【PHP】下らねぇ質問はID出して書き込みやがれ 81

【PHP】下らねぇ質問� ..

142:nobodyさん
09/02/20 16:33:21
どうしてもUTF8でやりたいのなら
ezwebだけ出力するときだけsjisに変換したら？

143:nobodyさん
09/02/20 16:35:22
>>141
URLﾘﾝｸ(www.au.kddi.com)
> また、EZwebでサポートする文字コードはShift-JISです。

144:141
09/02/20 16:44:08
>>142,143
返答ありがとうございます。
Shift-JISに変換して出力するようにします。

ですが、.html拡張子のUTF-8なページは文字化けしないのが疑問のままなのは
ちょっとモヤモヤが残ります。
識者いらっしゃいましたら、引き続きよろしくお願いします。

145:nobodyさん
09/02/20 18:39:08
>>144
header送信はどうやってる？

146:nobodyさん
09/02/20 18:58:54 QkuM0xlT
PHPの中から、apache上で走っているのか
バッチファイル的に使われているのか（シェル上で、php hoge.php）を
判断する方法を教えて下さい

147:nobodyさん
09/02/20 19:04:26
>>146
phpinfo保存してdiffして好きなのを使うとか

148:nobodyさん
09/02/20 19:12:40
>>147
ありがとうございます
それをヒントにして$_SERVERを比較したところ
SHELLというキーが、シェルから呼んだ場合には設定されていました

149:nobodyさん
09/02/20 19:17:35
URLﾘﾝｸ(jp.php.net)
もろそういう用途の関数がありますよ

150:nobodyさん
09/02/20 20:55:16
php_sapi_name()ならpearのgo-pearを参考にしてもいいかも。
URLﾘﾝｸ(pear.php.net)

151:nobodyさん
09/02/20 21:07:24
めちゃめちゃＰＨＰ覚えてきた
自分の才能がｺﾜｲお(´･ω･‘)

152:nobodyさん
09/02/20 21:09:59
ほう，じゃ最近学んだこと何か語ってみてくれ

153:nobodyさん
09/02/20 21:34:19 JGeRmwBm
URLのうち、ドメイン直下の最上位ディレクトリを抽出するにはどうしたらいいですか？
str系の関数組み合わせて3個目の/が何文字目で4個目が何文字目で…
ってやれば出来るでしょうが、非効率というかアホっぽいので、正規表現でバキっと出す方法を
教えてください
よろしく御願いします

154:nobodyさん
09/02/20 21:37:09
>>153
scandirが使えるバージョンならドメイン直下のディレクトリ名を取得すればおｋ
使えないならopendirとreaddirでググレカス

155:nobodyさん
09/02/20 21:44:06
>>141
GWの文字コード変換対象はtext/～から始まるコンテンツのみ。
SSLも変換噛まさないけ

156:nobodyさん
09/02/20 22:16:34
>>152
文字コードがshift-jis、Euc-jpだとSQLインジェクションされる
かといってutf-8は安全？というとそうでもない。

157:nobodyさん
09/02/20 22:24:54
php関係ねー
氏ねや

158:nobodyさん
09/02/20 22:27:27
そ・・・そんなん　必死に覚えてきたお(´･ω･‘)

159:nobodyさん
09/02/20 22:37:43
>>158
世の中にはいくらやっても報われないことが二つある
ひとつは賽の河原の石積み
もうひとつはお前のPHPの勉強だ

160:nobodyさん
09/02/20 23:27:51 r16tK4jF
SQLインジェクション対策は、
基本的に外部入力値をhtmlspecialcharsしていれば良い

って考えは間違い？

161:nobodyさん
09/02/20 23:31:06
>>160
大間違い

162:nobodyさん
09/02/20 23:34:48
htmlspecialcharsで防げるだろ
>>161はhtmlspecialcharsを使用しても抜けられる穴について説明よろ

163:nobodyさん
09/02/20 23:39:40
>>160
htmlspecialchars(,ENT_QUOTES)で防げるのは「Script Injection」。
Javascript埋め込みとかそんなヤツ。

「SQLインジェクション」は別問題。
「PHPサイバーテロの技法」を買って読んどけ。

164:nobodyさん
09/02/20 23:47:18
>>162
LIKEのとこに%とか*突っ込んでみるとか。
select * from table where name like '%' ;

165:nobodyさん
09/02/21 00:28:20
>112
$str = 'でっかい';
$smarty->assign('tag', $str);
$smarty->display('hoge.tpl');

---hoge.tpl---
<body>
{$tag}
</body>

とかいう意味だったら笑う。

>162
>164の変数名のところに「' OR 1=1」と入れるとレコードが全件変数に入り個人情報大暴露大会。
「'; DROP なんたらかんたら」と書くとテーブルがぶっ飛ぶ。レプリケーション先も全部死ぬからサービス復旧不能で店じまい、会社は倒産。
MySQLの設定が甘いと、管理テーブルを書き換えられてroot奪われるとかもあるな。

166:nobodyさん
09/02/21 00:32:30
あーっと、ENT_QUOTESだったか。死んでくる。

167:nobodyさん
09/02/21 00:38:03
>>160
addslashes

168:nobodyさん
09/02/21 00:44:54
>>167
addslashesも大間違い

169:nobodyさん
09/02/21 01:19:11
mysql_escape_string

170:nobodyさん
09/02/21 01:34:53
>>169
それも%とかをエスケープできないので間違い
mysql_real_escape_string

171:nobodyさん
09/02/21 01:47:18
可能な場合常にプレースホルダを使う、でFAだろ
クエリの9割以上はカバーできるはずだ

172:nobodyさん
09/02/21 02:05:10
めんどいから ' と ; は削っちゃえ

173:nobodyさん
09/02/21 02:17:42
mysql_escape_stringって%エスケープしないのか
ありえねーな
likeを使ってなかったらだいじょうぶ？

174:nobodyさん
09/02/21 02:35:53 60WB0UqA
addslashesじゃだめなの？
ある本にmysql_escape_stringより良いって書いてあったのに、早いって。。
純朴な素人をバカにしやがって

175:nobodyさん
09/02/21 02:37:42
お前は何を言ってるんだ
本にWebに書いてあることを鵜呑みにすることが「勉強」じゃないぞ？

176:nobodyさん
09/02/21 02:44:35
何ぬかしてる、mysql_real_escape_string() は非推奨の mysql_escape_string() と機能は同じ
だいたいこの関数はSQLステートメントとして成立する文字列リテラルを作るためのものだ
%を勝手に殺したりする用途に使うもんじゃない

177:nobodyさん
09/02/21 02:45:52
%殺されちゃたまらないな。しかも%なんてSQLインジェクションには使えないだろ
エスケープする必要ない

178:nobodyさん
09/02/21 02:46:31
PDOで解決

179:176
09/02/21 02:46:46
悪いアンカーが抜けていた
>>176は>>170,173へのレス

180:nobodyさん
09/02/21 02:49:17 RWcdEiGu
phpでhtmlのinputのtype="text"でreadonly='true'して
printしているのですが、これってもしreadonlyに対応していない
ブラウザとかだったら変更可能ですかね？ブラウザとか関係なく、
もし確実じゃなければ、それに代わる確実な方法を実現したいのですが
何か方法があれば教えてください。

181:nobodyさん
09/02/21 02:58:27
>>180
変更されてはならないものはクライアントに持たせない
セッション変数なりストレージなりに保持しておく

182:nobodyさん
09/02/21 05:32:46
>>118
phpにおけるexitは強制終了。
それに続くタグとかは、一切実行も表示もされない。

183:nobodyさん
09/02/21 12:05:11
>180
そもそも、ブラウザなんぞ無くともデータは送受信可能だ。
HTTPなんて、テキストデータを送受信してるだけだからな。
クライアントに渡した全ての値は改竄され得るし、クライアントから送信される値は全て信用ならない。
input type="select"の中に、選択肢にない文字列が入ってくるなんてのはよくある事だ。

184:nobodyさん
09/02/21 12:05:51
<select><option>だったか。まあいいや。

185:nobodyさん
09/02/21 13:04:41
ちょっと気になったんだが、>>165が書いている方法も

SELECT * FROM test WHERE name='".htmlspecialchars($_POST["name"],ENTQUOTES)."'

としていれば大丈夫なんじゃないのか？
「%」の件もlike使わなければいいわけだし。
like使う用途って「検索」が多いだろうから、表示されても良いデータだろうし。

186:nobodyさん
09/02/21 13:10:29
>>183
>選択肢にない文字列が入ってくる

てっきりvalueにテキストを挿入してるかと思ったｗｗｗｗ

187:nobodyさん
09/02/21 13:10:58
>>185
そのセンス、感服するわ。
htmlspecialcharsで変換される文字君たちは検索にかからなくなるわけだが、
SQLにlikeを使わなきゃいいって制約を追加するわけだが、

188:nobodyさん
09/02/21 13:14:04
なんでそこまでしてhtmlspecialcharsに拘るのかが理解できない。
mysqlなら何も考えずmysql_real_excape_stringが一番安全確実簡単だろ。
htmlspecialchars使うと、<や>、&のような文字が全部変換されてDBに入力されてしまう。
検索なら対象がうまくヒットしなくなるし、画面表示文字列だとエスケープ/アンエスケープのタイミングを考慮しないといけない。
DBからCSVに書き出したくなったらどう変換すればいいんだ？JavaScriptに渡す時は？

mlsql_real以下略なら、入力データはそのままの形でDBに格納されるし、そのままの形で検索される。この上なく分かりやすい。

189:nobodyさん
09/02/21 13:16:13
>>187
うん？クラスの処理とかすべて書けば良かったか？
単純かしたことに「こいつ馬鹿だwww」と感服したのかもしれないが。

そもそも、出力する時もフィールド指定するだろ。
だから、like使ってもパスワードが漏れないよな。
全件出力されるとか書いてたけど、普通limit指定するし。

>htmlspecialcharsで変換される文字君たちは検索にかからなくなるわけだが
かからなくていいんじゃないか？検索させない場合は、変換入れるだろうが。

190:nobodyさん
09/02/21 13:16:27
未だにDBで何をエスケープしておけばいいかわからないやつ多いよな。

基本的には「'」と「\」だけでいいんだぜ

191:nobodyさん
09/02/21 13:19:03
>>188
「そのままの形で格納されると困る」んだよ。

お前、WEBアプリケーション作ったことあるか？
または、会員制サイト作って誰かに利用させたことあるか？

その際、htmlspecialcharsで変換されない文字があるとどうなるかわかるだろ。
それに、htmlspecialcharsだけでも、CSV出力やJavascript（AJAX）の利用は出来る。

192:nobodyさん
09/02/21 13:25:16
>>189
おいおい、
記事中から、bread&butterって検索したくてもできないじゃないか。

193:nobodyさん
09/02/21 13:26:33
zend server
人柱だれかよろ
URLﾘﾝｸ(sourceforge.jp)

194:nobodyさん
09/02/21 13:27:24
>>191が作ったWebアプリケーションは穴だらけ、バグだらけだろうなぁ。
ご愁傷様

195:nobodyさん
09/02/21 13:27:36
Zendﾜﾛﾀｗｗｗｗｗｗｗｗｗ
よく開発続けられるよなｗｗｗｗｗ不人気なのにｗｗｗｗｗｗｗ

196:nobodyさん
09/02/21 13:29:18
htmlspecialcharsをDBアクセスで使用するバカ
後輩とかに指摘されて恥かくまでずっとやってろ

197:nobodyさん
09/02/21 13:30:31
俺はforeachのことを「フォレーチ」って読んでた
先輩は「フォー・イーチ」って読んでた

別に恥ずかしくないんだからねっ！これからも「フォレーチ」って読むわ

198:nobodyさん
09/02/21 13:32:44
>>191
なぁ、ちょっと確認していいか？
入力->フィルター->エスケープ->DB -> 取り出し-> フィルター -> html適合化 -> 表示
おまえこの流れは理解してるってことでいいんだよな？

199:nobodyさん
09/02/21 13:34:46
xamppに代わる開発環境になるかな？

200:nobodyさん
09/02/21 13:35:45
>>199
ネーミングが悪かったかもしれない
XAMPPは初心者もなじみやすい名前だから、暫くはそっちが流行ると思うな

201:nobodyさん
09/02/21 13:36:24
>191
会員制の課金の発生する、バックエンドでCSVとTSVでレポートを吐くwebアプリを仕事で書いてるが、
・DBに渡す際にPDOのプレースホルダで渡す、あるいはmysql_real_escape_stringなどでクエリを構成する
・画面表示する際にはビューに渡す時点で原則全ての値をhtmlspecialcharsでエスケープ
　（タグを書き出さないといけない箇所や、HTML以外の箇所などの例外は慎重に検討したうえでエスケープせず渡す）
・DBには、例えばフォームからの入力なら入力値がそのままの形で格納される
このルールが一番分かりやすいし、安全だし、汎用性がある。

出力部で「この文字列はDBから来た値だからhtmlspecialcharsは不要、こっちはクライアントからの入力値だから必須…」とかやってると、絶対変換ミスが発生する。
何も考えずルールにさえ従ってさえいれば脆弱性が発生しない事をシステムが担保してくれる形にするのが一番安全なんだよ。
俺はMySQLでの危険文字を全て列挙すら出来ない低能だし、職場には俺以下の屑が溢れているが、このルールに従う限り絶対安全だとシステム側で保障できるコードを組める。

202:nobodyさん
09/02/21 13:41:28
>>198
してるわけないだろ。関数の使いどころすらわかってないんだから

203:nobodyさん
09/02/21 13:41:54
>>201
それでOKなんだけど、>>191はフィルターやバリデーターとDB登録時のエスケープを混同してるらしいからｗ

204:nobodyさん
09/02/21 14:03:40

俺が使ってるサービスで
↓を混同してるプログラマがコード書いてませんように・・・

・DB入力時(SQLインジェクション)
・画面出力時(Scriptインジェクション)

205:nobodyさん
09/02/21 14:14:16
>>193
雑談はネタ不足気味な雑談スレで。
ｽﾚﾘﾝｸ(php板)

206:nobodyさん
09/02/21 14:20:49
>>198
ああ。実際に>>201が書いているようなことはしているよ。
例として>>185みたいな簡単な1行ソース出したから
「こいつ何も知らない馬鹿だなwww」と煽りたい気持ちも分かる。
だが、1から10までここに書けないだろ。

入力時、出力時にそれぞれ適切に変換するのは、初歩中の初歩だと思う。
201がああだこうだ書いてるが、俺は自作クラス作ってDB処理をしているから
変換ミスがどうのこうのはない。

ま、そういう自分の事はどうでも良くて、>>185の意見を出しただけなんだが
なぜか俺自身を煽りたい馬鹿がいるな。そんな事しても無駄だろ

207:nobodyさん
09/02/21 14:22:00
>>185みたいなコードが出てくる時点でお前が一番馬鹿だよ

208:nobodyさん
09/02/21 14:26:20
>>207
>だが、1から10までここに書けないだろ。

ちゃんと読めよ・・・わかりやすいように簡単に書いたって言ってるだろ

それに、htmlspecialcharsで変換しないでそのまま格納したとする
その場合、phpMyAdminなどで管理する時。どうなるかわかるよな？

209:nobodyさん
09/02/21 14:27:37
>>208
こんだけ書かれてまだわかんないのか。
そこでhtmlspecialcharsはおかしいってことだろ。
代わりに何を使うべきか考えてみろ

210:nobodyさん
09/02/21 14:28:10
>>206
荒れるだけだから黙っててくれ。

211:nobodyさん
09/02/21 14:28:10
>>185や>>191みたいなこと書いてたら馬鹿にされるのあたりまえだろ
>>206が仕事ではなく趣味でPHPいじってるだけであることを祈る

212:nobodyさん
09/02/21 14:28:18
>>208
うん、あれはhtmlspecialcharsで変換されて出力されるね
ってかphpMyAdminなんか使ってるのかよ

213:nobodyさん
09/02/21 14:28:48
>>209
わかる・わかんないの、俺に対しての批判はどうでも良いんだよ。
「なぜhtmlspecialcharsは駄目なんだ」って事だ

214:nobodyさん
09/02/21 14:29:08
>>208
phpMyAdminをなめてんの？
別にスクリプトが混入したって何もおきないよ。
もし、そこでスクリプトインジェクションされんならIPA行きだお

215:nobodyさん
09/02/21 14:30:21
>>213
> 「なぜhtmlspecialcharsは駄目なんだ」
既出

216:nobodyさん
09/02/21 14:30:27
お前ら、自分の視野で物事考えすぎだよ。

「phpMyAdminなんて使ってるの？」って言葉がここで出てくると思わなかったぜw
ここのスレの役割考えろや。どうせ個人叩きしかできないくせに。

217:nobodyさん
09/02/21 14:30:31
>>208
全部わかったうえで一部分だけ簡単に書いてます、って言ってるやつの文章じゃないよそれ
結局DB格納時にhtmlspecialchars使ってるんじゃん

218:nobodyさん
09/02/21 14:31:22
>>216
phpMyAdmin → 画面出力時のお話

SQLインジェクションからかけ離れてきました・・・

219:nobodyさん
09/02/21 14:32:07
>>206
> 俺は自作クラス作ってDB処理をしているから変換ミスがどうのこうのはない。
変換とか言ってる段階で、その自作クラスが穴だらけに1000カノッサ

220:nobodyさん
09/02/21 14:36:47
> それに、htmlspecialcharsで変換しないでそのまま格納したとする
> その場合、phpMyAdminなどで管理する時。どうなるかわかるよな？

phpMyAdminは出力時サニタイズをすっかり忘れてる、ってこと？

221:nobodyさん
09/02/21 14:38:07
サニタイズってトイレにでも行く気？

222:nobodyさん
09/02/21 14:38:47
>>185
ENTQUOTES
ENTQUOTES
ENTQUOTES
ENTQUOTES
ENTQUOTES
ENTQUOTES
ENTQUOTES
ENTQUOTES

223:nobodyさん
09/02/21 14:40:08
おまえらとどめは刺さないよなｗｗ

224:nobodyさん
09/02/21 14:40:18
>>219
>>201が「俺はMySQLでの危険文字を全て列挙すら出来ない低能」と
言ってる意味を理解できていない、に1000カノッサ上乗せ

225:nobodyさん
09/02/21 14:46:08
>>185
語る以前にエラーになる件

226:nobodyさん
09/02/21 15:07:41
↓アクセスするとGoogleに飛ぶんですがどういう仕組みですか？
URLﾘﾝｸ(www.yahoo.xxco.jp)

227:nobodyさん
09/02/21 15:11:56
%はあんまり伝わらなかったみたいだなー。
SQLとHTMLでは、特殊な扱いになる文字が違うよってことだけど。

htmlspecialchar()でも問題なく見えるのは、たまたま、だと思ったほうがいいよ。
偶然にも、置き換え対象になる文字がSQLでエスケープが必要な文字と同じだったってこと。

ついでに言えば、エスケープの仕方は実際はDB依存だから
addslashes()じゃなく、DB専用の関数を使ったほうがいい。

228:nobodyさん
09/02/21 15:13:44
>>160 からの流れ、断ち切っておくか・・・

・DBに渡す際にPDOのプレースホルダで渡す、または専用関数(mysql_real_escape_string)でクエリを構成。
・html出力時にhtmlspecialchars(,ENT_QUOTES)をする。

※DBに渡す際にhtmlspecialcharsするのは間違い。
→ 理由 >>188
→ それでも分からない。 >>163の本を読め。

229:nobodyさん
09/02/21 15:18:48
>>226
GET / HTTP/1.1
Host: www.yahoo.xxco.jp
(略)

HTTP/1.x 302 Found
Date: Sat, 21 Feb 2009 06:15:31 GMT
Server: Apache/2.2.9 (Fedora)
X-Powered-By: PHP/5.2.6
Location: URLﾘﾝｸ(www.google.co.jp)
Content-Length: 0
Connection: close
Content-Type: text/html; charset=UTF-8

230:nobodyさん
09/02/21 16:10:53
素人だけど、俺より酷いプロらしき人が入るのを見て安心したような不安になったような…

231:nobodyさん
09/02/21 16:11:49
>>226
xxco.jpの管理人が、
www.yahooo.xxco.jpへアクセスした場合に
「Location: URLﾘﾝｸ(www.google.co.jp)」へリダイレクト(302)するようにしているだけ。

<?php
header('Location: URLﾘﾝｸ(www.google.co.jp)', True, 302);
?>

232:nobodyさん
09/02/21 16:25:04
>>231
サンクス
xxcoってドメインか

233:nobodyさん
09/02/21 16:35:25
べ・・･別に！
僕レンタルサーバー使ってるからね！
エスケープしなくても安全よっ！

234:nobodyさん
09/02/21 19:59:23 230PJjNE
【OS名】MacOS X (MAMP)
【PHPのバージョン】php5.2.5
【連携ソフトウェア】mysql
【質問内容】
Webアプリケーションで、ウィンドウ毎に違う情報を引き継いで処理をしていく物を作っています。
uniqid()でセッションIDを割り振って、formのhiddenに入れると引き継げるのは分かりました。
しかしこれだと、link（aタグ）で機能を選択した場合に、セッションIDが引き継げないように
思います。ですよね？？何か良い方法はありませんか？
リンクのパラメータに追加するとなると、全部のリンクに書き足す必要があって大変だし、
POSTとGETの両方の評価が必要になると煩雑だし、そもそもurlにセッションIDを出すのが
微妙に避けたいので・・・。
お知恵を拝借したいです。よろしくお願いいたします。

235:教えて
09/02/21 20:15:36 1h/i9qY8
これだと1回で20数全部でます。1回1数でかぶらずに20回出したです。
<?php
$numbers = range(1, 20);
shuffle($numbers);
for($i = 0; $i < 20; $i++) {
echo $numbers[$i]." \n";
}
?>

236:nobodyさん
09/02/21 20:16:32
ふつうセッションIDはCOOKIEで渡す
ケータイの場合はGET渡ししかない

237:nobodyさん
09/02/21 20:17:25
>>235
出したんなら良かったな

238:nobodyさん
09/02/21 20:21:23
モバゲーで鳴らした俺はこの程度の日本語崩壊くらいなんて事は無い
モバゲーではこの程度の言語障害者珍しくも無い
マジ日本はどこへ向かうんだ

$numbers = range(1, 20);
shuffle($numbers);

echo array_pop($number);
// なんか処理
echo array_pop($number);
// なんか処理
echo array_pop($number);
…
1ページ内の処理ならこれでいける。
2枚以上の画面にわたって変数を持って行きたいならセッションを使うしかない。

239:234
09/02/21 20:33:28 230PJjNE
>>236
COOKIEですか・・・ちょっと調べてみます。ありがとうございます。
クライアントはパソコンなので、GETでもPOSTでも使えます。
COOKIEでもウィンドウ毎って可能なんですか？

240:nobodyさん
09/02/21 20:38:24
>>239
パソコンならhiddenを使う必要ない。セッションはクッキーが勝手に確立してくれる
GETやらPOSTも意識する必要ない。セッションに少し慣れればすべて解決する

別ウインドウのことを言ってるのだとしても
リンクやフォームから作成された別ウインドウは同一セッションとなる

241:234
09/02/21 20:51:05
>>240
同一セッションでは困るんですが・・・ウィンドウ毎に分けたいので・・・

242:nobodyさん
09/02/21 20:54:07
>>241
であればウインドウごとにID発行してそれをセッションで持ちまわす

243:242
09/02/21 20:58:18
ごめん、うそついた
同一セッションで別ID発行してもセッションが上書きされるだけだからダメか

244:nobodyさん
09/02/21 20:59:36
入力->フィルター->エスケープ->DB -> 取り出し-> フィルター -> html適合化 -> 表示
で質問。
入力->フィルター->エスケープ->DB -> 取り出し->
ここまではわかるが。
その後なんでまたフィルタにかけるの？
while文でたとえば
<? while ( $item = mysql_fetch_array( $result ) ) { ?>
<tr>
<td><?= $item['item_id'] ?><?= $item['item_id2'] ?></td>
<td><?= $item['item_name'] ?></td>
<td><?= $item['author_name'] ?></td>
<td><?= $item['publisher_name'] ?></td>
<td><?= date( 'Y年m月d日', strtotime( $item['release_date'] ) ) ?></td>
<td><?= $item['list_price'] ?></td>
<td><?= $item['sale_price'] ?></td>
<td><?= get_category_name( $link, $item['category_id'] ) ?></td>
<td><?= $item['quantity'] ?></td>
<td><?= $item['state'] ?></td>
<td>
[<a href="admin_edit_item.php?item_id=<?= $item['item_id'] ?>">編集</a>]
[<a href="admin_del_item1.php?item_id=<?= $item['item_id'] ?>" onClick="return confirm( '完全に削除されます。よろしいですか？' )">削除</a>]
</td>
<? $n ++; } ?>
でまわしてはいかんのかね？

245:nobodyさん
09/02/21 21:09:52
>>244
俺も取り出しのあとのフィルターってのはよくわからん
DBには正しいものが入ってるはずだしな
でもhtml適合化は必要だろ。そのコードだとScript実行されるよ

246:234
09/02/21 21:10:06
>>243
そうなんです。>234の様にformかurlに入れれば、
とりあえずウィンドウ毎に別の情報を引き継げます。
だけど、formとurlの両立が難しい。
何か、簡単にウィンドウ毎を識別する方法があれば・・・

247:244です。
09/02/21 21:15:34
htmlspecialcharsか

248:nobodyさん
09/02/21 21:17:49
>234
まったく同一のページを2ウィンドウ開くのならば、URLかPOST値にセッション情報を含めないとダメだな。
手を抜くならセッションキーGET渡しで
・Smarty使ってるならポストフィルタで全サイト内リンクにセッションキーを追加する
・JavaScript経由で全リンクをセッションキー付きに書き換える
辺りか。

リンクを書き換えないなら、複数ウィンドウシステムに入った時点で
index.php/hogehoge/
index.php/fugafuga/
のような固有URLを割り振り、これをセッションキーにするのも手。
index.php/hogehoge/menu から <a href="./information">で
index.php/hogehoge/information に遷移させられるから記述が多少楽になる。
ただし、セッション情報がリクエストヘッダでだだ漏れだし、外部リンクに気を払う必要も出てくる（REFERERで漏れる）。

249:nobodyさん
09/02/21 21:20:12
>>244
>入力->フィルター->エスケープ->DB -> 取り出し-> フィルター -> html適合化 -> 表示
どこにそんなことが書いてある？

入力 -> エスケープ -> DB -> 取り出し -> サニタイズ -> 表示
これでいい

250:nobodyさん
09/02/21 21:26:33
>>249
サニタイズってのは、入力値に不正な値や壊れた文字列が入っていないかをチェックするもの。
やるなら、入力の直後だが、サニタイズって言うと、>>249みたいな誤解をするやつがいるから、
入力後にやるのが、バリデート＋フィルター。

251:nobodyさん
09/02/21 21:28:51
DBからの取り出し後にフィルターを書ける理由
DBってのはデータストア。
収録されたデータをすべて出力していいとは限らないし、
形式によってはフィルターをかける必要がある。jk

252:nobodyさん
09/02/21 21:33:13
>>250
入力段階でチェックするのはvalidate
sanitizeは表示段階で、浄化、つまり悪意のあるスクリプトやタグを無効にするもの

253:nobodyさん
09/02/21 21:43:54
フィルターって要するにバリデートだろ。
エスケープやサニタイズとは別の話題。

254:nobodyさん
09/02/21 21:44:23
>>252
まぁ、そう思っててもいいけどな。
それは、htmlspecialcharsをサニタイズだと思っている子たちの誤解
悪意と善意を確実に識別できるのはどこかを考えれば正解はどっちかわかるはずだが、
困ったことに、サニタイズ≒出力フィルタだと書いちまってるサイトやら本があるからなぁ。

要するに、サニタイズなんて曖昧なメタファーでプログラムを語るなってことだ。

255:nobodyさん
09/02/21 21:45:32
>>253
バリデートはフィルターに含まれる。
エスケープとは別。
で、何が言いたいの？

256:nobodyさん
09/02/21 21:46:05
>>251
具体的にどういうデータだったらそのフィルターとやらをかけるの？放送禁止用語とか？

257:nobodyさん
09/02/21 21:47:37
>>254
htmlspecialcharsもサニタイズの一種だろ。話を難しくしすぎ

258:234
09/02/21 21:48:33
>>248
そうですよね。ありがとうございます。
固有URLの実装方法は分かりませんし、
そもそもフレームワークにCakePHPを使うので、そういうURLなのです。
リンクじゃなくて、全てformのボタンにするのも手ですかねぇ・・・。

259:nobodyさん
09/02/21 21:49:18
>>256
放禁みたいなＮＧフィルター、SNS用の権限フィルター
多端末対策で文字コード変換フィルター
スクリプト許可端末、スクリプト拒否端末用の変換フィルター
タグ許可・不許可
まぁ、なんでもいいでしょ

260:nobodyさん
09/02/21 22:00:32
バリデート
　検証。入力値などに問題が無いかをチェックする（チェックした後どうするかは知らない）。
フィルタ
　入力値をチェックし、ヤバいものは除去する、ないし弾く（エラーにする、無視する）。
サニタイズ
　消毒。転じて無害化。害の無いものにする。変換・置換など無害化の方法は多数あるが。。
エスケープ
　ある環境で特殊な意味を持つ値（HTMLならば<など）を、その環境のルールで規定された別の表現（<）に置き換える。
　ダブルクォート中で"の前にバックスラッシュを置くのもエスケープ。

どれがベストかというと、どの表現も曖昧さが残るので使うべきではない。
DBへの入力の無害化処理と、HTML出力への無害化処理は違うし、無害化の方法も1通りではない。
設計初期などで抽象度を残した表現をしたい時くらいしか使わないな。
>259は文脈を意図的に曲解した例。

261:nobodyさん
09/02/21 22:01:28
>>257
htmlspecialchars=html適合化っていう具体的かつ正確な言葉があるのに、
曖昧かつ誤解に満ちて見解が分かれるサニタイズなんて言葉にする必要はないだろ。

262:nobodyさん
09/02/21 22:01:39
俺だせえ。
＞別の表現（<）に置き換える。
な。

263:nobodyさん
09/02/21 22:05:41
>>260
> ダブルクォート中で"の前にバックスラッシュを置くのもエスケープ
PHPとかJSならエスケープだが、HTML中でこれができると思ってしまう奴もいるらしいからな。

HTML出力時にaddslashesするやつとか、
DBに入れる前にhtmlspecialcharsする奴とか、
入力時に両方処理する奴とか、
ほんと、ウンコだな

264:nobodyさん
09/02/21 23:03:26
>>263
自分のこといってるんですね
わかります。

265:nobodyさん
09/02/21 23:17:26
>>263はうんこ

266:nobodyさん
09/02/21 23:33:28
ほんと、ウンコだな

267:nobodyさん
09/02/21 23:47:51
叩かれる理由のない>>263を叩いてるのは
昼にhtmlspecialcharsの件で叩かれてたやつだろ

268:nobodyさん
09/02/21 23:49:41
>>263はうんこ

269:nobodyさん
09/02/22 00:00:19
>263
良く分からないけどやーいやーいうんこうんこー

270:nobodyさん
09/02/22 00:13:17
うんこを馬鹿にしたやつ全員明日から便秘に悩む。

271:nobodyさん
09/02/22 00:31:09 bY3v8MvV
>>270
のせいで、便秘ではないがうんこが止まらない。
この１時間で４回うんこにいっている

272:nobodyさん
09/02/22 00:34:34
<?=str_repeat( 'うんこ', date('s') )?>

273:234
09/02/22 00:46:35 JUr+Er3M
リンクやPOSTで受け取るデータの他に、元のページから送られてくるデータって
何か無いかな・・・って考えてたら・・・$_SERVER['HTTP_REFERER']が使え
ないかなぁ？って思ったのですが。どうでしょうか？
例えばheaderのmetaとかでreferer urlを変更して、セッションIDを追加したり
とか出来ないでしょうか。
他にも、何か使えそうなデータって無いでしょうか？

274:nobodyさん
09/02/22 01:01:49
>>273
refererは自由に変えられるし、飛ばさないブラウザもあるし信用ならないよ

まず別セッションにしたい理由がわからん
ユーザーに複数セッションを使わせたいという状況は想像できないし
自分が複数セッション使いたいならブラウザもうひとつ立ち上げればよいだけ

275:234
09/02/22 01:27:54 JUr+Er3M
>>274
refererが信用ならないのはおっしゃる通りです。ご指摘ありがとうございます。
リファラ出さないブラウザは対象外って事で良いのです。

複数セッションを使うために、別のブラウザを立ち上げれば済むのもご指摘通り。
自分だけで使うなら、その方が簡単なのですが。

例を挙げると、ウィンドウ１つに一人分の情報を表示／編集できる、マルチ・
ウィンドウの住所録ソフトみたいなものを想定しています。
ウィンドウ毎に別セッションにしないと無理じゃないかと思いました。
他に、定石があるようでしたら教えて下さい。
よろしくお願いいたします。

276:nobodyさん
09/02/22 02:04:13
あなたがたは無職なのに
なんで質問に回答するときはえらそうな
態度なの？

277:nobodyさん
09/02/22 03:06:25 3nGhqmkB
SQLite3 + PDO で、

1つ目のプロセスがトランザクション張ってて、
2つ目のプロセスがトランザクション張ろうとして、
当然１が既にデーターベースをロックしてるから、
２はロックを取得できなくて、そんで
SQLITE_BUSYが帰ってきて、
database is locked
ってわかったとき、
しばらくsleepさせて、リトライ
って処理、どうやって書けばいいの？

どっかにサンプルコードある？

278:nobodyさん
09/02/22 04:28:08
>>277
そこまで分かってるならforなりでいくらでも書けそうだけど・・
具体的にどこが分からないのよ

279:nobodyさん
09/02/22 18:00:44
例えばURLﾘﾝｸ(test.jp)とういうサイトで、
ユーザ登録（ユーザ名をuserで登録）して、ページを開設する
↓
URLﾘﾝｸ(test.jp)　みたいに自分のページができる
↓
このページを誰もがある程度操作できる（お絵かき掲示板とか、ブログのコメ投稿とか）
mixiなどのようにログインページがいらないので次回からこのページは
URLﾘﾝｸ(test.jp)が存在する限り、だれもがこのurlから訪問することができる。

みたいなサイトみて思ったのですが、
1．/user/の部分は実際にサイトの鯖でuser専用のディレクトリやそこに.phpなどを作っているのでしょうか？
2．それとも、apacheだったらhttpd.confなんかで、
URLﾘﾝｸ(test.jp) → URLﾘﾝｸ(test.jp)　みたいな変換をしているのでしょうか？
しかし2．の方法だと、userというページがあるかどうかをどうやって判断しているんでしょう・・
適当に、userid=tekitouとかしてみたときに、URLﾘﾝｸ(test.jp)となってしまい、そのページが
あるかないかの判断はいろんな方法でできると思うのですが、ユーザ登録が増えれば増えるほど
その判断する速度は落ちるような気がしてしまうのです・・

そもそも2の時点で他の方法でユーザを管理しているかもしれません、
上のようなサイトの、ユーザ管理とその引き出しはどう管理しているのか、
大体でもいいので教えていただけないでしょうか
よろしくお願いします

280:278
09/02/22 18:01:32 euIhPE01
id

281:nobodyさん
09/02/22 18:03:04
>>279
今の主流は動的URLを性的URLに変化する

URLﾘﾝｸ(example.com)→URLﾘﾝｸ(example.com)
DBにデータを保存しておいてページのIDで呼び出す

282:nobodyさん
09/02/22 18:09:47 euIhPE01
すいません>>280の名前は279でした

>>281
なるほど、DBを使ってユーザーのページに誰かが訪れるその度に
検索呼び出ししているということでしょうか。
なんかすっきりしましたありがとうございました

283:nobodyさん
09/02/22 18:12:49
>>282
ちなみに毎回DBから同じ情報ひっぱってくるのは負荷かかるから
キャッシュを使ってるのが多いと思う
(ここはまたSmartyとか覚えたときにやってみるといい)

284:nobodyさん
09/02/22 18:16:29 euIhPE01
>>283
Smartyですか、参考に調べてみます
ありがとうございました！

285:nobodyさん
09/02/22 21:21:50 3nGhqmkB
>>278
while で書いたけど、
deadlockになるのです

286:nobodyさん
09/02/22 21:47:52
具体的にどう書いたか見せたほうが答えてもらいやすいと思うが・・
恥ずかしがらないで

287:nobodyさん
09/02/22 21:50:36 3nGhqmkB
>>286
1.php と 2.php と２つのファイルを用意して、
以下のテストを行いました。

「テスト１」
1.phpを単独で実行する　->　OK

「テスト２」
2.phpを単独で実行する　->　OK

「テスト３」
1.php　->　2.php　という順番で実行する　->　deadlock発生

こういう状況です。

288:nobodyさん
09/02/22 21:52:30 3nGhqmkB
1.phpは、トランザクション中に
sleep(10);
をかませて、ゆっくり実行するようにしてあります。

このゆっくりタイムに、いそいで2.phpを実行する、という
テストです。

289:nobodyさん
09/02/22 21:53:36 3nGhqmkB
環境は、PHP5　＋　PDO　+　SQLite3　です。

データーベース構造は、

id | name| value
1 | bond | 5

database name = test1

table name= tb1

です。

290:nobodyさん
09/02/22 21:54:35 3nGhqmkB
1.php　のソースは以下の通りです

<?php
try {
$oDbCxn = new PDO('sqlite:test1');
$oDbCxn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

}
catch (PDOException $e) {
die("Error connecting to DB");
}

$bUpdatePending = true;

while ($bUpdatePending) {
try {
$oDbCxn->beginTransaction();
$oDbCxn->exec("UPDATE tb1 SET value = value + 1 WHERE id = '1'");
sleep(10);

$oDbCxn->commit();

$bUpdatePending = false; // Exit the loop now the update has been done
}
catch (PDOException $e) {
// Update failed. Wait a while before trying again in the next loop
}
}
?>

291:nobodyさん
09/02/22 21:55:09 3nGhqmkB
2.phpは、以下の通りです

<?php
try {
$oDbCxn = new PDO('sqlite:test1');
$oDbCxn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

}
catch (PDOException $e) {
die("Error connecting to DB");
}

$bUpdatePending = true;

while ($bUpdatePending) {
try {
$oDbCxn->beginTransaction();
$oDbCxn->exec("UPDATE tb1 SET value = value + 1 WHERE id = '1'");
$oDbCxn->commit();

$bUpdatePending = false; // Exit the loop now the update has been done
}
catch (PDOException $e) {
// Update failed. Wait a while before trying again in the next loop
sleep(15);
}
}
?>

292:nobodyさん
09/02/22 21:57:20 3nGhqmkB
1.phpと2.phpの違いは、sleep(10)があるか、ないかというだけです。
それ以外は全部同じです。

SQLiteはトランザクション中に、別のトランザクションを発生させようとすると
1秒も待たずに「database　is　locked」になるので、
ウエイト->リトライ、という処理を自分で書かないといけません。

これがイマイチ普及しない最大のポイントだと思いますが、
その処理の書き方についての質問です。

なぜかデッドロックになってしまうのです

293:nobodyさん
09/02/22 21:57:20
え？ループ内にトランザクション？

294:nobodyさん
09/02/22 21:57:55 3nGhqmkB
>>293
だってリトライしないといけないわけだから。
なんか間違ってる？

295:nobodyさん
09/02/22 22:01:33
例外が発生するポイントは、beginかexecか調べた？

296:nobodyさん
09/02/22 22:03:13 3nGhqmkB
>>295
例外は発生しないにょ

ずーーーっと実行中のままになって、
最後にはタイムアウトになるんだにょ

PHPのデフォルトタイムアウトが６０秒だから
60秒でタイムアウトになるにょ

297:nobodyさん
09/02/22 22:04:43
>>296
おいおい、
例外にならなかったら、falseが設定されるでしょうが。
例外をcatchして捨ててるだけでしょうが。

298:nobodyさん
09/02/22 22:06:21
beginTransactionでオートコミットモードがオフになる。
execに失敗する。
もう一度、beginTransactionをかけるが、既にbeginされてるので例外発生
で、またループ。
beginをループの外に出すかcatchしたときにロールバックしてみたらどうかね

299:nobodyさん
09/02/22 22:13:32
EC-CUBEのカスタマイズで1000万て安い？
ちなみに1年、5人担当

300:nobodyさん
09/02/22 22:15:02 3nGhqmkB
>>297
そしたら、catchの中で、
例外をprintするように改造して
もう一回試してみるよ

301:nobodyさん
09/02/22 22:15:38 3nGhqmkB
>>299
一人当たり200万円しかもらえないじゃん

302:nobodyさん
09/02/22 22:17:17 3nGhqmkB
例外を補足するようにコードを改造してみました。

一番下のところに

catch (PDOException $e) {
print( $e->getMessage());
}

って入れただけですけど。

そしたら、以下のようになりました。

303:nobodyさん
09/02/22 22:19:02 3nGhqmkB
１．ｐｈｐ

Fatal error: Maximum execution time of 60 seconds exceeded in
C:\1.php on line 21

（さっきと同じ結果）

--------------------------------------------------------
２．ｐｈｐ

SQLSTATE[HY000]:
General error: 5
database is locked
There is already an active transaction
There is already an active transaction
There is already an active transaction

Fatal error: Maximum execution time of 60
seconds exceeded in C:\2.php on line 28

--------------------------------------------------------
２．ｐｈｐについて、いままで出ていなかった
例外がレポートされるようになりました。

304:nobodyさん
09/02/22 22:22:34 3nGhqmkB
>>298
exec ってオートコミットモードがONでないと使えないのですか？

もしかして、

$sql="UPDATE tb1 SET value = value + 1 WHERE id = '1'";
$sth = $dbh->prepare($sql);//プリペアードステートメント
$sth->execute();//エクスキュート

とかってやればOK？

305:nobodyさん
09/02/22 22:26:36
そうじゃなくて、begin済みなのにbeginするなってこと。
1.phpで例外が出ないで無限ループするのはおかしいからチェックしてみ

306:nobodyさん
09/02/22 22:29:18 3nGhqmkB
>>305
biginをループの外に出したら意味ないのでは？

だってリトライできなくなるし。

307:nobodyさん
09/02/22 22:31:48
>>306
ろーるばっくすればいいじゃん
>>298さんが正解でしょ

308:nobodyさん
09/02/22 22:34:36 3nGhqmkB
とりあえずわけわかんなくなってきたので、
改造済みのコードを改めてはります。

309:nobodyさん
09/02/22 22:35:58 3nGhqmkB
１．ｐｈｐ

<?php
try {
$oDbCxn = new PDO('sqlite:test1');
$oDbCxn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

}
catch (PDOException $e) {
die("Error connecting to DB");
}
$bUpdatePending = true;
while ($bUpdatePending) {
try {
$oDbCxn->beginTransaction();
$oDbCxn->exec("UPDATE tb1 SET value = value + 1 WHERE id = '1'");
sleep(10);

$oDbCxn->commit();

$bUpdatePending = false; // Exit the loop now the update has been done
sleep(1);
}
catch (PDOException $e) {

print( $e->getMessage());
$oDbCxn->rollback();
}
}
?>

310:nobodyさん
09/02/22 22:46:19
1.php側はループさせると、テストにならんから、
実行中のsleepだけでいいことにして、ループ外した方がよさげ。

それから、ロック以外の例外の時も無限ループしちゃうわけで・・・
まぁ、テストだからいいけど。

311:nobodyさん
09/02/22 22:47:07
例外分かってないのでは？

312:nobodyさん
09/02/22 22:48:00
トランザクションも怪しいｗ

313:nobodyさん
09/02/22 23:08:50 3nGhqmkB
>>310
そしたらループはずしてみようかな？

314:nobodyさん
09/02/22 23:17:01 3nGhqmkB
よく考えたら、ロールバックしろ、とかいうアドバイスは無意味だな

だってdatabase　is　lockedっていうエラーが出ているわけだから、
トランザクションをゲットできていないわけだから、
そもそもロールバックなんかしないわけで。

315:nobodyさん
09/02/22 23:19:21 3nGhqmkB
ソースコードを改変したので、
3.phpと４．ｐｈｐということにしました。

３．ｐｈｐ

<?php
try {
$oDbCxn = new PDO('sqlite:test1');
$oDbCxn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
}
catch (PDOException $e) {
die("Error connecting to DB");
}

$bUpdatePending = true;

try {
$oDbCxn->beginTransaction();

$oDbCxn->exec("UPDATE tb1 SET value = value + 1 WHERE id = '1'");
sleep(10);

$oDbCxn->commit();

$bUpdatePending = false; // Exit the loop now the update has been done
sleep(1);
}
catch (PDOException $e) {
print( $e->getMessage());
$oDbCxn->rollback();
}
?>

316:nobodyさん
09/02/22 23:20:11
>>315
前よく「質問」って書いてた人？

317:nobodyさん
09/02/22 23:20:13 3nGhqmkB
４．ｐｈｐ

<?php
try {
$oDbCxn = new PDO('sqlite:test1');
$oDbCxn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

}
catch (PDOException $e) {
die("Error connecting to DB");
}

$bUpdatePending = true;
while ($bUpdatePending) {
try {
$oDbCxn->beginTransaction();
$oDbCxn->exec("UPDATE tb1 SET value = value + 1 WHERE id = '1'");

$oDbCxn->commit();

$bUpdatePending = false; // Exit the loop now the update has been done
}
catch (PDOException $e) {
// Update failed. Wait a while before trying again in the next loop
print( $e->getMessage());
$oDbCxn->rollback();

}
}
?>

318:nobodyさん
09/02/22 23:22:14 3nGhqmkB
３．ｐｈｐ　－＞　４．ｐｈｐ
という順番で実行する流れです

３．ｐｈｐ　－＞１０秒待つ
４．ｐｈｐ　－＞待たないですぐに実行

319:nobodyさん
09/02/22 23:22:53 3nGhqmkB
実験結果

３．ｐｈｐ　エラー無し
カウントアップは成功している

４．ｐｈｐ
SQLSTATE[HY000]: General error: 5 database is locked
カウントアップは成功している

320:nobodyさん
09/02/22 23:36:10 3nGhqmkB
あれ？
もしかして、完成？
成功している？？

321:nobodyさん
09/02/22 23:38:30
>>314
なんか勘違いしてないかい？

322:nobodyさん
09/02/23 00:01:27 DYtiHKsN
これでうまくいった

７．ｐｈｐ　－＞　８．ｐｈｐ
７．ｐｈｐ　wait　１０seconds
８．ｐｈｐ　wait　０

７．ｐｈｐ

<?php
try {
$oDbCxn = new PDO('sqlite:test1');
$oDbCxn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

}
catch (PDOException $e) {
die("Error connecting to DB");
}
$bUpdatePending = true;
while ($bUpdatePending) {
try {
$oDbCxn->beginTransaction();
$oDbCxn->exec("UPDATE tb1 SET value = value + 1 WHERE id = '1'");
sleep(10);
$oDbCxn->commit();
$bUpdatePending = false; // Exit the loop now the update has been done
}
catch (PDOException $e) {
sleep(3);
$oDbCxn->rollback();
}
}
?>

次ページ