Differences

This shows you the differences between two versions of the page.

--- ja:rule:out:外部へ出力するデータはデフォルトで全て無害化する [2017/06/30 20:06] – [非適合コード例（SQLite3 varchar column）] yohgaki
+++ ja:rule:out:外部へ出力するデータはデフォルトで全て無害化する [2017/10/25 00:20] (current) – コンテクストの解説追加 yohgaki
@@ Line 27: / Line 27: @@
 これらの何れかの手段を出力するデータ**全て**に適用する。
+出力先の無害化は”コンテクスト”によって異る。必ず適切な無害化方法を使用する。
+例：SQLの出力先コンテクスト
+  * パラメーター （パラメーター用エスケープまたはパラメーター用プレイスホルダ）
+  * 識別子 （テーブル名、カラム名など。識別子用エスケープ）
+  * SQL語句 （DESC、ASCなど。バリデーション）
+パラメーターには更にコンテクストがある。全てのコンテクストに対して適切な無害化が必要
+  * LIKEクエリ （LIKE用エスケープ）
+  * 正規表現 （正規表現用エスケープ）
+  * バイナリ型 （バイナリ型用エスケープ）
+  * 配列型 （パラメーター用またはバイナリ型用のエスケープ）
+  * JSON型 （JSON用エスケープ）
+  * その他、全てのコンテクストに対して適切な無害化処理
 エスケープはコンテクストに合わせて行わなければならない。例えば、SQLインジェクション対策としてエスケープ／エスケープが必要ないAPIを利用しても、LIKEクエリや正規表現をサポートするDBMSの場合、LIKEクエリのエスケープ、正規表現のエスケープが必要となる。
@@ Line 162: / Line 177: @@
 </code>
+この適合コードは適切なバリデーションを行う。CHECK制約やデータ型が利用できるデータベースの場合、データベース側のバリデーション機能を利用し、クエリエラーを検出する方法も選択できる。
+===== 非適合コード例（HTML） =====
+<code php>
+<?php
+$id = $_GET['id'];
+if (!is_scalar($id) || strlen($id) > 8 || strspn($id, '1234567890') != strlen($id)) {
+  throw new Exception('Invalid ID');
+}
+echo 'ID: '. $id . '<br />';
+?>
+</code>
+HTMLコンテクストへの出力に対しHTML用のエスケープを行っていない。
+===== 適合コード例（HTML） =====
+<code php>
+<?php
+$id = $_GET['id'];
+if (!is_scalar($id) || strlen($id) > 8 || strspn($id, '1234567890') != strlen($id)) {
+  throw new Exception('Invalid ID');
+}
+// PHP 5.6以降のデフォルトの場合
+echo 'ID: '. htmlspecialchars($id) . '<br />';
+?>
+</code>
+適合コードはコンテクストに対してエスケープ可能な全ての変数をコンテクスト用のエスケープを行う。エスケープしない変数は「エスケープできない変数」のみとする。HTMLコンテクストの場合、関数などで既に作られたHTML部品がエスケープできない変数である。
+エスケープできない変数はプログラムによって自動処理できるようにするか、変数名によってエスケープができない変数であることが判るようにする。
+エスケープできない変数を作成する場合、確実に安全な変数となるようにする。
 ===== 例外 =====