このルールはPHPのコードをセキュアに書くためのルールを定義しています。

このセキュアコーディング標準はフレームワークを利用しないPHPのコードを対象としています。フレームワークを利用する場合、そのフレームワークに合ったセキュアコーディング標準が必要です。セキュアコーディング標準は総合的なリスク対策ではなく、個別かつ具体的なコーディングにおけるリスクとその対策を解説することが目的です。

具体的な個別のコードのリスクを知る事も重要ですが、セキュアコーディングの基本的概念を知る方がより重要です。

• CERT Top 10 Secure Coding Practices
• 契約による設計と信頼境界線

OWASPのOWASP Secure Coding Practices – Quick Reference Guideはチェックリスト形式でセキュアコーディング概念の基礎要素がコードに実装されているか確認できる便利なチェックリストです。

このPHPセキュアコーディング標準はこのテンプレートを利用する

現在の状態は開発中です。コメント／フィードバックを歓迎します。

1. 謝辞
2. セキュアコーディングの目的
3. セキュアなコードの構造（アーキテクチャー

1. 入力
2. 出力
3. コードの配置
4. 宣言と初期化
5. 表現
6. 数値型と操作
7. 文字列型と操作
8. オブジェクト指向
9. 関数とメソッド
10. 例外とエラー
11. ロック
12. スレッドとプロセス
13. シリアライズ
14. セッション管理
15. ファイルアップロード
16. ファイル
17. 暗号
18. PHP設定
19. 実行環境

1. コードの配置

国際情報セキュリティ標準であるISO 27000（JIS Q 27000）は日本工業標準調査会のWebサイトからPDFを参照できます。

• https://www.jisc.go.jp/app/JPS/JPSO0020.html

上記のJIS検索のページから「情報セキュリティ」をキーワードとした検索でJIS Q 27000のページを検索できます。

より一般的なセキュリティ対策のチェックリストなども有用です。

• OWASP Secure Coding Practices – Quick Reference Guide
• CWE/SANS TOP 25 Most Dangerous Software Errors - Monster Mitigations
• OWASP Top Ten Project

セキュアコーディング本家のセキュアコーディング標準

• SEI CERT C Coding Standard
• SEI CERT C++ Coding Standard
• SEI CERT Oracle Coding Standard for Java