Dreamweaverをバージョン8にアップグレードしてつかっている。
ふとDBアクセスまわりの自動生成されるコードが変更されていることに気づいた。これで気持ちそこそこ大きめな違い3つ目。
たとえば、SQLにGETやPOST、SESSIONなどのパラメータをsprintfで埋め込む時のサニタイジング関数。
Dreamweaverでは、PHPとDBの利用を想定してコーディングするとき、
ある程度Dreamweaverのコードジェネレーション機能が使えます。でそのときセキュリティ用の関数として、
GetSQLValueStringというサニタイジング関数が自動で吐き出されます。これはこれでけっこう便利な関数です。
これが、Dreamweaver MXでは、
]]>
function GetSQLValueString($theValue, $theType,
$theDefinedValue = "", $theNotDefinedValue = "")
{
$theValue = (!get_magic_quotes_gpc()) ?
addslashes($theValue) : $theValue;
switch ($theType) {
case "text":
$theValue = ($theValue != "") ?
"'" . $theValue . "'" : "NULL";
break;
case "long":
case "int":
$theValue = ($theValue != "") ?
intval($theValue) : "NULL";
break;
case "double":
$theValue = ($theValue != "") ?
"'" . doubleval($theValue) . "'" : "NULL";
break;
case "date":
$theValue = ($theValue != "") ?
"'" . $theValue . "'" : "NULL";
break;
case "defined":
$theValue = ($theValue != "") ?
$theDefinedValue : $theNotDefinedValue;
break;
}
return $theValue;
}
だったものが、Dreamweaver8では、
if (!function_exists("GetSQLValueString"))
{
function GetSQLValueString($theValue, $theType,
$theDefinedValue = "", $theNotDefinedValue = "")
{
$theValue = get_magic_quotes_gpc() ?
stripslashes($theValue) : $theValue;
$theValue =
function_exists("mysql_real_escape_string") ?
mysql_real_escape_string($theValue) :
mysql_escape_string($theValue);
switch ($theType) {
case "text":
$theValue = ($theValue != "") ?
"'" . $theValue . "'" : "NULL";
break;
case "long":
case "int":
$theValue = ($theValue != "") ?
intval($theValue) : "NULL";
break;
case "double":
$theValue = ($theValue != "") ?
"'" . doubleval($theValue) . "'" : "NULL";
break;
case "date":
$theValue = ($theValue != "") ?
"'" . $theValue . "'" : "NULL";
break;
case "defined":
$theValue = ($theValue != "") ?
$theDefinedValue : $theNotDefinedValue;
break;
}
return $theValue;
}
}
この場合、主な違いは、MXで使用していたaddslashes関数ではなく、
mysql_real_escape_string関数になっていること。MySQLを指定してコードを書いている場合、
MySQL専用のサニタイジング関数が利用されることでより安全になっているはず。ただ、MXと8で生成したコードが混在すると、
余裕で冗長なコードが生成されてしまう。ので注意。関数定義の最初に
if (!function_exists("GetSQLValueString")) {
の部分が来ていて、関数の2重定義だけは避けているだけ配慮されてるのかもしれないけど、
ちょっと醜いコードになってしまうのが頭痛のタネ。
if (!function_exists("GetSQLValueString")) {
の部分を取り除いて古い関数と置き換えるのが妥当なところ。あと、
MXではINSERTやUPDATEのSQLをコードを自動生成したときは、代入する変数を、
このGetSQLValueStringでサニタイジングしていたんだけど、SELECT文では使っていなくて、
素人に使わせるには危険極まりないコードを吐き出していたんだけど。今回のバージョンアップで、
SELECT文に変数を代入するときでも自動でGetSQLValueString関数を適用しているようである。たとえば、
$resultset = sprintf("SELECT * FROM
user_table WHERE id=%s", $uid);
見たいなコードになっていた部分（さくっとSQLインジェクションされそうな気がします）が、
$resultset = sprintf("SELECT * FROM
user_table WHERE id=%s", GetSQLValueString($uid, "int");
のようになっています。これだけで、SQLインジェクション対策は多分出来ているので、
こういう単純なSQL実行時にはかなり助かります。
かといって、Dreamweaverで吐き出すコードがどれも安全かと言われると・・・・まったくもって、
そんなことはないので、注意してください。はっきりいってXSSやらCSSFはまったくもってほったらかしです。まあ、XSSやCSSFは、
アプリケーションがやりたいことだったり、サーバ環境で攻撃方法にバリエーションがあって、単純に対策できないこともあるんでしょう。
（どんな状況でもかならずXSSを防ぐ汎用的なサニタイジング関数があったら教えてほしいです。マジ切実に。）
よく分かっているところだけは効率化のために使いますけど、まあ、
ツールが吐き出すコードなんて信用して使うなって事ですけどね。
]]>
「RailsによるアジャイルWebアプリケーション開発」で初めてrubyを触ってみてます。rubyはまったく分かりませんが、このRailsというフレームワーク。なんか面白いことになっていますね。時間が無くて今まで触れていませんでしたが、微妙に眉唾と思っていた感もありました。
Thinkpad購入！秋葉原まで行こうかと思ったけど、もっと近くであったので、即決で購入。
スペックは、
