「なぜPHPアプリケーションにセキュリティホールが多いのか？」をテーマにした技術評論社のブログ風の記事を書いています。
一番新しい
http://gihyo.jp/dev/serial/01/php-security/0008
ですが、自分で防いだつもりのセキュリティホールは実は防いだ事になっていなかった、アプリケーションが多く在りました。というより今でも作り続けられています。原因は「サニタイズ」による脆弱性の回避であるものが多いです。なので「サニタイズ」ではなく「バリデーション」と「適切なエスケープ」によって対策すべきです、と書きたかったのですが「エスケープ」の部分を書いてないですね。バリデーションの時に説明するつもりですが、確かに尻切れとんぼのような感じです。
編集の方からこんな感じなのですがどうなんでしょう？メールが来ていました。
http://b.hatena.ne.jp/entry/http%3A//gihyo.jp/dev/serial/01/php-security/0008
と言う感じで何やら否定的なコメントが多いようです。
最初に
今回は熟練したWebアプリ開発者なら常識のクロスサイトスクリプティング対策の落とし穴を紹介します。
と書いているのですがどうも「熟練のWebアプリ開発者なら常識」としている前提が伝わっていなかった？のか記事自体に問題がある？のか理由がいまいち分かりません。
ブックマークしている方を見るとセキュリティ系で有名な方もいます。初心者向けのブログなのであまり一般受けしないエントリはこのブログの方が多はずです。（と言ってもこちらにもあまり役に立つことはあまり書いてませんが）いまいち理由がよくわからないのでもし知っている方教えてください。
