cvs: phpdoc-ja /security cgi-bin.xml errors.xml intro.xml magicquotes.xml

takagi Sun May 3 23:13:43 2009 UTC Modified files: /phpdoc-ja/security magicquotes.xml intro.xml errors.xml cgi-bin.xml Log: sync with en.

http://cvs.php.net/viewvc.cgi/phpdoc-ja/security/magicquotes.xml?r1=1.12&r2=1.13&diff_format=u Index: phpdoc-ja/security/magicquotes.xml diff -u phpdoc-ja/security/magicquotes.xml:1.12 phpdoc-ja/security/magicquotes.xml:1.13 --- phpdoc-ja/security/magicquotes.xml:1.12 Sun Mar 8 10:10:22 2009 +++ phpdoc-ja/security/magicquotes.xml Sun May 3 23:13:43 2009 @@ -1,6 +1,6 @@ <?xml version="1.0" encoding="utf-8"?> -<!-- $Revision: 1.12 $ --> -<!-- EN-Revision: 1.12 Maintainer: shimooka Status: ready --> +<!-- $Revision: 1.13 $ --> +<!-- EN-Revision: 1.13 Maintainer: shimooka Status: ready --> <!-- CREDITS: hirokawa --> <chapter xml:id="security.magicquotes" xmlns="http://docbook.org/ns/docbook"> <title>マジッククオート</title> @@ -75,31 +75,27 @@ </sect1> <sect1 xml:id="security.magicquotes.why"> - <title>なぜマジッククオートを使用するのか</title> + <title>なぜマジッククオートを使用していたのか</title> &warn.deprecated.feature-5-3-0.removed-6-0-0; <itemizedlist> - <listitem> - <simpara> - 初心者にとって便利 - </simpara> - <simpara> - PHPに実装されたマジッククオートは、初心者により書かれたコードを危険から - 守る手助けとなります。 - マジッククオートをonにした場合でも - <link linkend="security.database.sql-injection">SQLインジェクション</link> - は可能ですが、そのリスクは減少します。 - </simpara> - </listitem> - <listitem> - <simpara> - 便利 - </simpara> - <simpara> - データベースにデータを挿入する際、マジッククオートは暗黙のうちに - <function>addslashes</function>を全てのGET/POST/Cookieデータに - 行います。 - </simpara> - </listitem> + <listitem> + <simpara> + もはやマジッククオートを使う理由はありません。 + PHP ではサポートされなくなるからです。以前は確かに存在し、 + 特に意識せずによりよい (安全な) コードを書けるという意味で + 一部の初心者の助けとなっていました。 + しかし、この挙動を前提としたコードを見かけたときは + マジッククオートをオンにするよりコードそのものを書き換えるほうがいいでしょう。 + </simpara> + <simpara> + ではいったい、なぜこんな機能が存在していたのか? + 単純に、<link linkend="security.database.sql-injection">SQL インジェクション</link> + を防ぐためというだけの理由です。 + いまどきの開発者はセキュリティに対する意識が向上しており、 + マジッククオートなどという機能に頼るよりも + データベース自体のエスケープ機能やプリペアドステートメントを使った方がよいことに気づいています。 + </simpara> + </listitem> </itemizedlist> </sect1> http://cvs.php.net/viewvc.cgi/phpdoc-ja/security/intro.xml?r1=1.3&r2=1.4&diff_format=u Index: phpdoc-ja/security/intro.xml diff -u phpdoc-ja/security/intro.xml:1.3 phpdoc-ja/security/intro.xml:1.4 --- phpdoc-ja/security/intro.xml:1.3 Fri Jun 22 14:32:58 2007 +++ phpdoc-ja/security/intro.xml Sun May 3 23:13:43 2009 @@ -1,6 +1,6 @@ <?xml version="1.0" encoding="utf-8"?> -<!-- $Revision: 1.3 $ --> -<!-- EN-Revision: 1.5 Maintainer: hirokawa Status: ready --> +<!-- $Revision: 1.4 $ --> +<!-- EN-Revision: 1.6 Maintainer: hirokawa Status: ready --> <chapter xml:id="security.intro" xmlns="http://docbook.org/ns/docbook"> <title>はじめに</title> <simpara> @@ -9,7 +9,7 @@ として実行される場合でも、ファイルをアクセスしたり、コマンドを実行 したり、サーバーへのネットワーク接続を開くことができます。デフォル トでは、これらの機能を実行した場合、Webサーバー上でセキュリティ上の - 問題を生じる可能性があります。PHP は、特に CGI プログラムを書く場合、 + 問題を生じる可能性があります。PHP は、特に <acronym>CGI</acronym> プログラムを書く場合、 Perl や C より安全な言語となるように設計されています。コンパイル時 または実行時の設定オプションを正しく選び、適切なコードを書くことに より、必要な自由度とセキュリティの組み合わせを確実に提供することが http://cvs.php.net/viewvc.cgi/phpdoc-ja/security/errors.xml?r1=1.5&r2=1.6&diff_format=u Index: phpdoc-ja/security/errors.xml diff -u phpdoc-ja/security/errors.xml:1.5 phpdoc-ja/security/errors.xml:1.6 --- phpdoc-ja/security/errors.xml:1.5 Fri Jun 22 14:32:58 2007 +++ phpdoc-ja/security/errors.xml Sun May 3 23:13:43 2009 @@ -1,6 +1,6 @@ <?xml version="1.0" encoding="utf-8"?> -<!-- $Revision: 1.5 $ --> -<!-- EN-Revision: 1.9 Maintainer: shimooka Status: ready --> +<!-- $Revision: 1.6 $ --> +<!-- EN-Revision: 1.10 Maintainer: shimooka Status: ready --> <!-- CREDITS: hirokawa --> <chapter xml:id="security.errors" xmlns="http://docbook.org/ns/docbook"> @@ -49,7 +49,7 @@ <title>一般的なデバッグ変数を探す</title> <programlisting role="php"> <![CDATA[ -<form method="POST" action="attacktarget?errors=Y&amp;showerrors=1"&debug=1"> +<form method="post" action="attacktarget?errors=Y&amp;showerrors=1&amp;debug=1"> <input type="hidden" name="errors" value="Y"> <input type="hidden" name="showerrors" value="1"> <input type="hidden" name="debug" value="1"> @@ -96,8 +96,8 @@ この問題を事前に防止する手段の一つは、PHPに組み込まれている <function>error_reporting</function>機能を使用することです。これにより、 コードを安全にするための手がかりが得られ、危険と思われる変数が使用 - されている部分をみつけることが可能です。実使用の前にE_ALLを指定して - コードをテストすることにより、変数が他の手段で汚染されたり、修正さ + されている部分をみつけることが可能です。実使用の前に <constant>E_ALL</constant> + を指定してコードをテストすることにより、変数が他の手段で汚染されたり、修正さ れたりする可能性がある部分を簡単に見つけることが可能です。 実使用の準備ができた際には、あなたのコードをプローブから保護するために <function>error_reporting</function> を 0 に設定するか、&php.ini; http://cvs.php.net/viewvc.cgi/phpdoc-ja/security/cgi-bin.xml?r1=1.5&r2=1.6&diff_format=u Index: phpdoc-ja/security/cgi-bin.xml diff -u phpdoc-ja/security/cgi-bin.xml:1.5 phpdoc-ja/security/cgi-bin.xml:1.6 --- phpdoc-ja/security/cgi-bin.xml:1.5 Fri Jun 22 14:32:57 2007 +++ phpdoc-ja/security/cgi-bin.xml Sun May 3 23:13:43 2009 @@ -1,6 +1,6 @@ <?xml version="1.0" encoding="utf-8"?> -<!-- $Revision: 1.5 $ --> -<!-- EN-Revision: 1.5 Maintainer: hirokawa Status: ready --> +<!-- $Revision: 1.6 $ --> +<!-- EN-Revision: 1.6 Maintainer: hirokawa Status: ready --> <chapter xml:id="security.cgi-bin" xmlns="http://docbook.org/ns/docbook" xmlns:xlink="http://www.w3.org/1999/xlink"> <title>CGI バイナリとしてインストール</title> @@ -12,7 +12,7 @@ PHP を <acronym>CGI</acronym> バイナリとして使用するのは、PHP を モジュールとして(Apache のような)サーバーソフトウエアに組み込み たくない何らかの理由がある場合や安全な chroot と setuid 環境をス - クリプトに提供する他の CGI ラッパーと組み合わせて PHP を使用する + クリプトに提供する他の <acronym>CGI</acronym> ラッパーと組み合わせて PHP を使用する 場合の設定オプションです。セットアップ時には、通常、PHP 実行バイ ナリを Web サーバーの cgi-bin ディレクトリにインストールします。 CERT 勧告 <link xlink:href="&url.cert;">CA-96.11</link>は、いかなるイ @@ -103,7 +103,7 @@ </sect1> <sect1 xml:id="security.cgi-bin.force-redirect"> - <title>ケース 2: --enable-force-cgi-redirect を使用</title> + <title>ケース 2: <literal>--enable-force-cgi-redirect</literal> を使用</title> <simpara> このコンパイル時のオプションは、 <filename role="php">http://my.host/cgi-bin/php/secretdir/script.php @@ -159,8 +159,8 @@ PHP スクリプト用ドキュメントルートを設定することができます。 または、環境変数 <envar>PHP_DOCUMENT_ROOT</envar> でも設定する ことができます。 - これを設定した場合、CGI 版の PHP は、 - 常に開くファイルの名前をこの <parameter>doc_root</parameter> + これを設定した場合、<acronym>CGI</acronym> 版の PHP は、 + 常に開くファイルの名前をこの <parameter>doc_root</parameter> リクエストのパス情報を用いて作成し、 (以下の <parameter>user_dir</parameter> を除き、)確実に このディレクトリの外側でスクリプトが実行されないようにします。