回答編集履歴
3
追記
answer
CHANGED
|
@@ -27,4 +27,33 @@
|
|
|
27
27
|
- なるべくヘルパーを使う
|
|
28
28
|
- CSRFコンポーネントとセキュリティコンポーネントは、原則すべてのフォームで有効にする
|
|
29
29
|
- フォームの入力値はバリデートする
|
|
30
|
-
- findなどのSQLインジェクションセーフな関数を使う
|
|
30
|
+
- findなどのSQLインジェクションセーフな関数を使う
|
|
31
|
+
|
|
32
|
+
----
|
|
33
|
+
|
|
34
|
+
**(追記) コメント欄の追加の説明をここに記載します**
|
|
35
|
+
|
|
36
|
+
> 今使っているのはCakephp2.7.7なのですが、このバージョンでもフォームヘルパーを使えば自動でCSRF対策は行われるのでしょうか？
|
|
37
|
+
|
|
38
|
+
Cakephp2のCSRF対策は、Securityコンポーネントの一部なので、このコンポーネントを有効にすれば対策されます。出力されたHTMLの<form>内にtokenが追加されるので見てみたり、値を変更してpostしてみるといいと思います。
|
|
39
|
+
|
|
40
|
+
> 第二に、マニュアルを読んだのですが、フォーム改ざん防止のところに
|
|
41
|
+
•フォームに新規フィールドを追加することはできません。
|
|
42
|
+
•フォームからフィールドを削除することはできません。
|
|
43
|
+
•hidden フィールドの値を更新することはできません。
|
|
44
|
+
と記載されていますが、ラジオボタン、セレクトボックスなどは使うことができるのでしょうか？
|
|
45
|
+
（テキストしかダメということではないですよね？）
|
|
46
|
+
|
|
47
|
+
基本的にはFormヘルパーで出力したフィールドは大丈夫ですが、javascriptなどで動的にフィールドを追加するような処理があるなら改ざんをみなされてしまいます。そういう場合は、Formヘルパーの[unlockField](http://book.cakephp.org/2.0/ja/core-libraries/helpers/form.html#FormHelper::unlockField)で定義しておけば回避できます。hiddenの更新もこれを使えばできるようになります。
|
|
48
|
+
|
|
49
|
+
> htmlの書き方ではだめで、echo $form->createのようにフォームヘルパーを使わないとダメという認識でよろしいのでしょうか？
|
|
50
|
+
|
|
51
|
+
はい、基本的にformの出力は全部Fromヘルパーを使う必要があります。
|
|
52
|
+
|
|
53
|
+
> また、mysqlからデータを取り出してくるのは、自分の場合はすべてfindでやっているので、既にSQLインジェクションの対策は施してあると捉えていいんですよね？
|
|
54
|
+
|
|
55
|
+
はい、いいと思います。試しにパラメータをもらうfindがあるなら、シングルコーテーションなどエスケープしないとエラーがでる文字を渡してみるとわかると思いますよ。
|
|
56
|
+
|
|
57
|
+
> もしかしたら確認するまでもない初心者がにじみ出てる疑問ですみません、不安なもので。
|
|
58
|
+
|
|
59
|
+
必ずご自身でテスト（不正な処理を実施）してみるといいと、理解も深まりますし、不安もなくなると思いますよ
|
2
追記
answer
CHANGED
|
@@ -26,4 +26,5 @@
|
|
|
26
26
|
- h()は、必要な箇所にはすべてやる
|
|
27
27
|
- なるべくヘルパーを使う
|
|
28
28
|
- CSRFコンポーネントとセキュリティコンポーネントは、原則すべてのフォームで有効にする
|
|
29
|
+
- フォームの入力値はバリデートする
|
|
29
30
|
- findなどのSQLインジェクションセーフな関数を使う
|
1
追記
answer
CHANGED
|
@@ -18,4 +18,12 @@
|
|
|
18
18
|
|
|
19
19
|
> セキュリティコンポーネントを使うと他にどのような攻撃を防げるのか、
|
|
20
20
|
|
|
21
|
-
セキュリティコンポーネントについては[マニュアル](http://book.cakephp.org/3.0/ja/controllers/components/security.html)に詳細な記載があるのでこれをよく読むといい思います。特にフォーム改ざん防止は、利用者がフォームを改ざんして不正処理することを防いでくれるので、個人的にはとても便利だと思います。
|
|
21
|
+
セキュリティコンポーネントについては[マニュアル](http://book.cakephp.org/3.0/ja/controllers/components/security.html)に詳細な記載があるのでこれをよく読むといい思います。特にフォーム改ざん防止は、利用者がフォームを改ざんして不正処理することを防いでくれるので、個人的にはとても便利だと思います。
|
|
22
|
+
|
|
23
|
+
----
|
|
24
|
+
|
|
25
|
+
ちなみに、自分は以下のようにすることが多いです。
|
|
26
|
+
- h()は、必要な箇所にはすべてやる
|
|
27
|
+
- なるべくヘルパーを使う
|
|
28
|
+
- CSRFコンポーネントとセキュリティコンポーネントは、原則すべてのフォームで有効にする
|
|
29
|
+
- findなどのSQLインジェクションセーフな関数を使う
|