Q&A
参考リンクを教えていただきありがとうございます！
まずは.htaccessやphp.iniに直接設定すべきですね。
保険的に header() と ini_set() を記述することでオーバーヘッド等問題が生じる訳ではないのなら、書いておいても良いのかな？と思いましたがどうでしょう。
Laravelで入出力時と内部処理での文字エンコーディングの確認について。
入力時
mb_check_encoding() による確認処理はどこに記述すべきでしょうか。
ミドルウェアで全リクエストに対して行うべきですか。
内部処理
コントローラなどに明示的に文字エンコーディングを指定する必要はありますか。
それ以外で思いつくのは、
config/database.php で使用DB(MySQL)の文字エンコーディングに合わせる。
PHP
1'charset' => 'utf8mb4', 2'collation' => 'utf8mb4_general_ci',
出力時
Bladeファイルの先頭にheader関数でContent-Typeを指定しています。
Laravelでheaderやini_setはどこに書くべきでしょうか。
PHP
1@php 2 header('Content-Type: text/html; charset=UTF-8'); 3 header('X-FRAME-OPTIONS: SAMEORIGIN'); 4 header('X-Content-Type-Options: nosniff'); 5 header('X-XSS-Protection: 1; mode=block'); 6 ini_set('session.cookie_httponly', 1); 7 ini_set('session.cookie_secure', 1); 8@endphp 9 10<!DOCTYPE html> 11<html lang="ja"> 12 <head> 13 <meta charset="utf-8">
PHPの設定
php.iniで default_charset = “UTF-8” としています。
文字エンコーディングのセキュリティー対策について、不十分な部分があれば併せて教えてください。よろしくお願いします。
回答2件
0
ベストアンサー
基本的な前提として、文字エンコーディングによるセキュリティ的な攻撃をすることは、昔と比べずいぶんと難しくなっています。その理由は以下のとおりです。
- 各コンポーネントの内部のチェックが強化された（例: htmlspecialchars、ブラウザ…）
- 文字エンコーディングをUTF-8で統一することが一般的になった
残る大物としては MySQL があり、以下のような攻撃が可能でしたが…
こちらも、MySQLのデフォルト設定の改善や、utf8mb4を使うケースが増えた（絵文字対応が主な理由かと思いますが）ため、再現されるケースは減りつつあると思います。
とはいえ、保険的な対応として、文字エンコーディングの検証を入力時に行うことは重要です。保険的な対応なので、すべてのリクエストについて網羅的に実施しておくべきでしょう。
なので、以下の質問に対する答えは、yes になります。
ミドルウェアで全リクエストに対して行うべきですか。
他については、特に思い当たる点はありません。
投稿2019/03/24 06:18
総合スコア11701
0
少し古いし、Rails に対しての記事ですが、基礎を知るのによくできているので紹介します。
フレームワークに見る Web セキュリティ対策
本質問にあるヘッダに対しての以下の考え方は参考になるかと。
HTTP のヘッダは、ミドルウェアやフレームワークのレイヤで、デフォルトのものを指定し、追加として開発者が明示的に指定するという分離が通常であり、その意味では下層は「余計なヘッダを追加しすぎない」のが行儀の良い実装と言える。
しかし、こうしたセキュリティのヘッダについては、影響範囲を考えた上で有効にする場合がある。どのヘッダをどの値でデフォルトとするかはデファクトがあるわけではないため、フレームワークの方針や対象としている用件によって変わる。
要件次第ではありますが、提示されているヘッダと ini に関しては、Web サーバや php.ini 内で設定することを検討してみると良いと思います。
投稿2019/03/24 10:23
退会済みユーザー
総合スコア0
cookie は設定として上書きされるので問題ないと思います。
「header」は実装として正しくなくなる可能性があります。
手元で確かめてないですが、重複した指定で「header」は 2 回出力（2箇所で出力）されたと思います。
そういった問題があるのですね。ありがとうございます。
あなたの回答
tips
プレビュー
バッドをするには、ログインかつ
こちらの条件を満たす必要があります。
2019/03/24 08:45
2019/03/24 09:14
2019/03/24 09:47