常連

#前提知識
SQLについて勉強していく中でSQLインジェクション攻撃というものを知りました。
複数の解説サイト等を読んでいくと自分がこれまで書いていたコードが「危険性のあるコード」として紹介されているものと近いのではないかと不安になりました。
自分の知識不足は反省するとして、これから書いていくコードをSQLインジェクション攻撃の対策が取れたコードにしなくてはいけないと思いました。
ただ、~~本当に自分が知識不足過ぎるだけなのですが~~いくつかの解説サイトを読んでもどう直せばSQLインジェクション攻撃の対策が取れたセキュア？なコードになるのかがいまいち理解できませんでした。

---
#聞きたいこと
0. 今の自分の理解に間違っている部分があれば指摘してほしいです。

0. （今の自分の理解があっているとするなら）こうすれば対策が取れたコードになるんじゃないか、というコードは書いてみたのですが、これではたして対策できているのか、なぜこれで対策になるのかがわかりません。対策できていますか。また、対策できていないとすればどこを直せばいいですか。

0. これまでは`'SQL文を実行するコードに続く`の部分でSQLを実行する実態部分をCallしていました。（引数がSQL文で、返り値が実行結果）直した方法のうち、例2の方法だとSQL文を作るためには接続を先に作成しなくてはいけません。つまり、セキュア？なSQL文を作成するためにもSQL文を作成する部分とSQL実行部分を分けてはいけないということでしょうか。

#利用環境
VB.NET
SQL Server

---

#勉強したことまとめ
##SQLインジェクション攻撃とは
例えばログインIDとパスワードを入力してログインするフォームがあるとする。
ユーザはログインIDとパスワードをテキストボックスに入力してログインする。
このとき、テキストボックスにSQL文を直接入力されてしまうと、こちらが意図していないSQL文が実行されてしまう可能性がある。
SQL文がこうなっているとして、
```SQL
SELECT
    COUNT(UserID) AS cnt
FROM m_User
WHERE UserID = 'ユーザIDテキストボックスの値' AND pass= 'パスワードテキストボックスの値'
```
パスワードのテキストボックスに
```
a' OR '1' = '1
```
と入力されてしまうと、SQL文の結果が
```SQL
SELECT
    COUNT(UserID) AS cnt
FROM m_User
WHERE UserID = 'ユーザIDテキストボックスの値' AND pass= 'a' OR '1' = '1'
```
となってしまい、だれでも入れるログインフォームになってしまう。
OR句が入っているので、ORの右側の条件`'1' = '1'`に該当するとOKになってしまう。
（つまり100%該当してしまう）
##防ぐためにはどうすればいいか
いくつか紹介されていた（例えばテキストボックスの値を利用する場合エスケープを毎回挟むなど）が、これについて調べたいと思った。
###SQL 文の組み立ては全てプレースホルダで実装する。
> プレースホルダによる組み立てとは、パラメータ部分を?などの記号で示しておき、後に、そこへ実際の値を機械的な処理で割り当てる方法である。

##SQLインジェクション攻撃を知るまでに書いていたコード
ログインフォームを例とする。
###例1
```VB.net
Private Sub bt_login_Click(sender As Object, e As EventArgs) Handles bt_login.Click
    Dim sqlstr As String = "SELECT COUNT(UserID) AS cnt FROM m_User WHERE UserID = '" & tx_userid.Text & "' AND pass= '" & tx_pass.Text & "'"
    'SQL文を実行するコードに続く
    Dim dt As DataTable = SqlExecution(sqlstr)
End Sub
```
###例2
```vb.net
Private Sub bt_login_Click(sender As Object, e As EventArgs) Handles bt_login.Click
    Dim userid As String = tx_userid.Text
    Dim pass As String = tx_pass.Text
    Dim sqlstr As String = "SELECT COUNT(UserID) AS cnt FROM m_User WHERE UserID = '" & userid & "' AND pass= '" & pass & "'"
    'SQL文を実行するコードに続く
    Dim dt As DataTable = SqlExecution(sqlstr)
End Sub
```
##知ったうえで対策を考えて書いたコード
###例1
説明を読んでこういうことか？と思いながら作ったもの。
今までと何が変わったのかよくわからない
```vb.net
    Dim userid As String = tx_userid.Text
    Dim pass As String = tx_pass.Text
    Dim sqlstr As String = "SELECT COUNT(UserID) AS cnt FROM m_User WHERE UserID = '@ID' AND pass= '@PASSWORD'"
    sqlstr = sqlstr.Replace("@ID", userid)
    sqlstr = sqlstr.Replace("@PASSWORD", pass)
    'SQL文を実行するコードに続く
    Dim dt As DataTable = SqlExecution(sqlstr)
```
###例2
VB.netで解説されているサイトを探して書いたもの
何をやっているのかはよくわかってないし、SQL文を作成する部分とSQL文を実行する部分を分けることができないのかな、と思ってしまう。
```vb.net
Private Sub bt_login_Click(sender As Object, e As EventArgs) Handles bt_login.Click
    Dim userid As String = tx_userid.Text
    Dim pass As String = tx_pass.Text

    Dim connectionString As String = "" '接続文字列は今回伏せる
    Dim con As SqlConnection = New SqlConnection(connectionString)

    Dim sqlstr As String = "SELECT COUNT(UserID) AS cnt FROM m_User WHERE UserID = @ID AND pass= @PASSWORD"

    Dim command As SqlCommand = New SqlCommand(sqlstr, con)
    Dim pID As SqlParameter = New SqlParameter("@ID", userid)
    command.Parameters.Add(pID)
    Dim pPassword As SqlParameter = New SqlParameter("@PASSWORD", pass)
    command.Parameters.Add(pPassword)
    'SQL文を実行するコードに続く
End Sub
```
---
#まとめ
0. SQLインジェクション攻撃について知った。
0. 自分のコードは対策ができていないのではと思った。
0. 対策方法を考えたが、対策できているのかよくわからなくなった。

知識不足ゆえに質問も的を射ていないかもしれませんが、よろしくお願いします。


---

#試した上での追記
例1、例2、修正例1、修正例2全て試しました
結果として
**例1、例2、修正例1はダメ。修正例2はOK**でした。
修正例1は例1、例2と同じ結果になりました。
（ユーザテーブルの全件のカウントが返ってくる）
実行されたSQLを出力すると以下のようでした。
```SQL
SELECT COUNT(UserID) AS cnt FROM m_User WHERE UserID = '0001' AND pass= 'a' OR '1'='1'
```
それに対して修正例2は0件（該当なし）が返ってきました
実行されたSQLを出力すると以下のようでした。
```SQL
SELECT COUNT(UserID) AS cnt FROM m_User WHERE UserID = @ID AND pass= @PASSWORD
```

SQLインジェクション攻撃の防ぎ方がわかりません。

### 前提・実現したいこと
pythonのコードを日曜日を除く毎日8:00に定期実行したいのですが、
コードを実行して次の日は正しく動作するのですが、その翌日がなぜか実行されません。
定期実行をするためにpythonのscheduleモジュールを使っています。

例）月曜日の20:00に実行→火曜日の8:00は正しく動作。
　　水曜日の8:00は実行されず、それ以降の日も実行されない。
### 該当のソースコード


```python
import subprocess
from datetime import datetime as dt
import schedule

def job():
        excuted_date = dt.today().strftime('%Y_%m_%d')
        print(f'実行日時：{excuted_date}')
        cmd = 'python XXXXXXX.py'
        subprocess.Popen(cmd.split())

excute_time = "08:00"
schedule.every().monday.at(excute_time).do(job)
schedule.every().tuesday.at(excute_time).do(job)
schedule.every().wednesday.at(excute_time).do(job)
schedule.every().thursday.at(excute_time).do(job)
schedule.every().friday.at(excute_time).do(job)
schedule.every().saturday.at(excute_time).do(job)

while True:
    schedule.run_pending()
    time.sleep(1)
```

### 実行環境
OS：Red Hat Enterprise Linux Server release 7.5 (Maipo)
nohup &でバックグラウンド実行しています。

pythonのscheduleを使ったコードの定期実行

いつもお世話になっております。

私は仕事しては経験１年目のプログラマです。仕事しではjavaを扱っておりました。
個人的な勉強ではPHPを勉強しています。

最近、プログラミングに関する記事を読むことが多いのですが、PHPがオワコンとか、廃れるとかなどをよく目にします。実際に他のプログラマの方からも聞くことがあります。

その時の記事をよく見るのですが、私の技術力不足もあるのですが抽象的にしかわかりません。。。

皆様のご意見をお聞かせください。

「私はPHPがいいと思っているけど、ここはダメだなー」とか、
「PHPは○○が理由でやめました、代わりに○○の言語に切り替えました」などの意見を聞かせてください！

phpがダメと言われる理由

お世話になります。
html勉強中のものです。

aタグをクリックし
javascriptに飛ばす際に
idを渡すことはできないでしょうか？

サイトを参考にコードを書いてみましたが
undefinedとなってしまいました。

以下、簡略化したソースとなります。
ご存じの方いらっしゃいましたら、ご教授いただけますと幸いです。

```javascript
  <script language="javascript" type="text/javascript">
    function alertId(ele){
        alert(ele.id);
    }
  </script>

```

```html
<a id="test" href='javascript:alertId(this);'>
    リンク
</a>

```

aタグからjavascriptにidを渡す方法

Youtube Data APIを利用して、「複数のチャンネルのライブ配信状況をチェックし、ライブ配信中だった場合は処理をする」という動作を実装しようと思い、ネット上の記事を参考に下記のコードを書きました

その結果、処理を実装することはできたのですが、YouTube Data APIにはクォータの制限があり、現状その消費量が馬鹿にならないので、もっと無駄を省けないかと思い質問致しました

---
以下は現在のコードです

```ここに言語を入力
define('YOUTUBE_API_KEY', '###'); // APIキー
function json_get($url, $query = array(), $assoc = false) { 
    if ($query) $url .= ('?' . http_build_query($query, '', '&', PHP_QUERY_RFC3986));
    $curl = curl_init();
    curl_setopt($curl, CURLOPT_URL, $url);
    curl_setopt($curl, CURLOPT_SSL_VERIFYPEER, false); 
    curl_setopt($curl, CURLOPT_RETURNTRANSFER, true);
    curl_setopt($curl, CURLOPT_CONNECTTIMEOUT, 10); 
    $responseString = curl_exec($curl);
    curl_close($curl);
    return ($responseString !== false) ? json_decode($responseString, $assoc) : false;
}
function h($value, $encoding = 'UTF-8') {
    return htmlspecialchars($value, ENT_QUOTES, $encoding); 
} 
function eh($value, $encoding = 'UTF-8'){
    echo h($value, $encoding); 
} 
foreach($streamers as $streamer){ //streamers配列には複数の動画配信者の情報(チャンネルID等)が含まれる
    $response = json_get('https://www.googleapis.com/youtube/v3/search', array(
        'key' => YOUTUBE_API_KEY,
        'channelId' => $streamer['channelID'], 
        'part' => 'snippet', 
        'eventType' => 'live', 
        'type' => 'video', 
    ), true);
    if($response["items"]!=null){ //ライブ中かどうかの判定(配列の内"item"の中身が空かどうかで判断)
        //ライブ中だった場合の処理
    }
}
```

Youtube Data APIから受け取る情報の内、必要なものは「ライブ配信中かどうか」という情報だけであり、それ以外については利用しておりません

もしコードの中に無駄な記述等があればご教授いただけると嬉しいです

Youtube Data APIを利用してチャンネルのライブ配信状況を取得する方法

お世話になっております。

現在、Google APIを利用しようとしているのですが、APIをリクエストするためのアクセストークンは有効期限が短いため、
リフレッシュトークンを取得し自動更新しようとしています。

しかし、JavaScriptによりリフレッシュトークンを取得する方法が分かりません。

ユーザーからアクセス認証をもらったとき（gapi.auth2.getAuthInstance().signIn()）のコールバックで返ってきているのかなと思ったのですが、
アクセストークン（やクライアントID等）しかありませんでした…。

有識者の方、ぜひお知恵をお借りできれば幸いです。

【JavaScript】Google APIのリフレッシュトークンを取得できない

最近、Google Calendar API v1,v2のサービス終了にともないAPI v3に、アップデートしました。このAPIのOAuth2.0認証についてですが、アクセストークンとリフレッシュトークンが発行され、アクセストークンの期限が切れたら、リフレッシュトークンを用いて新しいアクセストークンを交換する流れになるのですが、リフレッシュトークンの期限も48時間くらいで切れる気がします。
ただ、その前に、アクセストークン再発行の際、リフレッシュトークンも新しいものに切り替わったことがある気がします。"ある気がする"というのは、まだ1回しかその瞬間を目撃したことが無いからです。
私の作成しているサービスは、ユーザーのカレンダーデータをエンドユーザーが確認するという流れになるため、その性質上、ユーザーに何度も再認証をさせるわけにはいきません。
できれば、リフレッシュトークンをうまく交換し続けて再認証を無くしたいのですが、
・リフレッシュトークンの正確な期限、
・新しいリフレッシュトークン発行のタイミング、
もしくは、別の方法で、一度の認証で半永久的にAPIに接続する方法をご存知の方がいらっしゃれば教えてください。
現在は、30分ごとにトークンの再発行を行い、上記内容の特定を進めているところですが、リフレッシュトークンの期限が長いので、試行錯誤しております。