解説されたものが見つからなかったので書いておく。 まず、PHPでセッションを破棄する方法自体はPHPのマニュアルの載っている。↓の部分だ。 <?php // セッション変数を全て解除する $_SESSION = array(); // セッションを切断するにはセッションクッキーも削除する。 // Note: セッション情報だけでなくセッションを破壊する。 if (isset($_COOKIE[session_name()])) { setcookie(session_name(), '', time()-42000, '/'); } // 最終的に、セッションを破壊する session_destroy(); ?> 問題は、このコードについてまともな説明がされていないことだ。よくわからないままに使っている人も多いように思える。例えば「PHP
Excelファイル作成(PEAR::Spreadsheet_Excel_Writer) - PEAR入門
ここではPEAR::Spreadsheet_Excel_Writerの使い方について確認していきます。PEAR::Spreadsheet_Excel_WriterはPHPからExcelファイルを作成する機能を提供するものです。 Spreadsheet_Excel_Writerパッケージの導入 必要モジュールの読み込み ワークブックの作成と保存 ワークブックをクライアントへ出力 ワークシートの追加(addWorksheet) セルにデータを書き込む(write) セルに数値と文字列のデータを書き込む(writeNumber, writeString) セルにコメントを書き込む(writeNote) セルに書式設定の為の空のセルを書き込む(writeBlank) セルに数式を書き込む(writeFormula) セルにリンクを書き込む(writeUrl)
PHPによる大規模商用サービスの裏側 ― ＠IT
2008年7月21日、日本PHPユーザ会主催のイベント「PHPカンファレンス2008」が東京・大田区産業プラザ（PiO）で開催された。 PHP5.3やPHP6の最新動向をお届けした前編「PHPに押し寄せるリスクと国際化の波」に引き続き、中編ではぐるなび、楽天、サイボウズといった企業におけるPHP開発事例の裏側をレポートする。 手作り感たっぷりのぐるなびが食のポータルサイトになるまで ぐるなびは、日本における飲食店情報を扱う草分け的Webサイトであり、代表的な“食”のポータルサイトの1つといっても過言はない。1996年6月に、交通広告代理店NKBの1事業部門としてスタートしたぐるなびは、2000年2月に株式会社として独立する。以来、さまざまな食に関する情報サービスを立ち上げ、月間7億2000万PV（2007年12月）、会員数588万人を記録するほどになった。 ぐるなびの技術departmen
ウノウラボ Unoh Labs: PHPで携帯位置情報を扱うライブラリ「Geomobilejp_Converter」を作りました
中村です。 PHPで携帯の位置情報を簡単に取り扱うことができるライブラリ「Geomobilejp_Converter」を作りました。もう半年近く前に作ったものですが、コードを少し整えたので公開することにしました。 GPSに対応した携帯では、各キャリアで指定されている特定のHTMLを記述することで、携帯サイトに位置情報（緯度経度や測地系）を送信することができます。この位置情報を利用すると、「位置情報付きで掲示板に書き込む」などの機能を実装することができます。 キャリアによっては位置情報のなかに土地名を含むものもありますが、通常は緯度経度だけでは土地名がわかりません。そこでGeomobilejp_Converterでは、docomoの提供するオープンiエリアのiエリアデータファイルを利用して土地名を関連付ける機能を実装しています。iエリアデータを利用することで、各キャリアで共通したiエリアコー
PHPでクールなグラフを描画できるクラスライブラリ「pChart」:phpspot開発日誌
pChart | a PHP Charting library pChart is a PHP class oriented framework designed to create aliased charts.PHPでクールなグラフを描画できるクラスライブラリ「pChart」。 次のようなグラフが描画できます。（円、棒グラフなど） 色々と、グラフ描画ライブラリは存在しますが、こうした描画スタイルもいいですね。 関連エントリ GoogleChartsAPIをPHPから簡単に使える「GoogChart」 jQueryベースの滑らかなグラフ描画ライブラリ「Flot」 CSSだけで円グラフを表示するサンプル
PHP5でfgetcsvが正常に動作しない : ::yossy.blog::
Posted on 7月 19, 2006 Filed Under PHP | CSVのインポート機能を持ったシステムをPHP4環境からPHP5環境へ移行したら、 なぜかCSVデータを正しく読み込んでくれない。っていうか一文字目が文字化け。 超悩んだあげくぐーぐるさんで検索しても以下のような記事しかみつからず。 [PHP-dev 1205] PHP5のfgetcsv()関数について 人力検索はてな - PHP4からPHP5へソースの移（長いので略） csvファイルを読み込むと１バイト目の日本語が文字化け ３つ目の掲示板のyossyはあたくし自身なんですが・・・。 setlocaleとかいろいろ試してもしても結局読み込まれるCSVの文字コードは ほとんどSJISなせいなためかなんだかうまくいきません。 ちなみに検証環境はほぼFedoraCore4のデフォルトです。 PHPは5
PHPベンチマーク: Zend Framework vs Symfony vs CakePHP vs CodeIgniter vs PHP on TRAX
先日、Zend Frameworkが正式に1.0.0としてリリースされました。 公式だし今後使っていこうかなと思ったんですが、最近人気のある他のPHPフレームワークと比べて パフォーマンスの面でどう違うか気になったので簡単なベンチマークをとって比較してみました。 今回使用したフレームワークはZend Framework、Symfony、CakePHP、CodeIgniter、PHP on TRAXの5つです。 各フレームワークで行った処理はコントローラを呼び出しビューに遷移させて "Hello World!"を表示させるだけのかなりシンプルな内容です。 DBへの接続やモデルの作成は行わず、自動レイアウト機能があるものはオフにするか全て削除しています。 使用したソースはこちらからダウンロードできます。 ベンチマークを行った環境はCeleron 1.7GHz、メモリ1GBのLi
PHPの実行をPHPのソースコード(C言語)のレベルで見る方法 - suztomoのはてなダイアリー
PHPはソースコードを読めばわかるとおりC言語で書いてあります。 そのC言語の中でPHPがどんな処理をしているのかをデバッガであるgdbを用いて見ることができるのでそれを紹介します。まぁ普通のgdbの使い方なんですが:p ソースをダウンロードしてコンパイル PHP-5.2.6のソースをダウンロードします。 まず./configureするとのMakefileができます。 このMakefileの中で-gオプションがついていることを確認しましょう。*1 これがデバッガ(gdb)用のオプションで、コンパイルされたバイナリファイルにソースコードとの対応付けができます。 次にmakeします。時間がかかります。 サンプルファイル makeしている間に次のようなPHPファイルを作成しましょう。 <?php $i = "12"; $k = intval($i); ?> これは文字列の"12"をintval関
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ＰＨＰの文字化けを本気で解決する - ぎじゅっやさん
http://www.rider-n.sakura.ne.jp/regexp/regexp.php
symfony入門一覧