ariyasacca

▼ [Web] サニタイズ症候群

2006年1月5日(木曜日) のえび日記経由で知った記事。

うちの会社も、最近は猫も杓子も「サニタイズせよ」の大号令だったりするので、ふむふむと思いながら読んだ。

• 高木浩光＠自宅の日記:2005年12月31日
  • 要約版：「サニタイズ言うなキャンペーン」とは
  • 既にここまで来ている――サニタイズ症候群の末期的惨状
  • 「じゃあなんと言えばいいのか」って？
  • 「セカンドオーダーSQLインジェクション」ですって？

「サニタイズせよ」という言葉が、本来View層で行うべきHTMLの特殊文字の実態参照への置換処理を、入力引数で受け取った段階でやるべきであると勘違いさせかねない、ということなのかな。

サニタイズだのサニタイジングだの、曖昧な言葉に頼っていてはいけないよな！　それぞれ適切な日本語で表現すべきだよ！　と思って自分が価格.com事件への言及をした時の日記を読み返すと、

このアサヒコムの記事が真実であればの話ですが、入力フォームから投げられたSQLコマンドをサニタイジングしてないようなWebアプリケーションは、最高レベルのセキュリティどころか最悪です。

アッー！