常連

自己紹介

以下のjavascript関数について良いパターンを教えてください。

関数では、ユーザ操作等のイベントに応じて、インスタンス内のメソッドでdataを更新し、表示を切り替えようとしています。
data及び表示の管理をインスタンスのみにさせ、ユーザ操作等のイベントをインスタンスに対して伝える仕様にできれば綺麗かと考えているのですが、
実際には下記はthisの仕様によりエラーとなります。
（ユーザ操作等のイベントの場合イベント発生元がthisになるので）

単にエラーを回避して動かすことはできるのですが、
出来るだけ良いプログラム構造としたいです。

※クラス・インスタンスは複数種類存在します（SampleClassA、SampleClassB…、sampleA1、sampleA2、sampleB1...）

```javascript
//呼び出し側の記載///////////
var sampleA1 = new SampleClassA();
//初期イベント
sampleA1.initialEvent();
//windowサイズ変更時のイベント等
$(window).on('resize', sampleA1.resizeEvent)


//SampleClassA///////////
function SampleClassA() {
    this.data;
    this.object;
}
SampleClass.prototype = {
    setDefaultData: function() {
        this.data = {
            pointA: 10,
            pointB: 10,
            pointC: 10,
            pointD: 10,
        };
        return true;
    },
    doDisplay: function() {
        this.object = new SampleLibrary.display(this.data);
        return true;
    },
    initialEvent: function() {
        this.setDefaultData;
        this.doDisplay;
        return true;
    },
    updateResizeData: function() {
        this.data.pointA = this.data.pointA++;
        this.data.pointC = this.data.pointC++;
        return true;
    },
    resizeEvent: function() {
        this.updateResizeData; //エラー！！！
        this.doDisplay;
        return true;
    },
}
```

javascriptのプログラム構造について

外部キーが使用できない環境でどのようにして参照整合性を保証したら良いかというご質問です。
外部キーが使用できない主な理由は、MySQLのパーティショニング機能を利用するためです。

外部キーを使用しない場合、下記のようにアプリケーション側で参照整合性を保証する必要があるかと思います。
- INSERT → 親の行が存在することを確認する
- DELETE → 子の行が存在しないことを確認する

例えばECサイトで、登録した商品情報を物理削除する場合、どのようにアプリケーションで実装するのがベターでしょうか？
下記のように親テーブル（本件の商品テーブル）に紐づく子テーブルが数多く存在する場合、デッドロックや性能面で問題がでてくる思っています。

■親テーブル  
    - 商品

■子テーブル
    - 注文詳細
    - 商品画像
    - 商品バリエーション
    - 商品レビュー
    - お気に入り商品
   ・
   ・
   ・

外部キーを使用している環境であれば、例外をキャッチしてハンドリングするのが一般的だと思いますが、本ケースの場合どうするのがベターなのか知りたいです。

0. それぞれのテーブルに対して子行の存在確認すると同時にロックを取得（存在しなかった事実確認後のデータ挿入を防止するため）
0. 全テーブルで子行が存在しなければ親行を物理削除、もし１テーブルでも子行が存在してれば論理削除

という単純な方法しか思いつかないのですが、ベターな方法が御座いましたらご教示いただきたいです。

よろしくお願いします。

外部キーが使用できない環境で参照整合性を保証する方法

WEBの新人研修のカリキュラムを作成したいです。

まず職務としてCMSの構築と、フロントコーデイングを想定した場合

・HTML
・CSS
・Javascript(jQuery)
・PHP(変数や初歩的な文法)
・SQL(phpMyAdmin)

が必須となりますが、他社ではどのようなカリキュラムで行っていますか？
上記のスキルに基づいてカリキュラムを作成しようと思います。

内容まで詳細には良いのですが、目次だけでも教えていただけると幸いです。

新人研修のカリキュラムについて

###前提・実現したいこと
Androidアプリ開発を学んでいる者です。

現在、おすすめの場所を提示してナビゲーションするアプリを開発しようと考えています。
そこで、事前に飲食店などの情報をSQLiteに格納しそのデータベースをアプリで読み込もうと考えていますが、
データベース設計に関しては入門書で少し触れた程度で、どのように正規化すればいいのかが分かりません。

主に管理したいデータとして以下の項目があります。

- 店舗id
- カテゴリー
- 店舗名
- 店舗説明
- 予算
- 店舗住所
- 画像パス
- 緯度
- 経度


一つのテーブルとしてこれらを格納していいものなのでしょうか。
アドバイス頂けると嬉しいです。よろしくお願いします。

データベース設計における正規化の方法

###前提・実現したいこと
Youtubeをスクレイピングした動画まとめサイトを作っています。  

そこで、showアクションにおいて、関連動画やおすすめの動画を引っ張ってくる機能を実現したいです。
関連動画とは、同じジャンル(genre)を持つ動画の中を人気順に並べたものとします。
おすすめ動画とは、全ジャンル(genre)の動画の中を人気順に並べたものとします。

また、関連動画、おすすめ動画を再生している時には、再生している動画がその一覧からは外れる仕様にしたいと思っています。

###発生している問題・エラーメッセージ

コントローラにおける以下２点の絞り込みの記述方法がわかりません。
1. 「今再生しているID以外」という絞り込み
2. 「今再生しているIDと同じジャンル」という絞り込み

なお、アプリケーション自体はアソシエーションなどで複数の階層モデルを作っているわけではなく、単一モデル(dog)で作成しています。

###ソースコード

```ruby
#app/controllers/dogs_controller.rb
 def show
    @dog_title = Dog.find(params[:id]).title
    @dog_url = Dog.find(params[:id]).url.match(/\?([^&]+)/).to_s.sub("?v=","")
    @related_movie = Dog."???"
    @recommended_movie = Dog."???"
    @tags = Dog.tag_counts_on(:tags).order('count DESC')    
  end
```

なお、挫折したコードが以下のとおりです。
<>の中に何かが入れば実現できるのかなぁ‥と思っていますが…。

```ruby
# おすすめ動画
@recommended_movie=Dog.<今再生しているID以外のすべて>.order(fav DESC)
# なお、favは人気を表す変数です。

# 関連動画
@related_movie=Dog.<今再生しているID以外のすべて>.<引数によって絞り込む>(Dog.find(params[:id]).genre).order(fav DESC)
```

###補足情報(言語/FW/ツール等のバージョンなど)

Ruby 2.2.2
Rails 4.2
MySQL

ご指導宜しくお願いします。

(Rails) showアクションに引っ張ってくるModelデータの整形方法について

初心者です。
初歩的な質問をしてしまい、申し訳ございませんがよろしくお願い致します。

下記に載っているサンプルプログラムの作成を行っていますが、
更新処理（URLでの表題は【投稿記事の編集】になります）の方が正常に実施できません。

サンプルプログラム：[リンク内容](http://book.cakephp.org/2.0/ja/tutorials-and-examples/blog/part-two.html)

動作確認をおこなったところ、saveメソッドでidが設定されず更新ではなく、新規追加と判断されているようです。
そこで疑問なのですが、editメソッド内のsave処理直前で
```php
$this->Post->id = $id;
```
という処理がされているの、こちらで更新用のidを追加していると勝手に思っていたのですが、それは間違いでしょうか？

＜実行環境＞
CakePHP2.7.6

また、どのようにすればsaveメソッドを使用して更新処理が行えますでしょうか？
こちら上記２点お答えいただければ幸いでございます。

下記にソースを添付致します。

コントローラー
```php
public function edit($id = null) {
    if (!$id) {
        throw new NotFoundException(__('Invalid post'));
    }

    $post = $this->Post->findById($id);
    if (!$post) {
        throw new NotFoundException(__('Invalid post'));
    }

    if ($this->request->is(array('post', 'put'))) {
        $this->Post->id = $id;
        if ($this->Post->save($this->request->data)) {
            $this->Flash->success(__('Your post has been updated.'));
            return $this->redirect(array('action' => 'index'));
        }
        $this->Flash->error(__('Unable to update your post.'));
    }

    if (!$this->request->data) {
        $this->request->data = $post;
    }
}

```
View（更新用）
```php
<h1>Edit Post</h1>
<?php
echo $this->Form->create('Post');
echo $this->Form->input('title');
echo $this->Form->input('body', array('rows' => '3'));
echo $this->Form->input('id', array('type' => 'hidden'));
echo $this->Form->end('Save Post');
?>

```
view（一覧表示用）
```php
<h1>Blog posts</h1>
<p><?php echo $this->Html->link("Add Post", array('action' => 'add')); ?></p>
<table>
    <tr>
        <th>Id</th>
        <th>Title</th>
        <th>Action</th>
        <th>Created</th>
    </tr>



<?php foreach ($posts as $post): ?>
    <tr>
        <td><?php echo $post['Post']['id']; ?></td>
        <td>
            <?php
                echo $this->Html->link(
                    $post['Post']['title'],
                    array('action' => 'view', $post['Post']['id'])
                );
            ?>
        </td>
        <td>
            <?php
                echo $this->Html->link(
                    'Edit',
                    array('action' => 'edit', $post['Post']['id'])
                );
            ?>
        </td>
        <td>
            <?php echo $post['Post']['created']; ?>
        </td>
    </tr>
<?php endforeach; ?>

</table>
```

お手数おかけいたしますが、よろしくお願い致します。

cakePHPの更新処理について

現在、webアプリケーションの制作を行っており、`React.js`を用いて、ラジオボタンで選択されている項目を取得したいと考えています。
以下のサイトを読んでみたのですが、ラジオボタンをグループ分けする方法が分からず困っています。
[React.js で親コンポーネントと子コンポーネントが連携するシンプルなサンプルを書いてみた](http://www.nilab.info/z3/20150602_02_react_js_parent_and_children.html)
ラジオボタンをグループ分けする方法、もしくは参考書籍やwebサイト等が知りたいです。
初心者で至らない点もございますが、何卒よろしくお願いします。

React.jsを用いてラジオボタンで選択されている項目を取得

mysqlでクエリの再実行時の表示を行分割して表示したいのですが、設定はどこですればいいでしょうか？

例えば、
```sql
mysql> update MaxAge 
    -> set (name,age)
    -> = (select First_Name,age
    -> from Customer C1
    -> where age = (select MAX(age) from Customer C2
    -> where C1.area = C2.area)
    -> );

```
と書いて、エラーとなってしまった。直そうとして、↑を押した。
すると、
```sql
update MaxAge set (name,age) = (select First_Name,age from Customer C1 where age = (select MAX(age) from Customer C2 where C1.area = C2.area) );

```
こんなふうに表示されてしまう。
これを、
```sql
mysql> update MaxAge 
    -> set (name,age)
    -> = (select First_Name,age
    -> from Customer C1
    -> where age = (select MAX(age) from Customer C2
    -> where C1.area = C2.area)
    -> );

```
というふうに表示させたいのですが、どこに設定をどのようにかけばよいでしょうか？

mysqlでクエリの再実行時の表示を行分割して表示したい

mysql5.6とpostgresql9.4.5でalter table,update,insertの速度差を測ったのですが、圧倒的にpostgresql9.4.5が速かったのですが、これって普通なんでしょうか？

どこの記事にも圧倒的にpostgresql9.4.5が速いみたいのが載ってないので、なにか設定の差なのかなぁと思ってもいます。

特にalter tableでは90万行ぐらいのテーブルで10倍くらい実行速度に差があったのですが（default 0とかはつけてませんが）、これってpostgresqlの方が圧倒的に速くて当然という認識で合ってるのでしょうか？

postgresqlのクエリ実行がmysqlより格段に速かった

最近になって初めて、specを書くプロジェクトに参画しました。

これまで、ずっとruby on rails でのプロジェクトをやってきましたが、
運よく？sepcを書かないプロジェクトばかりでした。

私自身、あまりspecの必要性を感じなかったため、さほどspecの勉強をしてきませんでした。

これが良いきっかけでしたのでspecを書く練習をしております。


ただ、どうしてもわからないのは
`どういったときにspecが役に立つのか`です。

私が不慣れなせいなのか、以下のような疑問を感じてます。

----------------------------

・specを書いても、結局、specを書いているロジックの実装を変更した際に、specも書き直さないといけない。（specは書いたら終わりじゃなく、メンテナンスが必要）

・specを書いても、画面などで動作確認する

・specの必要十分性がわからない。（どこまで書けば、十分なテストなのか）←こちらに関しては経験次第？かと思いますが



----------------------------

そういうことを考えていると、ならテストいらないかなと考えてしまいます。

とはいえど、せっかくspecの勉強をしているので、次のプロジェクトのときにも使えるように、specを書いていてよかった例、specがなかったせいで、ひやっとした例などございましたら、是非、お聞かせ頂けると幸いです。


宜しくお願いします。

未だにspec(テストコード)の必要性を感じません。皆さんはどういった時に、specを書いていてよかったなと感じられますか？

自社で金融系の大規模サイトを運用しておりますが
画面遷移図、画面仕様はみなさんどうやって残しておりますでしょうか？

今はエクセルに画面キャプチャーを張り付けて
横に仕様を書いて画面仕様書として残すみたいなことをしておりますが
WEBベースで管理して、機能追加時影響範囲をざっと確認したり
コールセンターでも問い合わせ時確認できたり
以前とどう変わったのか履歴も管理したいです。

どんどん画面は機能改修で変わっていくので
そもそも画面キャプチャーとして残すべきかというのもあるのですが、
ログインが必要なサービスで会員によって使える機能が違っていたり
購入完了など実際に課金が走るページもあるので
できれば簡単に画面を見れるようにしておきたいです。

今の私のイメージとしてはこんな感じで管理できて
キャプチャー画像も流し込めて、画面遷移図も自動でできたら
良いなと思っているのですが、ご意見お聞かせください。
https://specfox.com/

WEBサービスの画面仕様の残し方

Mysqlの隔離レベルによってエラーの様子が変わってるのですが、なぜこのようなことが起きるのかわからずご質問します。


 
---
> 引用テキスト隔離レベルをREPEATABLE READにした場合

```ここに言語を入力
@@GLOBAL.tx_isolation = REPEATABLE READ
innodb_lock_wait_timeout = 1
```

現象：

lock wait timeout exceeded try restarting transactionというエラーが多発して
定期的にMysqlを再起動して対応をしてきました。

具体的な事象としてはAという行に発生すると、誰もA行にはアクセスできなくなります。



---

> 引用テキスト隔離レベルをREAD-COMMITTEDにした場合


```ここに言語を入力
@@GLOBAL.tx_isolation = READ-COMMITTED
innodb_lock_wait_timeout = 1
```


現象：
lock wait timeout exceeded try restarting transaction
エラーは消えたものの

DEAD LOCKのエラーが出てます。（DEAD LOCKは発生してるものの自然復旧されてます。）

具体的な事象としてはAという行にDead Lockが発生しても他の人がA行にアクセスできないことはなくなりました。


何かヒントになることありましたら教えていただければ助かります。

mysql isloation levelとDeadLockエラー

[everyday Rails RspecによるRailsテスト入門](https://leanpub.com/everydayrailsrspec-jp)という参考書のコントローラのテストについて、下記のような例題がありました。

***

* Pathリクエストをテストする

**spec/controllers/contacts_controller_spec.rb**

```
describe ContactsController do
~略~
  describe 'PATCH #update' do
    before :each do
      @contact = create(:contact,
        firstname: 'Lawrence',
        lastname: 'Smith')
    end

    context "valid attributes" do
      example '要求された@contactを取得すること' do
        patch :update, id: @contact, contact: attributes_for(:contact)
        expect(assigns(:contact)).to eq(@contact)
      end
~略~
```

テストを実行すると、テストは通るのですが、なぜ上記のテストでテストがパスするのかがわかりませんでした。(`assigns(:contact)`の値と、`@contact`の値が一致していない気がします。)

ちなみにFactoryとControllerの内容は下記のとおりです。

**spec/factories/contacts.rb**

```
FactoryGirl.define do
  factory :contact do
    firstname { Faker::Name.first_name }
    lastname { Faker::Name.last_name }
    email { Faker::Internet.email }
  end
end
```

**app/controllers/contacts_controller.rb**

```
class ContactsController < ApplicationController
  #before_action :authenticate, except: [:index, :show]
  before_action :set_contact, only: [:show, :edit, :update, :destroy]
~略~
  # PATCH/PUT /contacts/1
  # PATCH/PUT /contacts/1.json
  def update
    respond_to do |format|
      if @contact.update(contact_params)
        format.html { redirect_to @contact, notice: 'Contact was successfully updated.' }
        format.json { render :show, status: :ok, location: @contact }
      else
        format.html { render :edit }
        format.json { render json: @contact.errors, status: :unprocessable_entity }
      end
    end
  end
~略~
```

テスト内の各変数のプリントデバッグを試みると、下記のようになります。

**spec/controllers/contacts_controller_spec.rb**

```
describe ContactsController do
~略~
  describe 'PATCH #update' do
    before :each do
      @contact = create(:contact,
        firstname: 'Lawrence',
        lastname: 'Smith')
    end

    context '有効な属性の場合' do
      example '要求された@contactを取得すること' do
        debug_attributes_for = attributes_for(:contact)
        patch :update, id: @contact, contact: debug_attributes_for
        expect(assigns(:contact)).to eq(@contact)
        ###
        puts("debug_attributes_forデバッグ")
        p debug_attributes_for
        puts("@contactデバッグ")
        p @contact
        puts("assigns(:contact)デバッグ")
        p assigns(:contact)
        ###
      end
~略~
```

**テスト実行結果**

```
~略~
  PATCH#update
    有効な属性の場合
debug_attributes_forデバッグ
{:firstname=>"Ardith", :lastname=>"Effertz", :email=>"lesly.carter@mcdermott.org"}
@contactデバッグ
#<Contact id: 1, firstname: "Lawrence", lastname: "Smith", email: "westley@dickinson.org", created_at: "2015-12-14 04:06:43", updated_at: "2015-12-14 04:06:43">
assigns(:contact)デバッグ
#<Contact id: 1, firstname: "Ardith", lastname: "Effertz", email: "lesly.carter@mcdermott.org", created_at: "2015-12-14 04:06:43", updated_at: "2015-12-14 04:06:43">
~略~
Finished in 0.4773 seconds (files took 1.86 seconds to load)
20 examples, 0 failures, 4 pending
```

プリントデバッグした結果を見ても`assigns(:contact)`と`@contact`が一致していませんが、テストは通っていて、なぜテストが通るのかが理解できないでいます。

Railsでコントローラのテスト(Rspec)を実行した時にテストが通らないと思っていたら、なぜか通っているのはなぜ!?

開発では新人君のコードレビューをおこなっています。
今回指摘した点において新卒エンジニア君と大議論に発展し、まだ答えがみつかっていません。。
私の指摘事項だけでは納得出来ないようで修正することを強要することも戸惑っています。
みなさまの声を聞かせていただければと思います。。


### 会話内容

ぼく「作成するモジュールは別のプロジェクトでも使用するので汎用的につくるっておいてねー」

新人「作りました、レビューお願いします。」

```rb
module HogeManager
  # fetch data of specified day
  def fetch_data(date)
    data = HogeManager::PointBack.fetch_data_by_date(date)
  end

  # fetch the data of today
  def fetch_data_today
    HogeManager.fetch_data (Date.today)
  end
end
```

ぼく「上記のコードの中で`fetch_data_today`メソッドは不要じゃない？」

```rb
module HogeManager
  # fetch data of specified day
  def fetch_data(date = Date.today)
    data = HogeManager::PointBack.fetch_by_date(date)
  end
end
```

ぼく「こうのように引数指定がない場合は実行時日時のデータを取得。引数が渡された場合はその日付で処理するで済むのよね」
  「わざわざ別メソッドとして定義して引数だけかえて元のメソッドを変えるのはあまり意味が無いので修正するべきだとおもうよー」

新人「先輩の指摘内容は理解できます」
  「ただ`fetch_data`だけで呼び出した場合、いつの期間のデータなのか分からないじゃないですか？」
  「使う側からしてみたらいつの期間のデータを取得しやすいと思ったのであえて実装しました」

ぼく「コメントに書いとくだけで良いんじゃない？そんな大きいモジュールじゃないし、このレベルだったら誰でも分かるでしょ」
新人君「それだと１回ソース見ないと分からないじゃないですか、そういう手間をかけないように誰でもでも分かるようにメソッドを用意したのです」

ぼく「rdocにまとめられるし、gemにするんだったらREADMEに書いときゃいいじゃん」

以下堂々めぐり。

コードレビューにおける指摘事項の強要について。

現在，練習用にログイン型掲示板の制作を模索しています．その中で，Webアプリケーションのセキュリティ知識が不足しているため，いくつかご教授いただければ幸いです．

ログイン型掲示板として，PHP, phpMyAdmin, MySQLを用いたWebアプリケーション，並行してAPIを作成し，AndroidやiOSのクライアントアプリケーションからリクエストを送信可能にしようと考えております．ユーザをログインに用いるID, Passwordで管理し，送信者が，受信者(複数可)を設定できるようにします．SSLなしのHTTP通信を考えています．

0. 一時キーを発行してのメールアドレス認証は安全か．
0. POSTリクエストによるユーザ認証は安全か，もっと強固な認証方法はあるか．
0. クライアント，サーバ両サイドでのハッシュ処理は妥当か．
0. POSTリクエストによる個人情報を含むデータ送信は妥当か．
0. URL引数による個人情報を含まないデータ送信は妥当か．
0. HTTPS通信の優位性は何か．

の6点について，教えていただきたいです．1点でも知識をお貸しください．

以下，現在の設計を記載します．
現在考えているデータテーブルはこのような形です．
```SQL
-- メッセージ保管テーブル 第3正規形
CREATE TABLE massages (
    message_id BIGINT UNSIGNED PRIMARY KEY AUTO_INCREMENT,
    sender_user_id BIGINT UNSIGNED NOT NULL,
    message_body LONGTEXT NOT NULL,
    sending_time DATETIME NOT NULL DEFAULT CURRENT_TIMESTAMP)；

-- 受信者特定テーブル 第4正規形
CREATE TABLE receivers (
    message_id BIGINT UNSIGNED,
    receiver_user_id BIGINT UNSIGNED NOT NULL
    receiving_time DATETIME)；

-- ユーザ情報テーブル 第3正規形
CREATE TABLE user_info (
    user_id BIGINT UNSIGNED PRIMARY KEY AUTO_INCREMENT,
    user_name TINYTEXT NOT NULL,
    user_mail_address TINYTEXT NOT NULL,
    user_password_hash INT UNSIGNED NOT NULL)；

-- 未認証ユーザ情報テーブル 第3正規形
CREATE TABLE user_info (
    user_mail_address TINYTEXT PRIMARY KEY,
    user_one_time_key VARCHAR(8) UNSIGNED NOT NULL)；
```

**1. 一時キーを発行してのメールアドレス認証は安全か．**

signup.php では，利用者はメールアドレスをPOSTリクエストにて送信します．
サーバサイドでは，一時認証キーを発行，POSTリクエストを読み取り，未認証ユーザ情報テーブルに登録します．登録後，メールアドレスに，登録用の一時認証キー(英数字8文字程度)を送信します．

signup2.php では，利用者はメールアドレスと一時認証キー，パスワードをPOSTリクエストにて送信します．メールアドレスと一時認証キーは平文，パスワードは「ソルトを付与しつつ，複数回ハッシュ関数を通したもの」をPOSTリクエストによって送信します．
サーバサイドでは，POSTリクエストを読み取り，未認証ユーザ情報テーブルに問い合わせ，検証が成功すれば，ユーザ情報テーブルに追加します．

この一時キーによって情報漏えいにつながることは少なく，メールアドレスによる登録数制限が可能であると考えています．これよりも簡易な手法はあるのでしょうか．また，この手法の危険性はあるのでしょうか．

**2. POSTリクエストによるユーザ認証は安全か，もっと強固な認証方法はあるか．**

**3. クライアント，サーバ両サイドでのハッシュ処理は妥当か．**

login.php では，利用者はメールアドレスとパスワードによって認証します．
認証は，平文のメールアドレスと，「パスワードにソルトを付与し，複数回ハッシュ関数を通したもの」をPOSTリクエストによって送信します．
サーバサイドでは，POSTリクエストを読み取り，ハッシュ関数を通したパスワードに，更にソルトを付与し，ハッシュ関数を施します．このハッシュ値で，データベースに問い合わせてログイン処理とします．

POSTリクエストに情報を乗せるのは，URL引数に比べ安全かと思います．しかし，これ以外の送信手法について詳しくないため，これよりも安全性に優れるものがあれば，教えてください．
パスワードのハッシュ化は，クライアントのみで行うと，容易に偽装可能である．サーバサイドのみで行うと，クライアントはパスワードをPOSTリクエストに平文で乗せなければならない．という問題があると思いますが，実際はどのように対処しているのでしょうか．POSTリクエストに平文を乗せても良いのでしょうか．実際，POSTリクエストは第三者からどこまで読めるのでしょうか．

**4. POSTリクエストによる個人情報を含むデータ送信は妥当か．**

insert.php では，利用者はコメントを送信します．
コメントは，massagesテーブルのうち，receiving_timeを除くすべての要素を含むPOSTリクエストによって送信します．
サーバサイドでは，POSTリクエストを読み取り，整合性の確認(ユーザの存在確認，本文の内容確認)，HTMLパース可能な文字列のエスケープを行い，SQLインジェクション対策を行ってinsert文を実行します．

個人情報を含まないのであれば，POSTリクエストに平文が乗っていても大丈夫であると思っています．メッセージ本文には，個人情報を特定できる文が含まれる可能性がありますが，POSTリクエストを用いるべきではないのでしょうか．

**5. URL引数による個人情報を含まないデータ送信は妥当か．**

massages.php では，利用者はコメントを見ることができます．
コメントは，receiversテーブルから，自分自身を含むmessage_idによって，messageをselectして出力します．URL引数による検索を備えます．例) massages.php&senderid=23

個人情報を含まないので，GETリクエストに平文を乗せようと考えております．

-- 依頼により追加 --

**6. HTTPS通信の優位性は何か．**

現在，すべての通信をSSLなしのHTTP通信で行うことを考えております．
しかし，SSLなしのHTTP通信は、設定によりGET/POSTリクエストの中身が見えてしまう場合があるとお聞きしました．POSTリクエストはhidden属性によって，第三者から隠すことができる認識でおりましたが，この通りではない状況があるのでしょうか．
また，SSLは，ブラウザとサーバ間の通信を暗号化し，その間の通信を盗み見ることを難しくする認識でおりました．これは，GET/POSTリクエストに対してどの程度効果があるのでしょうか．また，SSL+POST(hidden)ならば，その通信は秘匿されると考えてよいのでしょうか．

-- --

の6点について，1点でもいいので，教えていただければ幸いです．どうぞよろしくお願いします．

ログイン型掲示板のセキュリティ対策

PHPのリファレンスには、プリペアードステートメントについて以下のように記載されています。
> プリペアドステートメントを使用すると、この 解析/コンパイル/最適化 の繰り返しを避けることができます。 端的に言うと、プリペアドステートメントは使用するリソースが少なくいため 高速に動作するということです。

[http://php.net/manual/ja/pdo.prepared-statements.php](http://php.net/manual/ja/pdo.prepared-statements.php)

そこで、バルクインサート文 (`INSERT INTO test (num) VALUES (1), (2), ...`) の実行にかかる時間を  
プリペアードステートメントを使用した場合と使用しなかった場合で比較してみたところ、  
意外な事に
- 1度に挿入する行数が1〜256行の辺りまでは双方とも同程度のパフォーマンスで、
- 256行を超えた頃から、プリペアードステートメントを使用しない方がパフォーマンスが上がる

という、公式のリファレンスの説明とは逆の結果になりました。

**この結果について、何か知見をお持ちの方はいらっしゃいますでしょうか？**

青 : プリペアードステートメントを使用しない (emulate prepare = ON)  
赤 : プリペアードステートメントを使用する (emulate prepare = OFF)
![検証結果2](3c563fd03e6ac82faaebfb39bc9bf5f1.png)

なお、詳細な検証手順と結果は以下に記載しております。  
[http://qiita.com/kmotoki/items/7a0df427c8c2217ebbb4](http://qiita.com/kmotoki/items/7a0df427c8c2217ebbb4)

こちらもご一読いただけると幸いです。  
検証方法についてのご指摘なども、大歓迎です。

ちなみにstack overflow でも同様の質問があり、こちらでは  
「パフォーマンスに差は出ない」  
という結論になっていました。  
[http://stackoverflow.com/questions/14166798/mysql-pdo-prepared-faster-than-query-thats-what-this-simple-test-shows](http://stackoverflow.com/questions/14166798/mysql-pdo-prepared-faster-than-query-thats-what-this-simple-test-shows)

プリペアードステートメントを使用しない方が速い？

株価データをmysqlにinsertするシステムを組んでおります。
全銘柄の株価を1分おきに取得します。
銘柄数は3600、株式市場の時間は1日300分
3600×300=1,080,000レコードとなります。

カラムは以下の通りです。
id int(10) AUTO_INCREMENT
code smalint(5)//銘柄コード
price double//株価
dekidaka int(10)//出来高
created_at date//取得時刻

selectする際の速度を最重視するため、
ストレージエンジンはMyISAMを採用し、ORMは使用しない予定です。
普段テーブル設計をする際はupdated_atカラムを含ませているのですが、
レコード数が膨大になって容量を食う上、updateも行わないため除いています。
・insertは遅くても問題ない
・updateは基本的に行わない(過去の株価は不変)

selectの際、codeもしくはcreated_atを元にpriceを取得したいのですが、
インデックスを付けるのはcodeとcreated_atだけではなく、priceにもつけた方が良いのでしょうか？
○円以上○円未満というbetweenによってpriceを取得します。

その他ご教示頂きたいのは以下の通りです。

・レコードが数億に対し、codeの種類が3600というのはカーディナリティが低いといえるのか
・パーティショニングした方がよいのかテーブルを年毎に分けた方が良いのか
・パーティションはレコード数がどのくらい増えるごとに作成する必要があるのか
・インデックスは部分インデックスにした方がよいのか

宜しくお願いいたします。

※追記
回答者の方からidカラムは不要ではないかとの回答を頂きました。
容量削減のためidカラムを削除する方向へもっていきたいのですが、一意の値のカラムを無くした場合デメリットがありましたらご教示頂けますと幸いです。