Tyzohブログ Tyzoh（タイゾウ）

Tyzohブログ - ikarashiさんのエントリ

ikarashiさんのエントリ配信

2007/06/26

[Secure-SBM:016] View セキュアフィルタ

カテゴリ: 技術開発日記 : Secure-SBM :

執筆者: ikarashi (5:20 am)

こんにちは，五十嵐です．ブックマーク登録の続きを書くつもりでしたが，プログラムが多くなる前にクロスサイトスクリプティング (XSS) 対策をやっておきます．View::TT のフィルタの機能を使って， < や > などを "<" や ">" と出力するようにします．入力されたデータにスクリプトなどが含まれている場合の対策です．

フィルタの詳しい説明は「Template::Manual::Filters - Standard filters」に書かれています．もっとも必要と思われるのは "html" フィルタです．
引用：

Converts the characters '<', '>', '&' and '"' to '<', '>', '&', and '"' respectively, protecting them from being interpreted as representing HTML tags or entities.

これで，一応，XSS 対策がとれます．html_entity というフィルタもありますが，これを使うと日本語もすべてコードに変換されてしまいます．試してみましたが，decode 処理が必要になりますので，html フィルタを使うことにしました．entity については W3C の「24 Character entity references in HTML 4」を参照するとよいでしょう．

全ては書きませんが，データベースからの output を次のように変更します．
root/template/admin/listroles_center.tt

@@ -70,7 +70,7 @@
 <tr><td><button id="editrole_button[% role_v.role_id  %]">
        編集</button></td>
        <td><button id="deleterole_button[% role_v.role_id %]">
         削除</button></td>
        <td align="right">[% role_v.role_id %]</td>
-       <td>[% role_v.role_name %]</td>
+       <td>[% role_v.role_name | html %]</td>
 </tr>
 
 <tr>

ポイントは，データベースからの出力部分に，"html" というフィルタをかけていることです．これをおこなう前は，スクリプトがそのまま出力されてしまいましたが，これによってスクリプトの実行などを抑えることができます．しかし一方で，出力それぞれに perl のフィルタが呼ばれるので，実行速度が遅くなるという欠点があります．

2007/03/26,27 記

注：ブログの内容は，開発途中で記述しているため，現在の実装とは異なる場合があります．

参考：

Secure-SBM Version 0.2.0 リリース (2007/06/25 Tyzoh ブログ )
Secure-SBM Ver. 0.2.0 ダウンロード
Template::Manual::Filters - Standard filters
Secure-SBM: Secure Social BookMark - dev.tyzoh.jp (Tyzoh 開発サイト )
[Secure-SBM:011] データベース管理処理 (4) (2007/06/06 Tyzoh ブログ )
[Secure-SBM:012] いよいよ認証 (2007/06/12 Tyzoh ブログ )
[Secure-SBM:013] ひと休み (2007/06/14 Tyzoh ブログ )
[Secure-SBM:014] 各コントロールへの認証 (2007/06/18 Tyzoh ブログ )
[Secure-SBM:015] ブックマーク登録(1) (2007/06/20 Tyzoh ブログ )

[Secure-SBM:017] ブックマークの登録(2)(2007/06/27 Tyzoh ブログ )
[Secure-SBM:018] ブックマークの削除と編集(2007/07/02 Tyzoh ブログ )
[Secure-SBM:019] タグによる検索 (2007/07/03 Tyzoh ブログ )
[Secure-SBM:020] ロール処理 (2007/07/06 Tyzoh ブログ )
[Secure-SBM:021] Firefox/IE7 用検索バー (2007/07/09 Tyzoh ブログ )

Keyword: Perl Catalyst Secure-SBM SSBM セキュア・ソーシャル・ブックマーク

ikarashiさんのブログを読む | コメント (0) | トラックバック数 (0) | 閲覧数 (3347)

前のエントリ | 次のエントリ

Trackback is not accepted now.

投稿された内容の著作権はコメントの投稿者に帰属します。

Tyzoh.jp