常連

注目の的

社会貢献

単体テスト、結合テストについて質問です。
私はこれらのテストについて以下のように考えております。

- 単体テストについて

単体テストはカバレッジが100％になることを確認するものと考えており、先にテストソースを書いてから仕様書を書いています。

- 結合テストについて


結合テストは予めテストケースを考えてからブラックボックステストを行い、処理が想定通りに行われることを確認するものと考えています。


- お伺いしたいこと

カバレッジを100％にするための単体テストの意味が分からなくなってきており、ソース記述と仕様書作成の順番も逆のような気がします。少し理想論すぎるとも思うのですが、本来は仕様書を先に書き、それを元にテストを記述して実行した結果カバレッジを100％にするものなのでしょうか。

また、結合テストケースは作ろうと思えば際限なく作れそうに思え、その線引きに悩んでいます。例えば5つの定義が記述されている定義ファイルを読み込む機能のテストをする場合、各定義キーの値が記述されているかいないかの組み合わせだけでも2の5乗で32通りあると思います。結合テストケースの線引きは製作物の重要度等を考慮してテスト作成者がテストケースを取捨選択するものと捉えてよいのでしょうか。

それ以外にも回答者様のテスト方針等がありましたら聞かせていただけると幸いです。よろしくお願い致します。

単体テスト、結合テストの方法について

### 前提
Flutterで日記アプリ開発をしています。まだ学習したばかりでデータの保存方法について悩んでいます。
- ネットがつながっている時に動けば問題ないと考えています。
- 将来的にはバックアップをできるようにはしたい
- ユーザー登録しなくても使えるようにしたい

### 実現したいこと
データ保存方法でいくつか候補があるのですが、できる限り一般的な実装方法は何でしょうか？
希望としてはできる限りシンプルで簡単な実装を好みます。（Laravelに慣れています。）

・アプリ内ではデータを保存せず、API経由でサーバ側に保存する
→　アプリ内にデータベースを構築しなくてもよいので比較的簡単に実装できると思っています。(私がLaravelに慣れていることもあり)
ですが、セキュリティ対策として少し不安があるのですが、APIキーのやり取りで対応すればいいのでしょうか？
また、ユーザー登録せずに使うことも可能でしょうか...?

・Sqliteでアプリ内にデータを保存する
→　私が慣れていないこともあり手間がかかる可能性あり　ローカルで保存しているのでセキュリティとしては安心？


アプリ開発におけるデータの保存方法について

Javascript　の基本的なコードの書き方

現在オンラインスクールにて、javascriptの勉強をしているのですが、
関数のあたりでもうさっぱりコードの書き方の検討がつかなくなってしまっておりまして
以下の内容の場合のコードの書き方や、考え方を教えていただけたら、大変嬉しいです・・！


ーーーーーーーーーーーーーーーーーーーーーーーーーーーー
例題
数値の配列を引数として渡すと、配列の各要素の合計値を戻り値として返す関数 getArraySum 及び
 配列の各要素の平均値を戻り値として返す関数 getArrayAverage を定義してください。

配列は以下を利用してください。

let numbers = [100, 200, 300, 400, 500, 600];


ーーーーーーーーーーーーーーーーーーーーーーーーーーーー

ご回答、お持ちしております！！！





Javascript　の関数の書き方（要素の合計値を戻り値として返す関数など）

#前提知識
SQLについて勉強していく中でSQLインジェクション攻撃というものを知りました。
複数の解説サイト等を読んでいくと自分がこれまで書いていたコードが「危険性のあるコード」として紹介されているものと近いのではないかと不安になりました。
自分の知識不足は反省するとして、これから書いていくコードをSQLインジェクション攻撃の対策が取れたコードにしなくてはいけないと思いました。
ただ、~~本当に自分が知識不足過ぎるだけなのですが~~いくつかの解説サイトを読んでもどう直せばSQLインジェクション攻撃の対策が取れたセキュア？なコードになるのかがいまいち理解できませんでした。

---
#聞きたいこと
0. 今の自分の理解に間違っている部分があれば指摘してほしいです。

0. （今の自分の理解があっているとするなら）こうすれば対策が取れたコードになるんじゃないか、というコードは書いてみたのですが、これではたして対策できているのか、なぜこれで対策になるのかがわかりません。対策できていますか。また、対策できていないとすればどこを直せばいいですか。

0. これまでは`'SQL文を実行するコードに続く`の部分でSQLを実行する実態部分をCallしていました。（引数がSQL文で、返り値が実行結果）直した方法のうち、例2の方法だとSQL文を作るためには接続を先に作成しなくてはいけません。つまり、セキュア？なSQL文を作成するためにもSQL文を作成する部分とSQL実行部分を分けてはいけないということでしょうか。

#利用環境
VB.NET
SQL Server

---

#勉強したことまとめ
##SQLインジェクション攻撃とは
例えばログインIDとパスワードを入力してログインするフォームがあるとする。
ユーザはログインIDとパスワードをテキストボックスに入力してログインする。
このとき、テキストボックスにSQL文を直接入力されてしまうと、こちらが意図していないSQL文が実行されてしまう可能性がある。
SQL文がこうなっているとして、
```SQL
SELECT
    COUNT(UserID) AS cnt
FROM m_User
WHERE UserID = 'ユーザIDテキストボックスの値' AND pass= 'パスワードテキストボックスの値'
```
パスワードのテキストボックスに
```
a' OR '1' = '1
```
と入力されてしまうと、SQL文の結果が
```SQL
SELECT
    COUNT(UserID) AS cnt
FROM m_User
WHERE UserID = 'ユーザIDテキストボックスの値' AND pass= 'a' OR '1' = '1'
```
となってしまい、だれでも入れるログインフォームになってしまう。
OR句が入っているので、ORの右側の条件`'1' = '1'`に該当するとOKになってしまう。
（つまり100%該当してしまう）
##防ぐためにはどうすればいいか
いくつか紹介されていた（例えばテキストボックスの値を利用する場合エスケープを毎回挟むなど）が、これについて調べたいと思った。
###SQL 文の組み立ては全てプレースホルダで実装する。
> プレースホルダによる組み立てとは、パラメータ部分を?などの記号で示しておき、後に、そこへ実際の値を機械的な処理で割り当てる方法である。

##SQLインジェクション攻撃を知るまでに書いていたコード
ログインフォームを例とする。
###例1
```VB.net
Private Sub bt_login_Click(sender As Object, e As EventArgs) Handles bt_login.Click
    Dim sqlstr As String = "SELECT COUNT(UserID) AS cnt FROM m_User WHERE UserID = '" & tx_userid.Text & "' AND pass= '" & tx_pass.Text & "'"
    'SQL文を実行するコードに続く
    Dim dt As DataTable = SqlExecution(sqlstr)
End Sub
```
###例2
```vb.net
Private Sub bt_login_Click(sender As Object, e As EventArgs) Handles bt_login.Click
    Dim userid As String = tx_userid.Text
    Dim pass As String = tx_pass.Text
    Dim sqlstr As String = "SELECT COUNT(UserID) AS cnt FROM m_User WHERE UserID = '" & userid & "' AND pass= '" & pass & "'"
    'SQL文を実行するコードに続く
    Dim dt As DataTable = SqlExecution(sqlstr)
End Sub
```
##知ったうえで対策を考えて書いたコード
###例1
説明を読んでこういうことか？と思いながら作ったもの。
今までと何が変わったのかよくわからない
```vb.net
    Dim userid As String = tx_userid.Text
    Dim pass As String = tx_pass.Text
    Dim sqlstr As String = "SELECT COUNT(UserID) AS cnt FROM m_User WHERE UserID = '@ID' AND pass= '@PASSWORD'"
    sqlstr = sqlstr.Replace("@ID", userid)
    sqlstr = sqlstr.Replace("@PASSWORD", pass)
    'SQL文を実行するコードに続く
    Dim dt As DataTable = SqlExecution(sqlstr)
```
###例2
VB.netで解説されているサイトを探して書いたもの
何をやっているのかはよくわかってないし、SQL文を作成する部分とSQL文を実行する部分を分けることができないのかな、と思ってしまう。
```vb.net
Private Sub bt_login_Click(sender As Object, e As EventArgs) Handles bt_login.Click
    Dim userid As String = tx_userid.Text
    Dim pass As String = tx_pass.Text

    Dim connectionString As String = "" '接続文字列は今回伏せる
    Dim con As SqlConnection = New SqlConnection(connectionString)

    Dim sqlstr As String = "SELECT COUNT(UserID) AS cnt FROM m_User WHERE UserID = @ID AND pass= @PASSWORD"

    Dim command As SqlCommand = New SqlCommand(sqlstr, con)
    Dim pID As SqlParameter = New SqlParameter("@ID", userid)
    command.Parameters.Add(pID)
    Dim pPassword As SqlParameter = New SqlParameter("@PASSWORD", pass)
    command.Parameters.Add(pPassword)
    'SQL文を実行するコードに続く
End Sub
```
---
#まとめ
0. SQLインジェクション攻撃について知った。
0. 自分のコードは対策ができていないのではと思った。
0. 対策方法を考えたが、対策できているのかよくわからなくなった。

知識不足ゆえに質問も的を射ていないかもしれませんが、よろしくお願いします。


---

#試した上での追記
例1、例2、修正例1、修正例2全て試しました
結果として
**例1、例2、修正例1はダメ。修正例2はOK**でした。
修正例1は例1、例2と同じ結果になりました。
（ユーザテーブルの全件のカウントが返ってくる）
実行されたSQLを出力すると以下のようでした。
```SQL
SELECT COUNT(UserID) AS cnt FROM m_User WHERE UserID = '0001' AND pass= 'a' OR '1'='1'
```
それに対して修正例2は0件（該当なし）が返ってきました
実行されたSQLを出力すると以下のようでした。
```SQL
SELECT COUNT(UserID) AS cnt FROM m_User WHERE UserID = @ID AND pass= @PASSWORD
```

SQLインジェクション攻撃の防ぎ方がわかりません。

いつもお世話になっております。K_T_T_Kです。

サーバを複数台構成で動作させたいのですが、複数を動作させる方法がわからず投稿させていただきました。

サーバ構成としては、

・Webサーバ
CentOS 7
PHP
Nginx

・DBサーバ
CentOS 7
Mysql

という別々のサーバがあり、それぞれの複数のサーバーを動かしたいです。
（大きなシステムだと当然の構成だと思いますが。。）

自分は過去に１つのサーバにWebサーバとDBサーバを動かしていましが今回はこれら別々で複数台構成で動作させたいです。
色々と調べたりしているのですが、なかなか良い情報がみつかりません。。

上記のように複数台でサーバを構成して動作させるにはどうすれば良いのでしょうか？
何かアドバイス宜しくお願いします。

サーバ Web/DBサーバを複数台で構成したい

C言語超初心者です（というかまだほとんど勉強すらしていません）が、　
C言語にはC / C++ / C# /objective C （?）　があると聞きました。　
それで、これらはどれくらい違いがあるのでしょうか？
（例えば、Cで書いたプログラムをC++の実行環境で動かす　みたいなこと（あるいは逆）はできますか？　）

「これとこれは明らかにここが違う」みたいなことを簡単に教えていただけると幸いです

C / C++/ C#　はどう違うのか

タグにはGo、Rust、Haskellと入れさせていただきましたが、それに限らず静的型付け言語でテストを行うにはどうすれば良いのかを考えています。方針的には2つあるかと思います。

- 副作用の薄いラッパーを作り注入して、テスト時はモックと差し替える
- 本番と同じコード（副作用をそのまま）を書いてテスト環境を作ってテストする。

前者のほうが実装としてはスマートですがやはり手間がかかります。それにDockerで気軽にコンテナを立てられたり、クラウド環境もコード化できている昨今の事情を考えると後者の手法でも良いのではないかと思っています。

おそらくベストプラクティスのでない問ではあるのでしょうが、実際現場でのテストコードの運用を踏まえた上でどうするのか良いかご教授いただければと思います。