markedで安全にMarkdownからHTMLを生成するsafe-marked | Web Scratch

2020/04/20 15 users Markdown Marked Issue HTML 非推奨

MarkdownをHTMLにコンパイルするmarkedは0.7.0でsanitizeオプションを非推奨にしています。 これはサニタイズの処理をmarkedから外す目的です。 Sanitize and sanitizer · Issue #1232 · markedjs/marked このsanitizeオプションの代わりにDOMPurifyを利用することを推奨していますが、 DOMPurifyはブラウザとNode.js両... 続きを読む

Rails の認証プラグイン Devise での Strong Parameters について | EasyRamble

2014/01/29 25 users Rails EasyRamble devise パラメータ

公式の devise readme を中心に、Rails4 で Devise を使う際の Strong Parameters について調べたのでまとめました。 — 環境 — Rails 4.0.1 Devise 3.2.2 Devise の3つのアクションと許可パラメータ ビューをカスタマイズする場合、新しい属性をフォームに追加する場合があります。Rails4 はパラメータのサニタイズをモデルから... 続きを読む

バリデーション、エスケープ、フィルタリング、サニタイズのイメージ - 徳丸浩のtumblr

2013/12/10 118 users tumblr alert script バリデーション 文脈

バリデーション、エスケープ、フィルタリング、サニタイズの用語は分かりにくいので、イメージで説明します。 "><script>alert(‘xss’);</script> という入力文字列が、それぞれどうなるかを示します。 ※1 厳密な定義ではありません（要件や文脈により変化します） ※2 バリデーションという用語は非常に幅があります（ここの「名称補足」参照）。 ※3 サニタイズという用語は非常に幅... 続きを読む

徳丸浩の日記: 悪いサニタイズ、良い(?)サニタイズ、そして例外処理

2012/04/03 126 users 徳丸浩 エントリ 誤解 結論 アプローチ

2012年4月3日火曜日 悪いサニタイズ、良い(?)サニタイズ、そして例外処理 先日のエントリ「処理開始後の例外処理では「サニタイズ」が有効な場合もある」は、素材の消化不足、私の表現の未熟等から、一部で誤解を招いてしまったようで申し訳ありません。アプローチを変えて、サニタイズについてもう一度考えてみたいと思います。結論から言えば、悪いサニタイズはあっても、「良いサニタイズ」はないと考えます。しかし... 続きを読む

徳丸浩の日記: 処理開始後の例外処理では「サニタイズ」が有効な場合もある

2012/03/29 248 users kazuho セキュアプログラミング エントリ 徳丸浩 結論

このエントリでは、脆弱性対処における例外処理について、奥一穂氏(@kazuho)との会話から私が学んだことを共有いたします。セキュアプログラミングの心得として、異常が起これば直ちにプログラムを終了することが推奨される場合がありますが、必ずしもそうではないというのが結論です。 はじめに Webアプリケーションの脆弱性対策では、脆弱性が発生するのはデータを使うところであるので、データを使う際の適切なエ... 続きを読む

徳丸浩の日記: 処理開始後の例外処理では「サニタイズ」が有効な場合もある

2012/03/29 248 users kazuho セキュアプログラミング 徳丸浩 エントリ 結論

2012年3月30日金曜日 処理開始後の例外処理では「サニタイズ」が有効な場合もある このエントリでは、脆弱性対処における例外処理について、奥一穂氏(@kazuho)との会話から私が学んだことを共有いたします。セキュアプログラミングの心得として、異常が起これば直ちにプログラムを終了することが推奨される場合がありますが、必ずしもそうではないというのが結論です。 はじめに Webアプリケーションの脆弱... 続きを読む

高木浩光＠自宅の日記 - WASF Times版「サニタイズ言うな！」

2007/02/04 155 users 高木浩光 近頃 原稿 承諾 Webアプリケーション

■ WASF Times版「サニタイズ言うな！」 技術評論社の「Web Site Expert 」誌に、Webアプリケーション・セキュリティ・フォーラム関係者の持ち回り企画「WASF Times」が連載されている。私の番も回ってきたので昨年9月発売号に寄稿させていただいた。近頃はサニタイズ言うなキャンペーンもだいぶ浸透してきたようだし、もういまさら不要という気もするが、以下、その原稿を編集部の承諾... 続きを読む

「サニタイズ言うなキャンペーン」私の解釈

2006/11/28 256 users 高木浩光さん 解釈 概念 技術文書 見分け方

高木浩光さんの「サニタイズ言うなキャンペーン」 という言葉自体はずいぶん前から存在したのだが、 続・「サニタイズ言うなキャンペーン」とはにて高木さん自身がいくつも誤解の例を挙げているように、 そしてまた最近も 駄目な技術文書の見分け方 その1にて「まだわからんのかね」と言われているように、 「わかりにくい」概念なんだろうとは思う。 そこで、僭越ながら、「サニタイズ言うなキャンペーン」について、 私... 続きを読む

高木浩光＠自宅の日記 - サニタイズ言うなキャンペーン」とは何か

2005/12/28 115 users 高木浩光 キャンペーン 自宅 日記

■ プログラミング解説書籍の脆弱性をどうするか 印刷されて流通する書籍に脆弱性がある、つまり掲載されているサンプルコー ドにズバリ脆弱性があるとか、脆弱性を産みやすいコーディングスタイルを身 につけさせている解説があり、それが脆弱なプログラマを生産し続ける根源に なっている問題は、「なんとかしないといけないねえ」と以前から言われてき た。 ソフトウェア製品の脆弱性は、指摘があればパッチが提供された... 続きを読む