常連

拍手喝采

自己紹介

### 経緯
- タイトルのどちらも似たような処理になる認識ですが、SIerで開発をしているPGとして
Promiseオブジェクトをハンドリングはどちらの記法で実装することがベストなのか興味を持ち投稿いたしました
- 三項演算子を使うべきかどうかと似たようなケースになると思いますが、ご意見・ご回答をくだされば幸いです

### 前提
- SIerで追加開発・保守運用をするという観点からご意見・ご回答をいただければと思います
- 現場のレベルはJavaがメインで、Node.jsは未経験者がほとんどという想定でお願いします

### ❓質問事項
Node.js Promise オブジェクトのハンドリングとして、以下2種類の書き方があります
どちらの記法がベストな記法なのかを下記の観点よりご教授いただけないでしょうか？
1. async/await を用いたtry-catch構文でのハンドリング
1. then()/catch()を用いたメソッドチェーンでのハンドリング

### 観点
- 可読性
- 視認性
- 保守/メンテナンス性
- 拡張性
- その他 追加開発/保守運用で必要な諸々。。。

### 該当のソースコード
```javascript
import axios from "axios";

// async/await を用いたtry-catch構文でのハンドリング
export const getData = async () => {
  const url = "https://xxxxx";
  try {
    const res = await axios.get(url);
    // handle success
    console.log(`Response : ${res.data}`);
  } catch (error) {
    console.error(`Error : ${error}`);
  }
}

// then()/catch()を用いたメソッドチェーンでのハンドリング
export const getData = () => {
  const url = "https://xxxxx";
  axios
    .get(url)
    .then((res) => {
      // handle success
      console.log(`Response : ${res.data}`);
    })
    .catch((err) => {
      console.error(`Error : ${err}`);
    });
};

```

【Node.js】メソッドチェーン vs try-catch どっちの記法がベスト？

### 尋ねたいこと

pip install -rにて指定している、インストールパッケージ対象ファイルに【-e .】という以下記載がありました。
本内容にはどういった意味があるのでしょうか。

### コマンド

```requirement.txt
-e .
##以下インストール対象パッケージ
XXXXX
XXXXX
```

pip install -rにて指定したファイルに記載されている【-e .】

現在、アプリ開発の学習を踏まえてお店のweb予約のシステムを作成しています。
そこで、管理者画面(今回は店のオーナー側が使用する画面という認識でお願いします)にどのように入れるようにするかについての質問です。
現在自分の中では2つの案があります。1つはユーザ画面に「オーナー用ログイン画面へ」というリンクを作り、そこから入ってもらう仕様。もう一つはオーナー用のアプリとユーザー用のアプリを切り離し、データベースのみ共有するという仕様です。
1つ目の方法についてはsuper userのみログインページを通過できる制約はあるものの、誰でも簡単にオーナー用ログイン画面に入ることができることがセキュリティ上問題になりかねないのではと感じています。
ただ、アプリを2つに分けたとしてもURLを直接入力すればどのみちオーナー用の画面にたどり着くので、アプリを分ける意味はさほどないのではとも思います。
コードに関する質問ではないため恐縮ですが、どのような設計にするのが良いかアドバイスをいただきたいです。よろしくお願いします。

admin画面への入らせ方についてご意見を聞かせていただきたいです。

###前提・実現したいこと

Flaskで作ったWeb APIにDigest認証をかけた際、curlで正しいユーザー名とパスワードを指定したら認証できるようにしたい

### 発生している問題・エラーメッセージ

Flaskで作ったWeb APIにDigest認証をかけた際、curlで正しいユーザー名とパスワードを指定しても認証されません。何故なのでしょうか？
ブラウザでユーザー名とパスワードを入力した際はうまく認証され、正しいページが表示されます。


```
$ curl --digest -u a:a http://127.0.0.1:80
Unauthorized Access
```

### 該当のソースコード
下記のapi.py以外にDigest認証用の設定は特に行っておりません。apacheを使用しています。

```api.py
from flask import Flask, jsonify, abort, make_response, request
from flask_httpauth import HTTPDigestAuth

api = Flask(__name__)

api.config['SECRET_KEY'] = 'secret key here' #ランダムな値を作成する
auth = HTTPDigestAuth()

#"id":"パスワード"
users = {
    "a": "a",
    "b": "b"
}

@auth.get_password
def get_pw(username):
    if username in users:
        return users.get(username)
    return None

@api.route('/')
@auth.login_required
def index(): 
    return "Hello, %s!" % auth.username()

if __name__ == '__main__':
    api.run(host='127.0.0.1', port=80)
```

### バージョン

Python 3.7.3
Flask  1.0.2
Flask-HTTPAuth  4.4.0

###補足
ちなみにDigest認証からBasic認証に変更した時はcurlでもうまく表示されました。

FlaskでDigest認証をするとcurlでユーザーとパスワードを入れても認証されない

### 前提・実現したいこと
プログラマー歴１年です。
プログラミング言語については、参考書等で基本的な知識を付けたことで、
問題が発生しても、解決できたり、解決するために何を質問すれば良いか分かるようなったりしてきました。

ただ、コマンドライン引数やWOW64の意味など、プログラミング言語とは直接関係ないけれど、プログラムを実装するに
当たって必要となる知識について、どこで基本的なことを学べば良いか分かりません。

上記２点にまつわる問題は、ネットで調べたうえで、実装上の課題について同僚に聞いたりして何とか解決してきました。
ただ、今後も同様の問題が発生しそうだし、行き当たりばったり感が否めません。

そこで、コマンドライン引数やWOW64、TCP/IPの意味など、ネットワークやコマンドプロンプトに関する基礎的な知識を得られる
お勧めの書籍やサイトを教えてほしいです。

### 試していること
応用情報技術者の参考書は持っています。
「キタミ式イラストIT塾 応用情報技術者」
https://www.amazon.co.jp/dp/B07L9QYQ7Z/ref=dp-kindle-redirect?_encoding=UTF8&btkr=1

下記記事を読み始めました。
Windows 2000 活用講座　Windows 2000 コマンドライン徹底活用
https://www.atmarkit.co.jp/ait/articles/0006/01/news001.html

ネットワークやコマンドプロンプトなどの基礎的な知識を得たい

以前書いた、「[あるデータをパスフレーズで暗号化し、公開ストレージ（URLが判明すれば誰でも読み取り可能）に暗号化ファイルの形式で保存し（期間は無期限）、あとからパスフレーズで復号して読み取るためのコード](https://github.com/sounisi5011/sounisi5011.jp/blob/b5ddc5348cc45e7a7253679c96860e39c842313f/plugins/metalsmith/url-shortener/encrypt.js)」を[改修する](https://github.com/sounisi5011/sounisi5011.jp/issues/103)ため、「AES-256 GCM、または、ChaCha20-Poly1305を用いて、データを1つのパスフレーズを用いて暗号化するライブラリ」をTypeScriptで書こうと考えています。

この場合の要件は：

* 暗号化したデータは、第三者が自由に読み取り可能であり、その場合でも安全性を保つ必要がある
* 暗号化したデータは、無期限で利用される場合がある。したがって、短期間のみ用いるものではない
* 暗号化したデータには、パスフレーズを除く、復号に必要な情報がすべて含まれる。暗号化と複合に必要な秘密情報はパスフレーズのみ

になります。例えるなら、Gitリポジトリ内で特定のファイルを暗号化するような場合や、「パスワード管理ツールが生成する暗号化データベース」のようなファイルを生成したい場合に用いるものです。

先行事例を探していたところ、以下のものを発見しました。

[jeanlescure/string-crypto](https://github.com/jeanlescure/string-crypto)

このパッケージは、AES-256 GCM方式で平文とパスワードを元に暗号化を行っています。しかし、パスワードを直接AES-256 GCMのkeyには指定せず、鍵導出関数のPBKDF2を使用してハッシュ化していました。**この理由がわかりません**。

私の理解では、AES-256 GCMの暗号化と復号には、平文以外に「256bitのkey」と「96bitのIV（Initialization Vector；初期化ベクトル）」が必要です。このうち、IVは秘密である必要はありません。したがって、keyのみが秘密情報であり、暗号文からはkeyが絶対に解析できないはずです。（でなければ暗号の意味がない）

一方、鍵導出関数はパスワード/パスフレーズのハッシュ化に用いるためのもので、私の理解では「データベースに『パスワード/パスフレーズの平文』の代わりにハッシュ値を保存し、データの漏洩時にパスワード/パスフレーズの平文を知られないようにするためのもの」です。

よって、AES-256 GCMのkeyに鍵導出関数のハッシュ値を用いる理由として考えられるのは、「keyが暗号文から読み取られた場合」のための備えであると思われます。しかし前述したように、暗号の意味が無くなる「keyが暗号文から読み取られた場合」という想定自体がありえないはずです。

そうなると、パスワード/パスフレーズを鍵導出関数でハッシュ化する理由として考えられるのは、「任意長のパスワード/パスフレーズを256bitの長さのkeyに変換」するためというものです。しかしこれなら、鍵導出関数を用いなくとも、SHA-256などで代用できるはずです。

SHA-256などを使用せず、代わりに鍵導出関数を使う理由として考えられるのは、「不適切に複数のハッシュ関数を利用すると、脆弱になる場合がある」というどこかで聞きかじった情報ですが、確証が得られていません。

まとめると、

* 鍵導出関数を使う理由は、パスフレーズ（として使われる値）が漏洩した場合の備え
* しかし、AES-256 GCMのkeyが暗号文から漏洩する可能性は考えられない
* **AES-256 GCMのkeyに鍵導出関数のハッシュ値を用いる理由が不明**

という疑問が生じます。

なぜ、暗号文から内容が判明しないはずのkeyに、鍵導出関数を用いたハッシュ値を指定するのでしょうか？

AES-256 GCMに渡すkeyに、パスワードそのものではなく、鍵導出関数（PBKDF2など）で生成したハッシュ値を指定する理由は？

スマホサイトに掲載している広告で、スクロールよりもtouchendが優先され、触れてしまうと意図せず広告ページに推移してしまうものがあるため、サイト側でtouchendを無効化したいです。

広告は<script>タグで囲まれたやつです。

JavaScriptまたはCSSで実現可能な方法があればご教授頂きたいです。