常連

注目の的

社会貢献

拍手喝采

自己紹介

有名人

いつもお世話になっております。

リリースしたサービスがユーザー数が増え始めたため、そろそろISO27001の取得などに踏み出そうかというフェーズになりました。

それで、いろいろ調べたり取得コンサルの方に話をきいたのですが、
ISO27001もプライバシーマークも「**実際にセキュアなシステムとなっていること」**のレビューというより「**セキュアなシステムを運用できる体制ができているか**」のレビューなんじゃないかと感じました。

そういったマークを取得することも重要なのですが、**実際問題システムがセキュアになっていることにもお金とパワーをかけたい**と考えています。

そういった場合、どのように進めていくのが常套手段なのでしょうか？

例えば、[IPAのガイドラインの確認](https://www.ipa.go.jp/security/vuln/websecurity.html)などは行っているのですが、
できれば第三者レビューなどがあると安心して進められるなと考えています。

フワッとした質問で申し訳ないのですが、どんな小さなことでも構いませんので、ご意見いただけますと大変助かります。

スタートアップが行えるセキュリティ対策

###前提・実現したいこと

低価格帯のレンタルサーバー
OSやApacheの細かい設定などは触れないが、phpMyAdminなどは使用可
で
PHP5 + MySQL5
にて若干の個人情報をデータベースに持つようなシステムを構築したいと思ってます。
(ログインして情報を登録、編集、削除、閲覧するようなもの)

そこでセキュリティ面で知識不足ですので、皆さんがどのようにセキュリティ強化されているか、最低限ここまで必須や可能ならここまでしていればOKなどの内容があればお聞きしたいです。

###試したこと

PHP側では、

ログインパスワードの(複数回ストレッチング？)ハッシュ化
```PHP
for( $i=0; $i<100; $i++ ) {
$hash = hash ( "sha256", $hash . "パスワード" . "キーとなる文字列" );
}
```
のような形でハッシュ化を試しました。
例えば100回とした場合にこの回数とキーが漏れなければ良い対策なのかなと思ってます。

また、PDOにて、プレースホルダを用いてプリペアドステートメントを実行する、という形を試しました。

```PHP
$sql = "SELECT * FROM `member` WHERE id = :member_id";
$stmt = $pdo->prepare ( $sql );
$stmt->bindValue ( ':member_id', ( int ) $member_id, PDO::PARAM_INT );
```

###不明点と不安点

まずは、上記のようなPHP対策での不足点などお聞きできれば幸いです。

加えまして、MySQL側でどうすれば良いかで悩んでます。

データベースで個人情報にあたるものを全部同じようにハッシュ化すれば良い？と思ったのですが、それでは元の文字列にできない…ということで、では暗号化(可逆暗号)？と考えているところです。

```SQL
//インサート時
INSERT INTO `member` (name) VALUES (encode(name,'暗号化キー'));
//取得時
SELECT decode(name,'暗号化キー') FROM `member`;
```
このような形にするととりあえずはキーが分からない限りはデータベース情報を全部抜かれたりしても大丈夫…？なのでしょうか…。
(phpMyAdmin上では文字化けしているみたいなデータの見た目になり使いにくいだろうと思うところですが…)

心配なところをあげればキリがないのですが、お詳しい方アドバイス頂けると幸いです。

PHP+MySQLでのデータの暗号化、セキュリティなどについて

Gulpでbrowserifyやbabelifyなどを使ってReactのソースをビルドしているんですが、
対象のJavaScriptファイルに単純な構文エラー(カッコが足りない、JSXの構文ミスなど)が発生すると
`gulp.watch`が止まってしまいます。

gulp-plumberを使うと継続できる、とか、
`.on('error', function(){})`でハンドリングできる、など
いくつか対策を見つけたのですが、watchが止まる状況は変わりませんでした。

Gulpの知識が無いので、記述が良くなくて効果が無いだけなのかもしれないのですが、
Gulp+Browserify+babelify+uglify+Reactな環境でエラー発生後もwatchが継続できるように
gulpfile.jsを記述したいです。

gulpfile.js
```JavaScript
gulp.task('build', function() {
	return gulp.src('src/js/*.js')
		.pipe(plumber())
		.pipe(through2.obj(function(file, encode, callback){
			browserify(file.path)
				.transform(babelify)
				.bundle(function(err, res){
						file.contents = res;
						callback(null, file)
				})
				.on('error', console.log('error'))
		}))
		.pipe(uglify({preserveComments: 'some'}))
		.pipe(gulp.dest('./build/js/'));
});
```

```JSON
  "devDependencies": {
    "babelify": "^6.3.0",
    "browser-sync": "^2.9.6",
    "browserify": "^11.2.0",
    "del": "^2.0.2",
    "gulp": "^3.9.0",
    "gulp-plumber": "^1.0.1",
    "gulp-uglify": "^1.4.1",
    "gulp-watchify": "^0.5.0",
    "react": "^0.13.3",
    "run-sequence": "^1.1.4",
    "through2": "^2.0.0",
    "vinyl-buffer": "^1.0.0",
    "vinyl-source-stream": "^1.1.0",
    "vinyl-transform": "^1.0.0"
  }
```

Gulpでエラー発生時にwatchを継続したい

HTMLのForm type="file"につきまして、
クライアントより投稿された画像データを受け渡すプログラムを書いております。

通常上記のtype="file"属性を使用する場合には、クライアントサイドでアップロードしたい
画像が格納されていいるディレクトリを探しに行くような動きが起きると思います。

これは、非常に手間なので、ページ上にドラッグ＆ドロップで画像ファイルデータを読み込み
POSTで当該データを受け渡すようなことができますか？

ご教示をいただければ幸甚です。
（このような処理を行うためのわかりやすいサイト等があれば同様にありがたいです）

よろしくお願い申し上げます。

HTMLのForm type="file"につきまして

新しくExpressの環境を作り、以前作成したプロジェクトの
gulpfile.jsをコピーして
・サーバーのホストとポート
・ライブリロードのポート
を書き換えました。hostsにも追加済みです。
※以前作成したプロジェクトでは動作します。

タスクを単体で動作させるとどれも動作するのですが、
「webserver」のタスクを動作させると「livereload[tiny-lr] listening on 35729 ...」まで行った後、
処理が終了します。
また、「npm start」コマンドでは起動します。

何かわかる方はいらっしゃいますでしょうか・・・。

```ここに言語を入力
var gulp = require('gulp'),
    webserver = require('gulp-webserver'),
    jade = require('gulp-jade'),
    plumber = require('gulp-plumber'),
    sass = require('gulp-sass'),
    express = require('gulp-express');

//Webサーバー
gulp.task('webserver', function() {
  gulp.src('./webroot') //Webサーバーで表示するサイトのルートディレクトリを指定
    .pipe(webserver({
      host: process.env.DEV_HOST || 'admin.localhost',
      port: process.env.DEV_PORT || 80,
      livereload: { enable: true, port: 35729 } //ライブリロードを有効に
    }));

    express.run({
        file: './app.js'
    });
});

gulp.task('jade-compile', function() {
  gulp.src(['./views/*.jade','./public/javascripts/*.jade'])
    .pipe(plumber())
    .pipe(jade({pretty:true}))
    .pipe(gulp.dest('./webroot/js/'))
});

gulp.task('sass-compile', function() {
  gulp.src('./public/stylesheets/*.sass')
    .pipe(plumber())
    .pipe(jade({pretty:true}))
    .pipe(gulp.dest('./webroot/css/'))
});

gulp.task('compile', ['jade-compile', 'sass-compile']);

gulp.task('watch', function(){
  gulp.watch(['./views/*.jade', './public/javascripts/*.jade'], ['jade-compile']);
  gulp.watch(['./routes/*.js']);
	gulp.watch(['./public/stylesheets/*.sass'], ['sass-compile']);
});

gulp.task('serve', ['compile', 'webserver', 'watch']);
gulp.task('default', ['webserver','watch']);
```

シェルのログ
```shell
$ gulp webserver
[17:55:38] Using gulpfile C:\Project\public_html\hoge\contact\gulpfile.js
[17:55:38] Starting 'webserver'...
[17:55:38] Webserver started at http://admin.localhost:80
[17:55:38] Finished 'webserver' after 12 ms
livereload[tiny-lr] listening on 35729 ...
```

Gulp×Expressの環境でserveが立ち上がらない

※あまり真剣な質問ではないです

ここに3つのプログラムがあります。それぞれ1重,2重,3重のループ構造をしています。

```lang=JavaScript
//a1
for(var i=1,s='';i<=5;i++)s+=i;
//=> 12345

//a2
for(var i=1,j,s='';i<=5;i++)for(j=1;j<=i;j++)s+=j;
//=> 112123123412345

//a3
for(var i=1,j,k,s='';i<=5;i++)for(j=1;j<=i;j++)for(k=1;k<=j;k++)s+=k;
//=> 11121121231121231234112123123412345
```

これらのループをn重にするためにこう書きました。
```lang=JavaScript
var s='';
function loop(i, nest){
  if(nest)for(var j=1;j<=i;j++)loop(j,nest-1);
  else s+=i;
}
loop(5,5);
//=> 111112111121112112123111121112112123111211212311212312341111211121121231112112123112123123411121121231121231234112123123412345
```

さらに、n重から(n重)重にしようと、こう書きました。
```lang=JavaScript
var s='';
function looop(i, nest){
  if(nest)for(var j=1;j<=i;j++)looop(j,nest-1);
  else loop(i, i);
}
function loop(i, nest){
  if(nest)for(var j=1;j<=i;j++)loop(j,nest-1);
  else s+=i;
}
looop(5,5);
//=> 11111112111111211111211112111211121121231111112111112111121112111211212311111211112111211121121231111211121112112123111211121121231111211121121231112112123112123123411111121111121111211121112112123111112111121112111211212311112111211121121231112111211212311112111211212311121121231121231234111112111121112111211212311112111211121121231112111211212311112111211212311121121231121231234111121112111211212311121112112123111121112112123111211212311212312341112111211212311112111211212311121121231121231234111112111121112112123111121112112123111211212311212312341111211121121231112112123112123123411121121231121231234112123123412345
```

同じようにloooop, looooop, ...と関数を作っていったとき、oの数が(n+1)個の関数を(x,y)と呼び出すことをlooploop(n,x,y)と書くにはlooploop関数をどうすればよいですか?

ループについて

Webアプリの特にフロント側は疎いので、昨今のJavaScript関連技術の種類の多さに混乱しています。
全部をやってみるつもりはありませんが、それぞれがどのような役割で存在しているのかが良く分からないので、その辺が分かる記事やサイトなど、ご存知でしたら教えていただけませんか？


追記：
JavaScript本体ではなく、周辺技術と書いた方が良かったかもしれませんね。


よろしくお願いします。

JavaScript関連技術の関係図みたいなものありませんか？

こんにちは、expressの4系で色々いじっているものです。

httpをrequireする必要があるのはどういった場合なのかを知りたくて質問させていただきました。

具体的には、以下の様なプログラムでサーバーを立てることができますよね。

var express = require('express');
var app = express();

app.get('/', function(req,res){
    res.send('server running');
});

app.listen(3000);

この状態をベースにgetリクエストとかpostリクエストとかを分けていけばいいはずです。十分にサーバーの役割を果たしていると思うのですが、sokect.ioのドキュメント(http://socket.io/docs/)等を読むと、httpをrequireするようなサンプルコードが出てきます。
また、公式のドキュメントには必要とさえ書かれています。（http://nodejs.jp/nodejs.org_ja/api/http.html#http_http）

これはどういうことなのでしょうか？
そもそも上記のコードでサーバーは立てれていないのでしょうか？

プログラミング界隈のおまじないという言葉が大嫌いなので、難解なことでも構いません。詳細を教えていただけたらと思います。よろしくお願いします。

node.jsでrequire('http');する理由

shift_jisのhtmlファイルをgulp-browser-sync越しで表示されると文字化けされてしまいます。
当該ファイルを直接ブラウザで表示させても文字化けを起こしませんが、gulp-browser-syncではそのように成ってしまいます。
対処方法をご存知の方おられましたらお願いいたします

gulp-browser-syncによるshift_jisファイルの表示結果の文字化けについて

```
server {
	try_files $uri $uri/ /index.php?q=$uri&$args;
	location ^~ /game/ {
        include fastcgi_params;
        fastcgi_pass    127.0.0.1:9000;
        fastcgi_index   index.php;
        fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
 	}
    location ~ \.php$ {
        #	  try_files $uri =404;
        #	  fastcgi_split_path_info ^(.+\.php)(.*)$;
        try_files $uri $uri/ /index.php?q=$uri&$args;

        include fastcgi_params;
        fastcgi_pass    127.0.0.1:9000;
        fastcgi_index   index.php;
        fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
    }
}
```

機密に関わる部分は省略し、リライト部分だけを載せています。
WordPressをドキュメントルートに設定しているため、game以下のディレクトリにアクセスした時は、そのままファイルにアクセスさせたいのですが、現在はAccess denied.と返されてしまいます。

http://hoge.com/game/以下にアクセスした時に、そのままファイルにアクセスできるようにするためにはどのように記述したらよいのでしょうか。教えてください

Nginx+WordPressの一部URLだけリライトしない設定を教えてください

CakePHP2でWebサービスを開発しており、
とある事情からすべてのメールに電子証明書を付与することになりました。

CakeEmailを使用してメール送信処理を実装しているのですが
証明書の指定方法など具体的な実装方法がわからず困っています。

もし過去にカスタマイズ実装した経験のある方、
Qdmailのようなコンポーネントをご存知の方は教えていただけませんでしょうか。

よろしくお願い致します。

CakePHP（CakeEmail）でのS/MIME送信

質問させてください。

layerA, layerBがあり、Aにはbackground-imageとして外部イメージが指定されています。Bにはbackground-colorでAに重なるようにwhiteが指定されているパララックスのページがあるとします。スクロールしてもAの画像はスクロールされずBが覆いかぶさるイメージです。

この状態の時、Bの1部分だけを100x100pxくらいの正方形に切り抜き、切り抜かれた正方形の背景にAの画像が常に見えている状態をCSSで再現したいのですが、コード的にキレイな書き方が思いつかなくて悩んでいます。

Bの背景として、事前に正方形が切り抜かれた画像をbackground-imageで指定する方法はすぐに思いつくのですが、できればもっとキレイな書き方をしたいです。なにかいい方法があればアドバイスいただきたいです。よろしくお願いいたします。

![イメージ説明](5c6d7b3e33cc7fe3583db2ed85abfbd7.png)

CSSで背景を切り抜きたいのですがキレイな書き方があればアドバイスいただきたいです

```lang-js
gulp.task("html", function() {
  // 何らかの処理
  // releaseから呼び出される時だけの処理をここに加えたい
});

gulp.task("build", ['clean'], function(cb){
    runSequence('jade', 'clear', ['js', 'sass', 'html', 'img'], cb);
});

gulp.task("release", ['clean'], function(cb){
    runSequence('jade', 'clear', ['js', 'sass', 'html', 'img'], cb);
});
```

例えば同じ`html`というタスクでも、`release`タスクから呼び出される時のみ実行したい処理があるとします。

呼び出し元のタスクを判定して分岐するやり方がわからない場合、他の大部分が同じ処理でも`html:release`のようなタスクを新たに作って`release`ではそちらを呼び出す、というような無駄の多い手法を取らざるを得ません。

呼び出し元のタスクを判定して分岐させる、なにかうまい方法はあるのでしょうか。