普通だったら文字エンコーディングのチェックとかすると思います。この入力フィルタがデフォルトで有効になってないかというと、公式ドキュメントが「そんなことより出力フィルタが先だ」って言ってた気がする。最終的に出力フィルタで全部エスケープするよ。XSSフィルタさぁ、なんて読むだろうか。クロスサイトスクリプティングと読むらしい。ちなみに、Fuelのセキュリティ機能1の出力フィルタでやった危ないサンプルがあったけど、あれがXSSです。出力フィルタで使用しているhtmlentitiesだけでは対処が難しい場合、Securityクラスが用意している「xss_clean()」っていう関数を使えばいいらしいです。htmLawedというライブラリを使用してるらしいです。なんでもかんでもタグ文字とかをエスケープするのではなく、危険なコードを安全なものに直したりするらしいんですがショウジキヨクワカラナイシシュツリョクフィルタニタヨリッキリナノデパスデオネガイシマス。//以下サンプル3つ。action_index(){//以下サンプル3つ。View::forge('sec_test_view.smarty',$data,false);}}各3つのサンプルの2行目、xss_clean()の行をコメントアウトしたりして動作を確認できます。1つ目はスクリプト実行によりアラートが出てきます。フィルタに通すと「<SCRIPT></SCRIPT>」を取り除いてくれます。2つ目はそのまま表示されます。全てのタグを取り除くわけではないようです。3つ目はフィルタを通すと「javascript」の前に「deny:」を付けて無効化(?)してくれたりします。href=・・・」とか小文字に直してくれて残してくれます。FuelPHPの公式ドキュメントには、「パフォーマンスの理由」により個別の変数に対して使用することを推奨しているようです。それよりもなによりも出力フィルタを優先すべきだと言ってるので、出力フィルタをオフにしないように心がけたい。(検証)バリデーションは、あらかじめ作って置いたルールに基づき変数を検証することです。使い方はこちらを参照してください。フォームの作成とDBの使い方4.CSRF保護このCSRF、クロスサイトリクエストフォージェリって言います。XSSと似てますが違います。割愛〜〜></form>Viewで作ってます。Config::get(〜〜〜)で「security」の「csrf_token_key」の値を取得します。デフォルトでは「fuel_csrf_token」という文字列になってます。Security::fetch_token()でトークンを生成しています。各フォームの値と一緒に送信します。"トークンが一致しません。"トークンが一致しません。有効なリクエストだぁ";メッセージが長くてうざいけど、チェックする処理自体は非常に短いです。)バージョンアップで強化されていくことを願いましょう。セキュリティって言葉ってなんだ?っていうゲシュタルト崩壊が起きてきそうです。内でファイルされています。経由してこの投稿に対するコメントをフォロー出来ます。両方を受け付けています。(0)関連記事この投稿のコメントフィード関連する投稿が見つかりませんでした。RSSフィードページのトップへ。