CSRF対策のトークンをワンタイムにしたら意図に反して脆弱になった実装例
補足 この記事は旧徳丸浩の日記からの転載です（元URL、アーカイブ、はてなブックマーク1、はてなブックマーク2）。 備忘のため転載いたしますが、この記事は2011年1月27日に公開されたもので、当時の徳丸の考えを示すものを、基本的に内容を変更せずにそのまま転載するものです。 補足終わり 橋口誠さんから今話題の書籍パーフェクトPHP (PERFECT SERIES 3)を献本いただきました。ありがとうございます。このエントリでは同書のCSRF対策の問題点について報告したいと思います*1。 本書では、CSRFの対策について以下のように説明されています（同書P338）。 CSRFへの対応方法は、「ワンタイムトークンによるチェックを用いる」「投稿・編集・削除などの操作の際にはパスワード認証をさせる」などがあります。一番確実な方法は両者を併用することですが、ユーザ利便性などの理由から簡略化する場合で
【入門】HomebrewでカンタンにPHPの開発環境を構築してみるの巻 - gracetory’s blog
ご挨拶 こんにちは。プログラマのykiraと申します。 もうすぐ健康診断なので戦々恐々とした毎日を送っていますが、皆様いかがおすごしでしょうか。 弊社ではサーバサイドの開発にPHPを使うことが多いです。 私自身もSIer系SEからの転職組なので、最初は環境構築で悩まされました(Webサーバって何？？？) 業務では開発用サーバが用意されそこで開発できますが、プライベートなどでローカルで開発できるといいなーと思うこともあると思います。 そんなわけで、Web開発入門編として今回はMacにHomebrewを使って、カンタンにPHPの開発環境(いわゆるMAMP)を作ります。 ネットの繋がらないカフェとかでiMac(27インチ)でドヤれるよ。そう、Homebrewならね。 私はMacBook Proを使いますが。 実行環境 Mac mini (Late 2014) MacOS Sierra (10.1
[Laravel]Monologを使ってSlackに通知できたらええやん？したいやん？ - Qiita
Monologを使ってSlackへ通知したい 現在運用しているサービスの通知を全て Slack で受け取りたい ここから全ては始まった。＼(^o^)／ﾊｼﾞﾏﾀ LaravelではMonologを使っている 現在のサービスではフレームワークにLaravelを使用しています。 ログはMonologを使っている。 よくよく調べてみると、、、おっ簡単に出来そうやん！！ よっしゃ、いっっちょやってみっか！ ということでやってみるで。 Monologのドキュメントを眺める ふむふむ φ(ﾟДﾟ )ﾌﾑﾌﾑ… Monolog-Github あった！ Handlers, Formatters and Processors コレの中の SlackHandler これやん！ SlackHandler使ってみるで まずはSlackの設定を作るやで Laravelのconfigに設定を作るやで config/s
![[Laravel]Monologを使ってSlackに通知できたらええやん？したいやん？ - Qiita](https://cdn-ak-scissors.b.st-hatena.com/image/square/d5e6e942f9bc4eeac789bd76f956be634db52dbd/height=288;version=1;width=512/https%3A%2F%2Fqiita-user-contents.imgix.net%2Fhttps%253A%252F%252Fcdn.qiita.com%252Fassets%252Fpublic%252Farticle-ogp-background-412672c5f0600ab9a64263b751f1bc81.png%3Fixlib%3Drb-4.0.0%26w%3D1200%26mark64%3DaHR0cHM6Ly9xaWl0YS11c2VyLWNvbnRlbnRzLmltZ2l4Lm5ldC9-dGV4dD9peGxpYj1yYi00LjAuMCZ3PTk3MiZoPTM3OCZ0eHQ9JTVCTGFyYXZlbCU1RE1vbm9sb2clRTMlODIlOTIlRTQlQkQlQkYlRTMlODElQTMlRTMlODElQTZTbGFjayVFMyU4MSVBQiVFOSU4MCU5QSVFNyU5RiVBNSVFMyU4MSVBNyVFMyU4MSU4RCVFMyU4MSU5RiVFMyU4MiU4OSVFMyU4MSU4OCVFMyU4MSU4OCVFMyU4MiU4NCVFMyU4MiU5MyVFRiVCQyU5RiVFMyU4MSU5NyVFMyU4MSU5RiVFMyU4MSU4NCVFMyU4MiU4NCVFMyU4MiU5MyVFRiVCQyU5RiZ0eHQtYWxpZ249bGVmdCUyQ3RvcCZ0eHQtY29sb3I9JTIzMjEyMTIxJnR4dC1mb250PUhpcmFnaW5vJTIwU2FucyUyMFc2JnR4dC1zaXplPTU2JnM9ZTg3OTVlNzYxODdiOGYwMTkzYTAzY2JmYjhiMmNjZjM%26mark-x%3D142%26mark-y%3D57%26blend64%3DaHR0cHM6Ly9xaWl0YS11c2VyLWNvbnRlbnRzLmltZ2l4Lm5ldC9-dGV4dD9peGxpYj1yYi00LjAuMCZoPTc2Jnc9NzcwJnR4dD0lNDBxaWl0YS1rdXJhcmEmdHh0LWNvbG9yPSUyMzIxMjEyMSZ0eHQtZm9udD1IaXJhZ2lubyUyMFNhbnMlMjBXNiZ0eHQtc2l6ZT0zNiZ0eHQtYWxpZ249bGVmdCUyQ3RvcCZzPTQ5ZGJjZDcwYjY2MTFkYzA5OWM1MWJiYTM0ZjlkMTA3%26blend-x%3D142%26blend-y%3D486%26blend-mode%3Dnormal%26s%3D800ec94436025de6dc85d72ef6deb55e)
phpにおける継承、抽象化、ポリモーフィズム再確認してみた - 雑想空間
phpを使うようになって、perlの頃よりoopを意識するようになった。 せっかくなので今まで曖昧だったoopについて、再確認の意味も込めて書いてみる。 とりあえず書いてみましょう。 初心者なので、つっこみ大歓迎 ピアノを作ってみる 1 <?php 2 3 class Piano { 4 private $name = 'piano'; 5 public function play() { 6 echo "ドレミ"; 7 } 8 } 9 10 $piano = new Piano(); 11 $piano->play(); 12 13 ?>ピアノクラスを作って見ました。 さて、ここで、ギターも買ったとします。 すると、ピアノクラスとギタークラスで、playという同じメソッドができることになるでしょう。 これはちょいと無駄です。 なわけで、楽器クラスを作り、その楽器クラスを継承してplayと
【PHP】PHPをインストールしたらやっておきたい設定 - Qiita
# yum install php php-devel php-pear php-mbstring php-gd php-mysql php-xml php-mcrypt -y # php関連の基本ファイルをインストール PHPの設定を編集 PHPの設定は/etc/php.iniという設定ファイルによって行われています。 そのため、下記ではphp.iniというファイルを編集することによって、PHPの設定を変更していきます。 オリジナルphp.iniをバックアップ エラー表示の設定を変更 error_reportingの設定を変更(513行目あたり) error_reporting = E_ALL | E_STRICT (開発環境においてはSTRICTを含めたすべてのレポートをさせる) display_errorsの設定を変更(530行目あたり) display_errors = On (エ
[Mac]phpbrewを導入してみた - atuweb 開発ブログ
今回手持ちの Mac に PHPBrew を導入しましたため、作業ログを残します。 PHPBrew PHPBrew は Mac の PHP 管理ツールです。 複数の PHP バージョンを用意して、簡単にスイッチすることができ大変便利です。 目的 Mac にphp-fpm + nginx を導入して Laravel 5.3 を動かす。 なお、導入にあたって次のサイトの通りインストール作業を行いました。 karakaram-blog - MacでのPHP開発はphpbrewが非常に良い http://www.karakaram.com/mac-install-phpbrew 環境 ほぼまっさらなMacBook (12inch) macOS sierra PHPBrew 導入前の PHP バージョンは 5.6 でした。 1$ php -v 2PHP 5.6.25 (cli) (built: Se
![[Mac]phpbrewを導入してみた - atuweb 開発ブログ](https://cdn-ak-scissors.b.st-hatena.com/image/square/e075cfa843eac732f5cb8e6e47163cc4f35ef514/height=288;version=1;width=512/https%3A%2F%2Fatuweb.info%2Fimages%2Feyecatches%2Fphp7_lg.png)
MacでのPHP開発はphpbrewが非常に良い | karakaram-blog
Mac で PHP のバージョンを複数管理する必要が出てきたので phpbrew をインストールしました。この手のツールは phpenv + php-build がデファクトっぽいですが、私の環境では phpenv が rbenv と干渉してうまく動かなかったので phpbrew を試してみました。これがなかなか使いやすかったのでご紹介。 phpbrew の使い方や実行したコマンド、Nginx + PHP-FPM + MySQL で開発するための設定や、OPcache、APCu、Xdebug のインストール方法をメモしておきます。 OS X El Capitan、OS X Yosemite で動作確認済みです。 2016年5月19日追記 この記事を書いてから 10 ヶ月後、PHP7 をインストールしてみたらエラーが出るようになっていました。解決策を以下の記事にまとめました。 目次 インスト
phpenv と php-build で複数の PHP を Mac のローカルで管理する - もじばけおなう
おはようございます。もじばけおでございます。 先日カッとなって MacBook Pro の Retina モデルを購入してしまいました。 カッとなった理由については深く突っ込まないでください(真顔) というわけで、複数の PHP をビルドして管理するわけなんです。 インターネッツ社会な昨今、ググればすぐに情報出てくるわけなんですが、 既存の素敵な記事を読んでも詰んでしまうわたくし向けにまとめをば。 事前準備 Homebrew 必須ですよ、アザゼルさん Xcode 入れてから以下で ruby -e "$(curl -fsSL https://raw.github.com/mxcl/homebrew/go)" brew doctor brew update アパッチ先生召喚 nginx もいいけどとりあえず Apache をね！ libphp5.so の作成に apxs 使うのでこのタイミング
phpenvを使ってPHPのバージョンを簡単に切り替えよう - ECサイト構築運営に役立つ情報発信｜モバイルファーストマーケティングラボ
phpenvを使ってPHPのバージョンを簡単に切り替えよう こんにちは。開発部まつおかです。 PHP7がまもなくリリースということで、、、PHP7について話したいところではあるのですが、まだ記事にできるほど調査できていない部分もあります。 https://wiki.php.net/todo/php70 ですので今回は少し横道にそれますが、PHPバージョンの切り替えツールの「phpenv」について紹介しようと思います。 phpenv+php-build導入 php-buildでphpをビルドしphpenvで切り替える、といった形になります。 (今回は、php-buildはphpenvのプラグインとして使用します) 前提事項 CentOS(手順を確認したのは、CentOS6.5) Gitインストール済み rbenvが入っていない(rbenvが入っていた場合、少しだけ変わるので) phpenvの
CentOS6／CentOS7にPHP5.6／PHP7をyumでインストール - Qiita
はじめに CentOS6系の標準リポジトリのPHPバージョンは5.3、 CentOS7系の標準リポジトリのPHPバージョンは5.4です。 それ以外のバージョンを使用したい場合は、リポジトリを追加してのインストール作業が必要になります。 今回、PHP5.6, PHP7.0, PHP7.1のインストール手順について記載します。 (※2017-07-23時点の情報です) Yumリポジトリ追加 EPELとRemiリポジトリを追加します。 EPELリポジトリ [CentOS6系] yum install epel-release または rpm -Uvh https://dl.fedoraproject.org/pub/epel/epel-release-latest-6.noarch.rpm [CentOS7系] yum install epel-release または rpm -Uvh http
PHPStorm10 + VagrantでPHPUnitテスト自動化の環境をつくる - Qiita
PHPStorm上でPHPUnitを実施するメリットとは？ PHPで開発した関数やクラスを単体テストするためのフレームワークとして「PHPUnit」があります。 PHPUnitは、一度テストのクラスを作成しておけば、あとはテストを自動化して繰り返し実行できるようになるので、人力で動作検証するよりも実装ミスやエラーの発見がしやすくなります。 単体テストフレームワークの選択肢として、以前はSimpleTestが主流でしたがバージョンアップが遅かったり、実行速度も遅かったりして、PHPUnitへの乗り換えが進んでいます。 PHPUnitはテストフレームワークの中では導入コストが低いので、PHPアプリのテスト自動化を検討している人はまずはPHPUnitの導入をおすすめします。 そして、PHPStorm + Vagrant環境で開発している人は、わざわざVagrantゲストマシンにログインせずともP
Linux：php.iniの設定を変更し、反映させる | raining
phpでシステムを構築している際に、php.iniの設定内容を変更したい場合があります。 Linuxサーバに設置しているphp.iniファイルを変更し、 Apacheを再起動させれば変更した内容で反映させることができます。 ■ php.iniファイルの場所を確認 php.iniファイルがどこにあるかわからない場合は、 phpinfo()を実行するとphp.iniファイルの場所を確認できます。 phpファイルに下記の内容を記述し、サーバにアップロードします。 アップしたファイルにアクセスすればphpinfoの内容が出力されます。 <?php phpinfo(); ?> 「Loaded Configuration File」にphp.iniファイルへの場所が出力されます。 ■ php.iniファイルの変更・反映 SSHでサーバにログインし、php.iniファイルを編集します。 編集する場合はバ
PHPでデータベースに接続するときのまとめ - Qiita
【2021/10/15 追記】 この記事は更新が停止されています。現在では筆者の思想が変化している面もありますので，過去の記事として参考程度にご覧ください。PDO に関しては大きく変わっていない部分が多いとは思いますが， PHP 8.x 以降での動作保証はありません。 あらかじめ読んでおきたい記事 Qiita - 【PHP超入門】クラス～例外処理～PDOの基礎 by @7968 初心者がやりがちなミス 以下のどれかに1つでも当てはまるコードは見直す必要があります．付録にリンクを貼っておきましたので，「該当するかも？」という人はクリックして飛んで読んでください．太字にしてあるものは脆弱性に直結する危険度の高いものです． mysql_query などの非推奨関数を利用している SET NAMES あるいは SET CHARACTER SET などで文字コードを指定している そもそもデータベース
【CakePHP】findの使い方まとめ２ | POPOTOO
バージョン：CakePHP 2.2.2 ◆その他の条件 条件は「array」に纏めて記述します。 細かい条件は下記の通り。 オプション名 説明
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
【CentOS, PHP】CentOSへのPHP5.6, MySQL5.6環境の構築 - Qiita