[過去ﾛｸﾞ] 【PHP】下らねぇ質問はここに書き込みやがれ 12 (1002ﾚｽ)
上下前次1-新
抽出解除 ﾚｽ栞
このｽﾚｯﾄﾞは過去ﾛｸﾞ倉庫に格納されています｡
次ｽﾚ検索 歴削→次ｽﾚ 栞削→次ｽﾚ 過去ﾛｸﾞﾒﾆｭｰ
ﾘﾛｰﾄﾞ規制です｡10分ほどで解除するので､他のﾌﾞﾗｳｻﾞへ避難してください｡
485(7): (ｱｳｱｳｸｰ MM05-KMlg) 2021/07/26(月)20:20 ID:BzqZLuZJM(1) AAS
1つ聞きたいんですが画像ファイルのセキュリティについてです。
自分の調べた聞いて理解した範囲では画像を<img src="画像URL">で表示するのは、
画像を表示するためにそのURLにアクセスできるので危険
↓
画像をbase64にエンコードします
デコード（複合化）もできるので意味がほぼないです
↓
省8
486: (ﾜｯﾁｮｲ 8bbb-OwHR) 2021/07/26(月)20:26 ID:B9v6ZV500(1/2) AAS
>>485
どのようなリソースをどのような攻撃から守るかの仕様が提示されない以上正解はありません
セキュリティポリシーやセキュリティ設計から見直してください
実装を決めるのはその後です
487(4): (ﾜｯﾁｮｲ 1302-/zz1) 2021/07/26(月)20:31 ID:7+uo32oc0(1/3) AAS
>>453
>>485
お前のやりたいことはWordpressの管理画面からアップした画像の表示だろ
そんなもんのセキュリティ気にして変換する奴なんていねーよ
つーかWPスレ池
499: (ﾜｯﾁｮｲ 7bad-USot) 2021/07/27(火)08:14 ID:SyBbAbx40(1) AAS
質問は>>485であってwordpress関係ないだろ
>>487が勝手にwordpressだって決めつけてる
質問も意味不明だけどね、何を聞きたいのか簡潔にしてほしい
> つーかWPスレ池
お前がいけよw
504: (ﾜｯﾁｮｲ 7108-8Xcr) 2021/07/28(水)10:44 ID:5Wbud5da0(1/7) AAS
>>485
関連レスをザッとだけ読んだけど、スレ回答者の中にもおかしな事を言ってるやつはわりといる
いちいち指摘してたらキリないから割愛するが、スレ回答者の皆が実務経験豊富なプロってわけじゃないからなぁ…
でもお前さんも、自分が「思い込みが激しくて頭が固いタイプ」だって事は自覚しよう
rssの質問のときも、print_r($rss); とするだけで理解できる筈の事を理解できず、質問を繰り返してたでしょ？
だからスレが荒れるんだよ？ 分かる？
505(2): (ﾜｯﾁｮｲ 7108-8Xcr) 2021/07/28(水)10:44 ID:5Wbud5da0(2/7) AAS
>>485
で、元の質問は>>453でしょ？
画像を出力するコードの中にHTMLを出力すれば、意図した結果にならないのは当たり前
普通は「画像出力専用のPHP」を用意してこうやる
<img src="output_image.php?id=12345">
そして「HTMLを出力するPHP」の中で下記のようにすればいいだけ
<html>
省10
506: (ﾜｯﾁｮｲ 7108-8Xcr) 2021/07/28(水)10:46 ID:5Wbud5da0(3/7) AAS
>>485
>>505に書いたoutput_image.phpの仕様がもし
output_image.php?path=img/abc/123.jpg
のように、画像のパスを渡したらその内容をそのまま表示するとなっていた場合、「パストラバーサル」と呼ばれる脆弱性が発生する危険性がある
例えば、pathの値が「img/../../../secret.txt」だった場合、意図せずsecret.txtの中身が第三者に読まれてしまうって事ね
だから、そうならないようpathの値をしっかりチェックしないといけないのだけど、一連の質問を見ている感じ、あなたにそれを自前でやるのは無理だと思う
なので、「ファイルパスを渡す」のではなく、最初の例のように「画像を識別できるIDを渡す」ようにすればいい
省2
507(1): (ﾜｯﾁｮｲ 7108-8Xcr) 2021/07/28(水)10:50 ID:5Wbud5da0(4/7) AAS
>>485
最後に
アップロード処理が管理者にしかできない ＝ 第三者に変なファイルをアップされる心配がないのであれば、
<img src="img/abc/123.jpg">
で別にええのよｗ
img/abc/123.jpg というファイルパスを第三者に知られたくないなら、>>505の例のように「間にPHPをかまして出力」すれば良いってだけ
逆に、第三者に変なファイルをアップされる心配があるのであれば、「アップロード処理の際に（出力の時ではなく）」厳密なチェック処理をしないとダメ
省9
上下前次1-新書関写板覧索設栞歴
ｽﾚ情報 赤ﾚｽ抽出 画像ﾚｽ抽出 歴の未読ｽﾚ AAｻﾑﾈｲﾙ
ぬこの手 ぬこTOP 0.032s