#[\SensitiveParameter]でスタックトレースにパスワードを載せない
#[\SensitiveParameter] は PHP 8.2 で追加された属性で、付けた引数の値をバックト…
-
-
filter_varで入力値を検証する – falseと0の罠、optionsの書き方
filter_var とは、値を指定したフィルタで検証または整形して返すPHPの関数です。検証に失敗すると f…
-
PHPのserialize/unserializeは何が危ないのか – __serializeと allowed_classes の実務ライン
PHPの serialize() は、配列やオブジェクトを文字列に変換して保存・復元できる関数です。unser…
-
hash_equalsでタイミング攻撃を防ぐ
hash_equalsとは、二つの文字列を常に一定の時間で比較して一致を返すPHPの関数です。処理時間の差から…
-
random_bytesで安全なトークンを生成する
random_bytesとは、暗号論的に安全なランダムなバイト列を生成するPHPの関数です。トークンや鍵など推…
-
CSRFトークンの考え方
CSRFとは、ログイン済みの利用者のブラウザを悪用し、外部サイトから勝手にリクエストを送らせる攻撃です。フォー…
-
プリペアドステートメントでSQLインジェクションを防ぐ
プリペアドステートメントは、SQLの構造と値を分離して実行する仕組みです。値がSQLの一部として解釈されなくな…
-
password_hashとpassword_verifyで安全にパスワードを扱う
password_hashとpassword_verifyは、パスワードを安全にハッシュ化・照合するための関数…
-
randとrandom_intの決定的な違い
random_intは、OSの暗号論的に安全な乱数源から整数を生成する関数です。予測可能なmt_randと違い…
-
htmlspecialcharsでXSSを防ぐ出力エスケープの原則
htmlspecialcharsは、HTMLの特殊文字をエスケープしてXSSを防ぐ関数です。DBに入れる前では…