ajavさんのﾌﾞﾛｸﾞ

ウェブプログラムの定跡 Public Domain & Link Free

Tue, 31 Aug 2010 02:34:49 +0900

「ウェブプログラムの定跡」
・HTMLとDBの文字コードはUTF-8
・JavaScriptでダブルクリックを防止
・テキストボックスの数が1つだけの場合はエンターキーをテキストボックスに入れるとブラウザが送信してしまう仕様なので回避するため2つのダミーのテキストボックスを非表示で用意
・HTMLファイルの最後でJavaScriptファイルを読み込ま無いとJavaScriptのElementが動作不良
・DBの表にミリ秒以上のタイムスタンプ型の最終更新日時の列をLAST_UPDATEという名前で用意
・DBの表から最終更新日時を含む更新前の内容を読み込んでセッションへ保存(し画面へ表示)
・DBの表の内容を更新する時にSQLのUPDATE文のWHERE句でセッションの最終更新日時とDBの最新の最終更新日時が全く同じかを条件にすると更新行数で他の人が先に更新したか判断可能

HTMLエスケープ Public Domain & Link Free

Mon, 30 Aug 2010 16:02:31 +0900

「HTMLエスケープ」
他のHTMLエスケープより先に&を&に置換
<を<に置換
>を>に置換
"を"に置換
'を'に置換

プログラムの安全対策 Public Domain & Link Free

Mon, 30 Aug 2010 15:45:17 +0900

「プログラムの安全対策」
・XSS対策でHTMLを作る時にHTMLエスケープ
・XSS対策でHTMLのテキストの部分だけ可変
・XSS対策でHTMLのタグやタグの属性値を可変にし無い
・サーバー側で妥当性検査
・パスワードは見せ無い
・パスワードは6文字以上
・暗号化されたパスワードを通信
・ウェブはSSLでパスワードを通信
・パスワード設定とログイン以外の時はパスワードを通信し無い
・暗号化されたパスワードを保存して内部統制
・仮パスワードは6文字以上
・仮パスワードは安全な乱数で作成
・JavaはSecureRandomで仮パスワードを作成
・セッションハイジャック対策でセッションのタイムアウトを5分以上15分以下に設定
・セッションハイジャック対策でログイン時に新しいセッションを作成
・SQLインジェクション対策
・JavaはPreparedStatementでSQLインジェクション対策
・XPathインジェクション対策
・LDAPインジェクション対策
・OSコマンドインジェクション対策
・ディレクトリトラバーサル対策
・Windowsの予約デバイス名対策
・UTF-8へURLエンコードされた文字をHTTPヘッダに設定してHTTPレスポンス分割対策
・JavaはURLEncoderでUTF-8へURLエンコードされた文字をHTTPヘッダに設定してHTTPレスポンス分割対策
・URLのクエリストリングでパスワードを通信し無い
・URLのクエリストリングでは可能な限りIDだけを通信
・POSTデータでは可能な限りIDだけを通信
・クッキーにはセッションIDだけを設定
・メールフォームの踏み台対策
・フォームのスパム対策
・JavaのサーブレットコンテナかアプリケーションサーバはセッションIDを安全な乱数で作成
・URLリライティング

例えばJavaScriptをHTMLのaタグのhref属性値に書けてしまいます。

IEはHTMLのタグのstyle属性値といったCSSでJavaScriptを解釈してしまいます。

クライアント側の妥当性検査は余計な通信の回避が目的です。

PreparedStatementは%と_といったSQLのワイルドカードを\でエスケープし無いです。

HTTPアップロードでHTTPヘッダを設定します。

プログラムの法則 Public Domain & Link Free

Mon, 30 Aug 2010 09:16:40 +0900

「プログラムの法則」
・7個以下
・一連の内容は200行以下
・1行に詰め込ま無い
・名前は35文字以下
・8秒以上待たせ無い
・一連の行動は5分以上15分以下
・動画は1秒間40静止画
・動画は25ミリ秒間隔1静止画

一定の範囲内で変数の数は7個以下に可能な限り抑えます。　

引数の数は7個以下に可能な限り抑えます。

8個以上の場合は人が誤る確率が多く成ります。

200行以上の場合は人が誤る確率が多く成ります。

200行以上の場合は人が誤る確率が行数に比例します。

セッションのタイムアウトは5分以上15分以下に設定します。

セッションのタイムアウトが5分以下の場合はセッションが途中で切れる確率が多く成ります。

セッションのタイムアウトが15分以上の場合はセッションをハイジャックされてしまう確率が多く成ります。

人は1秒間40静止画の動画をなめらかに感じます。

1秒＝1000ミリ秒

1000÷40＝25

人は25ミリ秒間隔1静止画の動画をなめらかに感じます。