PHP 開発で違反できないセキュリティルール: ユーザー入力のフィルタリング

PHP 開発で違反できないセキュリティルール: ユーザー入力のフィルタリング_PHP チュートリアル

WBOY

リリース： 2016-07-21 15:30:28

オリジナル

897 人が閲覧しました

最も基本的な予防策として、外部からの送信に注意を払い、ファイアウォールに対処するための最初のセキュリティメカニズムを作成する必要があります。
ルール 1: 外部データや入力を決して信頼しない
Web アプリケーションのセキュリティについて最初に認識しなければならないことは、外部データを信頼すべきではないということです。外部データには、プログラマが PHP コードに直接入力しないデータが含まれます。他のソースからのデータ (GET 変数、フォーム POST、データベース、構成ファイル、セッション変数、Cookie など) は、セキュリティを確保するための手順が講じられるまで信頼できません。
たとえば、以下のデータ要素は PHP で設定されているため安全であると考えられます。

コードをコピーしますコードは次のとおりです:

$myUsername = 'tmyer' 
$arrayUsers = array('tmyer', 'tom', 'tommy'); ("GREETING ", 'hello there' . $myUsername); ただし、次のデータ要素にはすべて欠陥があります。 

リスト 2. 安全でない欠陥のあるコード

コードをコピーします
コードは次のとおりです。

$myUsername = $_POST['username'] //tainted! = array($myUsername, 'tom', 'tommy'); // 汚染されています!

 汚染されています!変数 $myUsername に欠陥がありますか?これはフォーム POST から直接取得されるためです。ユーザーはこの入力フィールドに任意の文字列を入力できます。これには、ファイルを駆除したり、以前にアップロードしたファイルを実行したりする悪意のあるコマンドも含まれます。 「A ～ Z の文字のみを受け入れるクライアント側 (Javascript) フォーム検証スクリプトを使用すれば、この危険を回避できないのですか?」と疑問に思われるかもしれません。はい、これは常に有益なステップですが、後で説明するように、誰でも任意のフォームを自分のマシンにダウンロードして変更し、必要なものを再送信できます。 
解決策は簡単です。サニタイズコードは $_POST['username'] で実行する必要があります。これを行わないと、(配列や定数などで) $myUsername を使用するたびに、これらのオブジェクトが汚染される危険があります。 
 ユーザー入力をサニタイズする簡単な方法は、正規表現を使用して処理することです。この例では、文字のみが受け入れられることが想定されています。文字列を特定の文字数に制限したり、すべての文字を小文字にすることを要求したりすることも良いアイデアかもしれません。 

リスト 3. ユーザー入力を安全にする

コードをコピーします

コードは次のとおりです。
$myUsername = cleanInput($_POST['username']) //clean ! $arrayUsers = array($myUsername, 'tom', 'tommy'); define("GREETING", 'こんにちは' . $myUsername); { $clean = strto lower($input); $clean = preg_replace("/[^a-z]/", "", $clean);