葉っぱ日記

yohgaki 2009/07/21 11:01 ご無沙汰しております。大垣です。

理解しているんだか、理解してないんだか（恐らく後者）PHP 5.3で文字エンコーディングチェックをHTMLエスケープ関数から外した問題をメールしたのですが、セキュリティチームからレスポンス無し。

最近のブラウザが文字エンコーディングベースにどれだけ脆弱か、エントリ作って頂けると非常に助かります :)

yohgaki 2009/07/21 11:37 もし、ご自分で検証される場合はphpのソースのext/standanrd/html.cのphp_html_escape_entities_ex()を見比べると良いです。PHP 5.2とPHP 5.3で随分違います。PHP5.2のソースもざっと見て、以前と随分違うので嫌な予感もしています。

UTF-8しか考えなくてよいPHP6からバックポートした上、最近PHP6のソースツリーには不正なUTF-8エンコーディングの検出コードが追加されましたが、それもバックポートされていないのがPHP 5.3の現状です。

私の著書やブログ等の通り、mb_check_encodingでエンコーディングチェックしているアプリなら何の問題もないのですが....

yohgaki 2009/07/22 07:07 コードの読み間違いをしていたようです。ちょっと気になる事はあるのですが、とりあえず大丈夫のようです。時間があるときにじっくり調査してみます。お騒がせしました。