Jeans CMS 製作日記 自分のための次世代CMS製作メモ

先の記事もそうであるが、セキュリティー対策のためのコードをいくつか追加したので、改めてメモ。

１）SQLインジェクション対策
　sql::query()メソッドで、簡易プリペアードステートメントを使う。MySQL5やPostgreSQLほど本格的なプリペアードステートメントではないが、この方法でほぼ１００％、SQLインジェクションは防げる。SQLステートメントでフィールド部分を入力値にしたがって変更したい場合は、core::fill()メソッドを用いて正規表現でホワイトリスト形式で入力値をチェックしながら値を挿入する。

２）XSS対策
　core::echohtml()メソッドで、プリペアードステートメント様の機能が使える。正規表現で入力値をチェックすることも可能。

３）リモートスクリプトインクルード対策
　クラス名を適切に選んでおけば、PHPファイルのインクルードはコアが自動的に行ってくれる。include, require などのステートメントを使うことはほとんどないはず。

４）ディレクトリトラバーサル対策
　file_exists()の代わりに、core::checkFile()メソッドを使用する（下のコードを参照）。

５）ヌルバイト攻撃対策
　リクエストにヌルバイトがあると、コア呼び出し時に自動的に停止する（先の記事のコードを参照）。

coreクラス

static public function checkFile($dir,$file){
    if (strpos($fullpath=realpath($dir.$file),realpath($dir))===0) return file_exists($fullpath);
    exit('Are you trying the directory traversal?');
}