オンラインを見渡すと、さまざまなセキュリティに関する議論や資料が公開されているものの、問題の定義があやふやであったり、脆弱性の再現方法を示さないまま、対策を挙げるなど、方法論に問題があるために、対策の効果がなかったり、議論がすれちがったり、発散してしまうなど、非生産的な結果になってしまうケースは少なからず存在する。
本書は、全体にわたって、統一されたステップ方式を採用し、有意義な議論ができるように配慮しているだけでなく、何がも問題を懇切丁寧に説明し、独学や初学者に配慮している。本書はセキュリティだけでなく PHP によるアプリケーション開発の学習書としてもすぐれている。PHP のコミュニティにおいて、技術と社会の進歩とともに、不適切な教科書やチュートリアルが英語圏でも社会問題になってきており、入門者のための学習資料を提供することを目的とする PHP: The Right Way は2013年4月の時点で11カ国語に翻訳されている。
ステップ方式の活用は政策学や交渉学など社会学のさまざまな分野で見られる。オバマ政権の政策立案にも参画するカリフォルニア大学バークレー校の教授陣が執筆した「
政策立案の技法
」で政策分析を8つのステップにわけている(問題を定義する、証拠を集める、政策オプションを組み立てる、評価基準を選ぶ、成果を予測する、トレードオフに立ち向かう、決断！、ストーリーを語る)。同書の「8つのステップの精神」の節では政策分析が貢献できることは主張の価値を明らかにすることで紛争の解決を導き、共通の立場を浮き彫りにすることでコミュニティを形成することである。
開発標準のドキュメントが機能していない企業が少なからず存在するなか(p457)、本書は自らが開発標準のお手本を示している。
経営学の分野において、ゼロ年代後半から経営戦略が機能しなかったり、戦略立案が無意味な儀式になる問題を取り上げた書籍が無数に存在するので、これらの書籍をドキュメント評価の判断材料に使うことができるだろう。ルメルトの「
良い戦略、悪い戦略
」は悪い戦略の特徴として「空疎である」「重大な問題に取り組まない」「目標を戦略ととりちがえている」「まちがった戦略目標を掲げる」を挙げている。「
〔エッセンシャル版〕マイケル・ポーターの競争戦略
」の「よくある質問」の章では、すぐれたリーダーは戦略論を教える教師のようなものとし、定期的に戦略の学習を繰り返していることを伝えている。ドキュメントを作ったまま放置することなく、継続的な改善に取り組めるようにすることはマネジメントの大きな課題である。
本書の PHP コードに関して、PHP 5.3 以降を対象とした改善案と追加情報を記述する。
学習全体の影響を考慮して、最初に「6 文字コードとセキュリティ」について述べる。今後改定版が出版されたときに UTF-8 に関する記述の追加や改善を期待したい。
本書では RFC 3629 にならい、UTF-8 のコードポイントと各バイトの範囲に2進法が採用されているが、コードを書く観点からすると各バイトの範囲を16進法で表記したほうが紙面は増えるもののわかりやすいのではないと思う。Unicode Standard 6.2 の Table 3-7. Well-Formed UTF-8 Byte Sequences は16進数表記を採用している。
先行バイトと後続バイトの範囲を示した図6-17(p386)はおおまかな範囲を理解するという目的には便利であるが、上記の各バイトの範囲の知識がないと、後続バイトの範囲はすべて 0x80 - 0xBF と決めつけ、
2バイト目の範囲が 0x80 - 0xBF よりも狭くなる3バイト文字、4バイト文字を考慮しない脆弱なコードを書いてしまうおそれがある。
非最短形式の置き換えルールについて述べる。
UNICODE SECURITY CONSIDERATIONS (UTR#36) では不正な文字を暗黙のうちに削除することで、削除前は安全だった文字列が危険な文字列に変わってしまう例を挙げ、
暗黙のうちに文字を削除すべきではないことを述べている。置き換える必要がある場合、代替文字として U+FFFD を挙げている。PHP において mb_convert_encoding 以外に不正なバイト列を置き換える方法として、PHP 5.4 では htmlspecialchars に ENT_SUBSTITUTE オプション、PHP 5.5 では UConverter::transcode メソッドが追加された。
Unicode Standard 6.2 の Table 3-8. Use of U+FFFD in UTF-8 Conversion は非最短形式の置き換えルールの例を示している。このルールによれば、非最短の3バイト文字のうち、先行バイトが正しいものの、後続バイトが1つしかないもの、4バイト文字のうち、先行バイトが正しいもの後続バイトが1、2バイトしかないものは1つの文字として扱い、代替文字に置き換える。このルールは Ruby 1.9 の文字列処理、上記で挙げた PHP の関数に採用されている。
文字コードに関する記述は以上であり、今度は前の章から述べてゆく。
「3.1 HTTP とセッション管理」において、エラー抑制演算子の @ が使われているコードがあるが(p31、p32、p40、p44)、パフォーマンスの劣化とバグ発見の阻害要因になるので、必要なインク量は増えるが、できるかぎり isset を使うべきである。
「4.3.2 クロスサイト・スクリプティング(発展編)」の Unicode エスケープによる対策(p113)において、PHP 5.3 以降であれば preg_replace_callback に指定されている unicode_escape 関数をクロージャに移行すれば、名前空間の汚染を減らすことができる。JavaScript の学習も兼ねて、PHP でもクロージャを意識的に使ったほうがよいだろう。
「4.4 SQL 呼び出しに伴う脆弱性」の章では、データベース抽象化レイヤーの例として MDB2 が採用されている(p131、p134)が、PHP 5.3 以降であれば、Doctrine DBAL をおすすめする。MDB2 のコードの一部を継承していて、後続プロジェクトとして見ることができるだけでなく、開発が盛んであり、同じプロジェクトの成果物である Doctrine ORM がコードの品質で定評のある Symfony のプロジェクトで採用されているからだ。
「PHP+PDO+MySQLの安全な接続方法」(p139)のコードの記述に関して、文字コードを指定するために PDO::MYSQL_ATTR_READ_DEFAULT_FILE と PDO::MYSQL_ATTR_READ_DEFAULT_GROUP オプションが使われているが、PDO を with-pdo-mysql=mysqlnd オプションつきでコンパイルした場合、利用できないことを追記すべきである。PHP 5.4 では mysqlnd がデフォルトオプションに変更された。PHP 5.3.6 以降であれば PDO のコンストラクタパラメータに charset オプションを指定できるようになった。新しいプロジェクトでは mysqlnd のコンパイルオプションと charset パラメータを前提にしたほうがよいだろう。
PDO::ATTR_EMULATE_PREPARES のデフォルト値が true になっている理由はデータベースの負荷が問題になったからである。MySQL 5.1.17 以前ではプリペアドステートメントのクエリキャッシュが利用できなかった。2013年の時点で PDO::ATTR_EMULATE_PREPARES のデフォルト値を false に変更する提案は存在するが、PHP コアに取り込まれる動きはない。Unicode 6.0 に対応した MySQL 5.5 以降への世代交代が進み、MySQL 5.1 系のサーバーシェアが大きく減る時期まで待つ必要があるだろう。
「4.2 セッション管理の不備」の「PHP のセッション ID ランダム性を改善する方法」(p163)に関して、PHP 5.4 では session.entropy_file のデフォルト値は利用可能であれば /dev/urandom もしくは /dev/arandom に変更された。/dev/urandom は安全性の面ですぐれている一方で、@IT で公開されている「Linusのクリスマスプレゼントが引き起こした問題」の記事が示すように負荷の大きさが開発者の悩みの種になっていることを追記しておく必要があるだろう。
「セッションIDの変更ができない場合はトークンにより対策する」(p181)において PHP 5.3 以降であれば、Windows とのポータビリティ改善のために、file_get_contents 関数で /dev/urandom にアクセスするコードを OpenSSL 拡張モジュールの openssl_random_pseudo_bytes、mcrypt 拡張モジュールの mcrypt_create_iv に置き換えることができる。
「4.12 ファイルアップロードにまつわる問題」において、pathinfo を使う例に関して、第2引数に PATHINFO_EXTENSION オプションを指定すれば $info 変数を用意しなくてすむ (p266、p267、p272、p273、p281)。
「ファイルのアップロード時の対策」(p277-279) において、PHP 5.3 以降であれば、GD 拡張モジュールの getimagesize のコードは FileInfo 標準モジュールの finfo_file 関数に置き換えるとよいだろう。この関数のソースコードは BSD や Linux の file コマンドに採用されている Fine Free File Command のプロジェクトの成果物を利用している。こちらのほうがポータビリティの面でよい。PHP 5.3 以前でも FileInfo は拡張モジュールとして利用できる。
「4.14 eval にまつわる問題」について。PHP で入力文字列を解釈して実行できる機能を持つ関数(p297)として create_fucntion、preg_replace、mb_ereg_replace が挙げられている。PHP 5.3 以降であれば create_function は無名関数もしくはクロージャに置き換えることができる。PHP 5.5 で preg_replace の e 修飾子は非推奨になり、将来に削除されることになった。preg_replace_callback に置き換えることが推奨されている。PHP 5.4.1 以降であれば、mb_ereg_replace の e 修飾子を使ったコードは mb_ereg_replace_callback に置き換えることができる。前述の preg_replace の仕様変更を踏まえると、 mb_ereg_replace の e 修飾子もいずれ廃止されると予想される。
「5 認証」のハッシュ解読対策の方法の1つであるストレッチングに関して、PHP 5.5 で password_hash などのパスワードハッシュ関数が追加され、自前で関数を定義しなくてもすむようになった。PHP 5.3.7 以降であれば、前述の関数の実装に関わった ircmaxell 氏が同名の関数をユーザー関数として定義した password_compat を github で配布している。
無料のKindleアプリをダウンロードして、スマートフォン、タブレット、またはコンピューターで今すぐKindle本を読むことができます。Kindleデバイスは必要ありません。
ウェブ版Kindleなら、お使いのブラウザですぐにお読みいただけます。
携帯電話のカメラを使用する - 以下のコードをスキャンし、Kindleアプリをダウンロードしてください。
何か問題が発生しました。後で再度リクエストしてください。
この本を読んだ購入者はこれも読んでいます
ページ 1 以下のうち 1 最初から観るページ 1 以下のうち 1
