2018/08/16)Stefanさんのブログによると、MOPBのおかげでリファレンスカウンタ、allow_url_include(とallow_url_fopen)のセキュリティホールがやっと修正されることになったようです。ブログの内容はリンク先を見ていただくとしてMOPBの成果として修正された問題についてコメントします。Cacheとか)と言う理由で未修整のままでした。Streamが導入された際に標準入力のストリームがallow_url_fopen(当時はallow_url_inlcudeは無く、この機能だけでも数年後に追加されました)がinclude文に対して機能しない、したがってセキュリティ上問題がある、としたBugレポートがストリーム導入後直ぐにありました。私は”当然”その問題はすぐに修正されたもの、と思っていたのですが修正されていませんでした。修正されていない事を1年半か2年くらい前に知りました。DBにはXFormなど場合「標準入力ストリームを使えないとこまる」という理由にもならない理由付けがされていたのですが、恐らくそれが理由で修正されなかったのだと思います。修正される前にもallow_url_fopenがINI_SYSTEM(システムレベルの設定でのみ設定変更可能)に変更されたりしていました。これはセキュリティ上意味が無い上、多少でも安全に利用できるように設定しようとするプログラマには至極迷惑な仕様変更でした。後にallow_url_includeが追加されたので前の状態よりはよくなったのですが、この実装も中途半端だったのでセキュリティホールは残ったままになっていました。く理解していないと思われます。直す気がなかった問題2つが正しく修正されることになり何よりです。今すぐできる、Webサイトへの2要素認証導入JSONPは危険なので禁止そもそもエスケープとは何なのか?PHP文字列のエスケープPHPのHTMLエスケープ紹介エレクトロニック・サービス・イニシアチブのWebシステムのコンサルタントのブログです。PHPの開発、PHP4.x/5.xレガシーPHPセキュリティパッチサービスなどを行っています。ブログのサブタイトルを「書かない日記」としているのは、ブログを始めた時にあまり書かないつもりで始めたのでこのサブタイトルになっています。yohgaki@ohgaki.net私が記述したブログ中のコードは記載が無い場合はMITライセンスです。その他のコードは参考リンクなどのライセンス情報を参照ください。