Differences

This shows you the differences between two versions of the page.

--- ja:rule:inp:入力バリデーションにブラックリスト方式を用いない [2016/03/18 06:39] – yohgaki
+++ ja:rule:inp:入力バリデーションにブラックリスト方式を用いない [2017/07/04 01:07] (current) – [例外] yohgaki
@@ Line 43: / Line 43: @@
 ===== 例外 =====
-バリデーションエラーが大量に発生することが問題になる場合はサニタイズフィルターの利用を検討してもよい。
+バリデーションエラーが大量に発生することが問題になる場合はサニタイズフィルターの利用を検討しても構わないが、サニタイズは攻撃に対して脆弱な防御の仕組みである。
 ===== リスク評価 =====
-[ルール／推奨事項のリスク評価]
+入力バリデーションは可能な限り厳格に行う必要がある。仕様（データの形式、長さ、範囲）として受け入れる必要がないデータを処理するとプログラム内部の処理または出力で誤作動のリスクを増加させる。
-[評価例 - 英語表記に統一]
 ^ Rule ^ Severity ^ Likelihood ^ Remediation Cost ^ Priority ^ Level ^