PHP – ページ 5 – yohgaki's blog

Computer, Development, PHP Security, Programming

PHP7のタイプヒントベストプラクティス

4月 10, 2015 #PHP, #セキュアコーディング技術投稿者 yohgaki

PHP 7から基本的なデータ型（整数型、浮動小数点型、配列型）タイプヒントが追加されます。直感的に書くコードと正しいコードには乖離があります。PHP7でタイプヒントを使う場合のベストプラクティスを紹介します。

タイプヒントとタイプヒントの問題点については前回のブログを参照してください。

Computer, Development, PHP Security, Programming, Security

PHP7とjson_decodeとjson_encodeの困った仕様 – 数値型データの問題

4月 8, 2015 #JSON, #PHP, #セキュアコーディング技術投稿者 yohgaki

PHP7からint/float/arrayの基本的データ型のタイプヒントが導入されます。タイプヒントには困った問題があります。その問題を更に複雑にするjson_decode関数のデータ型変換問題があります。

JSONデータの数値型データ※が特定の型に変換される問題はPHPのjson_decode関数に限った問題ではなく、JSONを利用する処理系を作る全ての開発者が注意すべき問題です。

※正確には数値型データと書くより「数値型リテラル」と記述するべきですが、「数値型データ」とします。

Computer, Database, Development, PHP Security, Programming, Secure Coding, Security

PHP7で追加される整数型、浮動小数点型タイプヒントの問題点

3月 30, 2015 #JSON, #MySQL, #PHP, #PostgreSQL, #SQLite, #セキュアコーディング論理投稿者 yohgaki

PHP7では整数型、浮動小数点型、配列型のタイプヒントが追加されます。データ型をより厳格に取り扱うようになるのは良い事ですが、データ型を変換してしまうため問題となる場合もあります。

データ型は指定した型に変換すればよい、という単純な物ではありません。私はデータ型を変換しない方のRFCを支持していました。残念ながらこちらのRFCでなく、問題が多い方のRFCが採用されることになりました。

参考

PHP7のタイプヒントの使い方

Computer, Development, Misc, Other, Programming

PHPポケットリファレンス改訂第三版

3月 24, 2015 #PHP 投稿者 yohgaki

PHP5.6にも対応したPHPポケットリファレンス改訂第三版が今月初め頃から購入可能になっています。こちらの案内もブログを書く時間がなく、ここに記載できていませんでした。

[改訂第3版]PHPポケットリファレンス（アマゾン）
［改訂第３版］PHPポケットリファレンス（電子版）（技術評論社）もっと読む

Misc, Other, Security

Webアプリケーションセキュリティ対策入門の付録を更新

3月 23, 2015 #PHP 投稿者 yohgaki

既に執筆してから10年ほど経っている「Webアプリケーションセキュリティ対策入門」ですが、サンプルコードがおかしいという指摘がありました。しばらく前からWikiに載せているのですが、時間がなくブログは書いていませんでした。

http://wiki.ohgaki.net/sample

コードが随分おかしいという指摘は今まで私にまで届いておらず、何かバグがあったのだろうくらいに思ってっていました。しかし、実際にコードを見てみるとおかしなことだらけで、とんでもないミスをしていがことが分かりました。

Computer, Development, PHP Security, Security

ホスト名バリデーションのやり方

2月 4, 2015 #PHP, #入力バリデーション投稿者 yohgaki

徳丸さんのブログで私のブログ「GHOSTを使って攻撃できるケース」にコメントがあったようなので、好ましいホスト名バリデーションの方法を書いておきます。

特定の低レベルAPIのバグが10年ほど前に書いた本のコードで対応できていない、と議論するのもどうかと思いますがしっかりチェックする場合の例を書いておきます。

Computer, Development, Programming

PHP7の新しいセッションモジュールの性能

1月 28, 2015 #PHP 投稿者 yohgaki

PHP7用の新しいセッションモジュールの準備ができたので紹介します。かなりの性能向上が期待できます。

Computer, Development, Programming

PHP7の現状

1月 26, 2015 #PHP 投稿者 yohgaki

PHP7が今年の秋リリースされる予定です。まだまだ多くの変更が行われる予定ですが、現状を簡単にまとめてみたいと思います。代表的な物のみ取り上げています。

ご存知ない方の為に書いておきます。現在リリースされているPHPはPHP5です。次のPHPはPHP7になり、PHP6はリリースされません。PHP6をUnicodeをネイティブ文字列としてサポートするバージョンとして開発されましたが、文字エンコーディングチェックを内部で自動的に行おうとするなど、無駄が多く遅いため破棄されました。（文字エンコーディングのバリデーションは本来アプリでするものです）このため、PHP6はスキップされ次のPHPはPHP7になります。

追記：PHP7.0は既にリリースされています。概要はPHP 7.0の概要・新機能・互換性、詳しくはマイグレーションドキュメントをご覧ください。

Computer, Database, Development, Security

速いアプリケーションの作り方

12月 18, 2014 #Framework, #Phalcon, #PHP, #Zephir, #ベンチマーク投稿者 yohgaki

Phalcon Adventカレンダー18日目として書いています。

一台のアプリケーションサーバーで10リクエスト/秒で十分というサービスであれば、どんなプラットフォームを選んでも問題ありません。一台のサーバーが10リクエスト/秒しか処理できなくても、ページがキャッシュできるならリバースプロキシで簡単に数千リクエスト/秒以上でサービスできます。このようなサービスであればPhalconのようなフレーワムワークを使わなくても大丈夫です。

しかし、メッセージング系などリアルタイム性の高いサービス、つまりHTTPキャッシュがあまり有効に利用できないシステムでは速度が非常に重要です。

Computer, Development, Programming

Phalcon PHPとSails Node.jsのベンチマーク

12月 17, 2014 #Framework, #JavaScript, #Node.js, #Phalcon, #PHP, #Zephir, #ベンチマーク投稿者 yohgaki

以前にフレームワーク対決：Node.js+SailsとPHP+PhalconのベンチマークとしてPhalconとSailsのベンチマークを行ったのですが、Apacheを利用した場合のPhalconの性能が全く違うので取り敢えずブログに書きます。

このエントリはPhalcon Adventカレンダー17日目として書きました。少し前に設定がおかしいことに気づいて非公開にしていた物を修正しています。

Computer, Development, Programming

Phalcon 1.3 と 2.0のベンチマーク

12月 15, 2014 #Framework, #Phalcon, #PHP, #ベンチマーク投稿者 yohgaki

Phalcon Adventカレンダー15日目のエントリです。Phalcon 1.3と2.0でどの程度性能差があるか簡単なベンチマークを取ってみました。

Computer, Development

Phalcon2.xのRPMパッケージを作る

12月 4, 2014 #Framework, #Phalcon, #PHP 投稿者 yohgaki

このエントリはPhalcon PHP Advent Calendar 2014 4日目のエントリです。2日目としてPhalcon 1.xのRPMパッケージを作っています。今回はPhalcon2のRPMパッケージをphp-phalcon2.xパッケージとして作ります。多分動くと思いますが、ほとんどテストしていないので問題があったらコメントをお願いします。

php-phalconとphp-phalcon2パッケージは同時にインストールできないので注意してください。

Computer, Development, PHP Security, Programming, Secure Coding

PHP/Apache httpdのファイルアップロード/ダウンロード処理

12月 3, 2014 #PHP, #セキュアコーディング技術投稿者 yohgaki

最近、ファイルアップロード／ダウンロード対策に関する検索が増えているようなので書きました。PHPの場合、スクリプトがアップロードされ実行されてしまうと致命的です。アップロードされたファイルを公開ディレクトリに保存することは好ましくありあせん。しかし、既にそうなっているアプリケーションの場合、改修が困難な時もあります。このような場合もより安全に利用できる設定を紹介します。

参考：「スクリプトアップロード対策」も合わせてどうぞ。

Computer, Development

Phalcon PHPのRPMパッケージを作る

12月 2, 2014 #Framework, #Linux, #Phalcon, #PHP 投稿者 yohgaki

PHP最速フレームワークのPhalconですが、RPMパッケージを使ったシステムへのインストールは最速ではありません。Ubuntuの場合、パッケージがあってapt-getで一発インストールできるのですが、デフォルト／EPELリポジトリにはRHEL/CentOS/Fedora用のRPMパッケージはありません。そこでPhalconのRPMパッケージを自分で作る手順を紹介します。

このエントリはPhalcon PHP Advent Calendar 2014 2日目のエントリです。

追記：SRPMファイルのダウンロードリンクを忘れていました。次のURLでダウンロードできます。