論点の整理: 文字エンコーディングバリデーションは自動化が望ましい - 徳丸浩の日記(2009-09-18)

_文字エンコーディングバリデーションは自動化が望ましい 私が9月14日に書いたブログエントリPHP以外では - 既にあたり前になりつつある文字エンコーディングバリデーションに対して、大垣靖男さんから名指しで「セキュリティ専門家でも間違える！文字エンコーディング問題は難しいのか?」というエントリを頂戴しましたので、それに回答する内容を書きたいと思います。 まずは論点の整理から始めます。 合意していると思われる内容 まずは合意できていると思われる内容から書き始めたいと思います。以下の内容は、大垣さんと私で合意事項だと考えています。 論点1.文字エンコーディングの問題によるセキュリティ上の脅威がある 論点2.文字エンコーディングに起因するセキュリティ上の問題に対して、文字エンコーディングのバリデーションが有効である 論点3.Webアプリケーションによっては文字エンコーディングのバリデーションが不

[NyaRuRu]

「基盤ソフトウェア」と書かれるべきところが沢山「言語」と書いてある点に注意．結果としてASP.NET=「言語」みたいな文章になっている．

[no_ri]

『文字エンコーディングのバリデーションは基盤ソフトウェア側の担当になる *べき* 』私もそう思います。

[raimon49]

入り口と出口　自動化

[tell-k]

* 論点1.文字エンコーディングの問題によるセキュリティ上の脅威がある * 論点2.文字エンコーディングに起因するセキュリティ上の問題に対して、文字エンコーディングのバリ

[FTTH]

先の内容ではイラっと来たが、今度は「そうですね」という内容。

[kazuhooku]

logical

[MinazukiBakera]

すっきり。Perlの場合はプログラマが意識してそういう書き方をしなければならないので、そこは注意が必要ですね。

[fukken]

何も意識せずともクリーンなUTF-8が渡ってくる、というレベルまで言語が面倒をみる方がPHP的な気がする

[nihen]

「Perlに関しては、use utf8;によるモダンな書き方をすること」use utf8はスクリプト中のリテラルに作用するだけなので、どちらかというと「use Encode;によるモダンな書き方をすること」のほうが適切なのかなぁとか

[hasegawayosuke]

「氏の肩書きはイベント時の紹介に従っています」