webアプリでjsonのデータをユーザーに見えないようにしたい

###前提・実現したいこと
mysqlから取得したデータををPHPからjavascriptにjson形式の文字列型で渡していますが
このjsonのデータをユーザーに見えないようにしたいです。
※

###発生している問題・エラーメッセージ
以下のソースの「 $jsonStr = json_encode( $db_data );」で、データベースの中身が
ずらりと表示されてしいます。

###該当のソースコード
PHP,html,javascript

<html> <head> <meta http-equiv="Content-Type" content="text/html;charset=UTF-8" /> <title>PHP DBAccess TEST</title> </head> <body> <?php //DBへの接続 $mysqli = new mysqli("XXXXXXXXx.ne.jp", "db", "password", "dbmain"); if(mysqli_connect_errno()){ die('接続失敗です。'.mysqli_connect_error()); } print('<p>接続に成功しました。</p>'); //処理 $sql = "SELECT id, FROM datamain"; unset($db_data); if ($result = $mysqli->query($sql)) { while ($row = $result->fetch_assoc()) { $db_data[] = $row; } $result->free(); } //JSON形式で出力する $jsonStr = json_encode( $db_data ); // mysqli_close : DB切断 $close_flag = mysqli_close($mysqli); if ($close_flag){ print('<p>切断に成功しました。</p>'); } else { die('切断失敗です。'); } ?> <script> var maindata = JSON.parse('<?php echo $jsonStr; ?>'); document.write(maindata[2]['id']) </script> </body> </html>

###試したこと
ajaxを使えば解決するのかとか考えましたが、試していません。
ajaxの使用経験はありません。

###補足情報(言語/FW/ツール等のバージョンなど)

行動規範の内容に同意します

回答4件

ベストアンサー

もし懸念しているのが、id（各データに振られた一意な値）を見られて勝手に
編集画面なり管理画面からデータを改ざんされるという事なら、その画面を
なんらかの認証の仕組みで保護するべきであって、idを隠す事では解決にはなりません。

閲覧者はこのページのidが34064だということを知っていますが
勝手に質問を改ざんしたりはできません。システム側から質問者本人ではないと
区別が付いているためです。

もし実際にはidではないなら、どういう性質のものかを明記しておけば
より適切な回答が得られるかもしれません。

投稿2016/05/04 16:01

nnssn

総合スコア1221

inupoint

2016/05/04 17:23

DBを丸ごと奪われることを懸念しています。ソースにはありませんが、そういったページIDを管理しているのではなく、簡単に言うと、スクリプトで作ったクイズの答えをDBで管理しています。本来ajaxで実装するのがよさそうですが、今考えているのは、PHPで都度データを取得し PHPから変数でスクリプトに渡してやることを考えています。

inupoint

2016/05/04 17:23

ご回答いただきありがとうございます！

inupoint

2016/05/04 17:30

DBは答えだけでなくアプリケーションに関する大切なデータを管理しているので丸ごと持ってかれるのは辛いというのが本音です。

nnssn

2016/05/05 12:34

確かに、クイズの答えなら見られただけでアウトですね... アプリケーションの大切なデータに関しては、SELECT q, a FROM datamain みたいな感じで取得するカラムを限定すれば大丈夫だと思います。それで答えのほうですが、これはユーザーの手の届く場所に置く以上暗号化なり難読化なりを施しても基本的には見られるものと割り切るしかないのかなあと。そこが厳しいなら、成否の判定部分はajax化してサーバー側で行うという形になると思います。

inupoint

2016/05/06 12:39

ご回答いただきありがとうございます。 >それで答えのほうですが、これはユーザーの手の届く場所に置く以上 >暗号化なり難読化なりを施しても基本的には見られるものと >割り切るしかないのかなあと。 DBを丸ごと渡すのではなく、PHPとmysqlである程度DBデータを編集して最小限のデータをスクリプトに渡す方法を選択しました。 jsonで丸ごとDBを渡す方法よりはかなりましですが、ユーザーに答えを見られるのは仕方ないことかもしれません。

inupoint

2016/05/06 12:47

ご回答いただきましたとおり、現在はajaxで判定部分を実装すること検討しております。

行動規範の内容に同意します

手っ取り早い安直な手段で、本当に悪意のある攻撃者には意味のない対策のためオススメはしません。という前置きの上、さらに bad を押されてしまうかもしれませんが笑

パッと見のソース上で隠蔽したいだけならbase64でエンコードして echo で出力、スクリプト側でデコードしてから利用すればいいのでは？と思います。さらに、jsonを扱うjavascriptを難読化しておけば、ライトな攻撃者くらいは該当のjsonを探ることを諦めてくれるでしょう。

これは、webサイトの種類や、その上でどこにコストをかけるのかにもよりますが、正直言ってB2Cなメーカーの商品webサイトくらいならそのくらいの対策で十分だと思います。

エンコード、デコードは以下のようなサイトで試してみてください。
http://www.url-encode-decode.com/base64-encode-decode/

投稿2016/05/04 13:29

bleurouge

総合スコア161

inupoint

2016/05/04 14:08

ご回答いただきありがとうございます。自分の現状のスキルから考えて、このあたりが落としどころかもしれません。いい方法が見つからない場合、bleurougeさんの方法で検討させていただきます。ご教授いただきありがとうございました。

行動規範の内容に同意します

表示されるのは

PHP
1echo $jsonStr;

とプログラムで表示しているからで、
見せたくないならコメントアウトすればいいんじゃ?
とか思うんですが、なんか勘違いしてんかなあ。

投稿2016/05/04 12:06

takasima20

総合スコア7458

inupoint

2016/05/04 12:38

試してみましたが、このプログラムの場合は、やはりechoが必要でした。でも、表示しなければいいという発想は必要な発想でした。回答ありがとうございました。

takasima20

2016/05/04 12:53

//JSON形式で出力するの下のやつをいったつもりですが、ひょっとして <script> の下のやつを消したりしてませんか?

inupoint

2016/05/04 13:20

ソースを表示したときの話で、$jsonStr = json_encode( $db_data )の部分について言及しています。わかりづらい質問ですみません。すみません。この一文は消すべきでした。

inupoint

2016/05/04 13:21

＞<script> の下のやつを消したりしてませんか? そこだと思ってやってました。

takasima20

2016/05/04 14:16

理解しました。そういう話なら、 $jsonStr = json_encode( $db_data ); の前に必要なデータだけ絞り込んでやればいいんじゃないかと。

inupoint

2016/05/04 14:32

そうですね。PHPでパースして…っていう流れも検討していろいろ試してみます。ご教授いただきありがとうございました！

行動規範の内容に同意します

$jsonStr 全部を渡さず、 maindata[2]['id']の元となるデータのみ渡せばイイ。

投稿2016/05/04 11:28

退会済みユーザー

総合スコア0

inupoint

2016/05/04 11:40

回答ありがとうございます。何分初心者なもので、まだいまいち納得に行かない点がございます。確かにそうですが…やはり、javascriptを使う以上難しいことなんですかね。 Webアプリを開発するばあい、このような場合の対処はデータを小出しにする方法で DBの情報を保護すると…。しかし、そうすると、webページを再度読み込む必要が出てきて…できれば一度に取得したいのですが…Web開発においてDBのデータを保護することは難しいことなんでしょうか。

退会済みユーザー

2016/05/04 11:52

言っていることがよくわかりませんが、データを部分的に変更させたいのであれば、ajaxで実現すればいいです。 DBのデータ保護ってなにを指しています？

inupoint

2016/05/04 12:01

ソースに書いてない部分があったので、わかりませんよね。すみません。実際にはmaindata[2]['id']だけではなくて、1000近いレコードを一度にプログラムで使用します。やはり、ajaxでDBにアクセスする方法ならばユーザーにDBの中身を公開することなく、webアプリが実現できそうですね。＞DBのデータ保護ってなにを指しています？ JSON.parse('<?php echo $jsonStr; ?>'); で表示される部分ではDBから取得してきたデータの中身がすべてユーザーに公開されてしまいますが、それを防ぎたいです。

退会済みユーザー

2016/05/04 12:16

php で $josnStr に全てのデータを入れているので、その中で必要な物を $jsonStr に改めて入れてあげるか、または別の変数で渡すかするのが一般的です。そもそも１つのphpファイルの中で、わざわざjsonで渡す意味がわからないので、何かのプログラムを見ながら試行錯誤しているのだと思いますが。。。何か根本的に間違っている気がするので、サンプルプログラムでも探して眺めてみてはいかがですか？DBから情報を取り出して表示するのなら、掲示板プログラムとかが参考になると思います。まぁ、それ以外も大概はDBへアクセスするので何でも良いとは思いますが。

inupoint

2016/05/04 12:53

＞そもそも１つのphpファイルの中で、わざわざjsonで渡す意味がわからないのでそうですか…ご指摘の内容の意味はわかりませんが、何か一般的な方法ではないのでしょう。＞何か根本的に間違っている気がするおそらくそうでしょう、なんとなく自分でもそう思います。すべて独学で一般的にどうしてるかなかなかわからず苦戦しています。初心者用の書籍でも探してみてみます。＞掲示板プログラムとかが参考になると思いますそうですか。ありがとうございます。ちょっと探してみて眺めてみます。おそらくその辺が近道でしょう…。すこし解決のとっかかりができました。ご回答ありがとうございました！

行動規範の内容に同意します

あなたの回答