ユーザーが投稿したデータ多くの PHP のプログラムで最も脆弱な部分は、言語自体に起因するものではなく、 単にセキュリティを考慮して書かれていないコードの問題です。そのため、 指定したコードの部分の意味を常に時間をかけて吟味し、 予想外の変数が投稿された場合に有り得る損害を確かめる必要があります。 例1 危険な変数の使用
スクリプトを書いた後ではなく、書いている時にこれらの質問を適宜行う ことにより、セキュリティ改善のために不幸にして書き直しが必要になる ということを避けることができます。こうした考慮をまず行うことにより、 システムのセキュリティを保証できるわけではありませんが、改善の一助 にはなりえます。 入力データの出所や有効性、完全性を曖昧にする便利な設定を無効にし、 セキュリティを強化してください。暗黙的な変数の生成や未検証の入力は、 インジェクション攻撃やデータ操作といった脆弱性につながる可能性があります。
かつては error_reporting(E_ALL) を有効にし、未初期化の変数を検知し、入力を検証してください。 型安全を強制し、意図しない型変換を防止し、セキュリティ全体を改善するために、 strict モード (PHP 7 で導入された declare(strict_types=1)) を利用してください。 |