[PHP-users 30150] Re: ご意見等をよろしくお願いいたします

[IITAKA TOSHIKAZU]

飯高です。

早速のご意見を、ありがとうございます。

私の方でも見てみましたところ、やはり特に
インストーラーにおいては、おっしゃるような
問題がありますね。

それからSQLインジェクションについては、
基本的にはescape_stringとかをしておけば、回避
できるわけですよね。

私は、基本的に、HTMLのフォームからテキストボックスや
テキストエリアで入力してもらうところにしか、
エスケープ動作をしていないわけですが、「それ以外の
ところもきちんとしておけ」ということでよろしい
でしょうか？

（多分、クローズドの場合は、よっぽど高度な
やりくちでなければ、試験データが全部消されたり
することはない、と思います。
ですが確かに、ソースを公開したからには、この点も
注意すべきですね。）

いやそれから、DBへのコネクトに失敗した場合にnoticeが
でないようにする方法が正直よくわからなかったわけ
ですが、error_reporting() などでを駆使すれば、
回避できるということでしょうか？

もう少し詳しく教えていただければ、近日中に修正したい、
と思います。

あまりはっきりは批判しにくいようでしたら、
個人宛にお便りをいただいても結構です。

ご意見をどうもありがとうございます。

飯高敏和

--- Kiryu Tsukimiya <kiryu ＠ angelicwing.net> wrote:

> 月宮です。
> 軽くソースコードのレビューを行いました。
> 特に気になった点がいくつかあります。
> 
> ・外部から来た変数を未確認で使用している
> 基本的に、外部からきた値を無条件で信用してしまうのはよ
くありません。
> 最低限、PHPのエラーレベルをE_ALLに設定してnoticeが出な
いようにした方がいいと思います。
> 
> ・SQLインジェクション
> 全てのソースコードを確認したわけではありませんが、
> ほぼ全てのSQLについてSQLインジェクションがある気がしま
す。
> このまま動作させた場合、気がついたらテストが全て消され
てしまったり
> 平均点が100点になってしまったりするかもしれません。
> 
> 他にもツッコミどころは色々あるんですが、とりあえずこん
なところで・・・。
> 
> /**
>  Kiryu Tsukimiya : tsukimiya ＠ gmail.com
>  WebSite : http://angelicwing.net/
>  */
> 
> 
> 06/08/27 に IITAKA TOSHIKAZU<iitaka2 ＠ yahoo.co.jp>
> さんは書きました:
> > 皆様
> >
> > ご無沙汰いたしております。
> > 筑波大学の飯高敏和です。
> >
> > 今回は、教育用のWEBアプリを作成いたしましたので、
> > ご紹介さしあげます。
> >
> > 基本的な機能は、テスト問題のデータバンクにデータを
> > 登録して、そこからデータを好きな組み合わせで
> > 抜き出して、テストを行うというものです。
> >
> > ソースはPHPで書いてあり、
> >
> mySqlでもPostgresでも動作する設計にはしてあります。
> >
> > 特に、教育用のプログラムにご興味のおありの方は、
> > ためしに使ってみていただければ、と存じ上げます。
> >
> > http://iitaka.no-ip.infoからダウンロードできます。
> >
> > ご意見等をいただけましたらば、うれしく思います。
> > よろしくお願いいたします。
> >
> > 飯高敏和
> >
> >
> >
> > --------------------------------------
> > For All Sports Lovers!
> > http://pr.mail.yahoo.co.jp/yells/
> > _______________________________________________
> > PHP-users mailing list  PHP-users ＠ php.gr.jp
> > http://ns1.php.gr.jp/mailman/listinfo/php-users
> > PHP初心者のためのページ -
> 質問する前にはこちらをお読みください
> > http://www.php.gr.jp/php/novice.php3
> >
> _______________________________________________
> PHP-users mailing list  PHP-users ＠ php.gr.jp
> http://ns1.php.gr.jp/mailman/listinfo/php-users
> PHP初心者のためのページ -
> 質問する前にはこちらをお読みください
> http://www.php.gr.jp/php/novice.php3
> 


--------------------------------------
For All Sports Lovers!
http://pr.mail.yahoo.co.jp/yells/