2-1 基本事項 [PHPセキュリティー]

ウェブアプリケーションの投稿フォームに網膜スキャンや指紋認証が必要で、複雑な投稿作業で何十分も時間が掛かるとすれば、ユーザーは面倒で投稿しなくなるでしょう。セキュリティーレベルは上がるかもしれませんが。セキュリティーはアプリケーションの利便性とのバランスが必要です。完全に安全なシステムというものは理想でしかないようです。ユーザーの作業を達成させつつ、セキュリティーを維持する必要があります。

本サイトでは、「PHPコードを記述する上で何が危険であるか」を考えていきたいと思います。その上で、一般的に認知度が高いウェブアプリケーションへの攻撃とその防御策を紹介したいと思います。

セキュリティーで最も重要なことの一つは、「データを常に追跡し続ける」ということです。そのデータが、どのようなデータなのか、何処にあるのか、何処から来て何処へ行くのか、それらを常に意識して考えるということです。

アプリケーションのどこからデータが入力されるのか、アプリケーションのどこにデータが存在するのか、アプリケーションからどこへデータを送信するのか、を考えましょう。例えば、$_POST や $_GET は、PHPにとってhttpクライアントからデータを受信するということです。「echo」「print」を使用した場合は、PHPからデータをhttpクライアント(ブラウザなど)へ送信していることになります。「mysql_query()」を使用した場合は、PHPからデータをMySQLデータベースへ送信しているということになります。

このように、どこからPHPへデータが受信(入力)され、PHPからどこへデータを送信(出力)するのか、データの追跡を常に考えるようにしましょう。

本サイトでは上記の攻撃方法やその防御策を紹介しています。参考にしてみて下さい。

フィルタリングの詳細はこちらを参照下さい。
エスケープの詳細はこちらを参照下さい。

ディレクティブとは指示文のようなものです。PHPのディレクティブは、php.iniにその内容が記述されています。PHP構成ディレクティブ(php.ini)ではPHPのコア設定が出来ます。また、php-gd php-mbstring php-mysqlなどといったPHP拡張モジュールのディレクティブもphp.iniに記述されています。現状どのような設定になっているのか見直してみましょう。本サイトではセキュリティーを考慮した設定を紹介していますので参考にしてみて下さい。詳細はこちら。

PHPでは非常に多くの予め用意された組み込み関数があります。これらの関数の中には使用に注意が必要な関数があります。誤った使用方法によりアプリケーションの脆弱性が発生します。本サイトではこのような使用上注意すべき関数を紹介していますので、参考にしてみて下さい。詳細はこちら。