【PHP】下らねぇ質問はここに書き込みやがれ 55
■ このスレッドは過去ログ倉庫に格納されています
0001nobodyさん
2007/09/29(土) 18:35:56ID:YlkpEUW6PHPで最良の教本はこの公式マニュアル。市販の書籍は嘘が多いので鵜呑みにしない。
過去スレ、関連スレ、FAQなどは>>2-10辺り
◆前スレ
【PHP】下らねぇ質問はここに書き込みやがれ 54
http://pc11.2ch.net/test/read.cgi/php/1189309377/
◆質問する時の注意
・ 自分のIDを表示させること。（メール欄に何も記述しないこと。空白も入力しちゃダメ）
・ サーバーのOS(Linux、Windows他)、WebサーバーとPHPの種類やバージョン等を明記すること。
・ 己の行った操作、変更などを詳しく明記すること。
・ エラーメッセージはそのまま表記すること。「エラーが出ます」だけでは回答不可。
・ 質問者として、態度をわきまえること。
・ 事前に公式マニュアル、リファレンス本くらいはちゃんと目を通しておくこと。
◆質問後の注意
・偽者防止に必ずIDを表示させること。（メール欄に何も記述しない）
・2回目以降は最初に質問した際のレス番号を名前欄に入れること。
・解決しなくても回答をもらった場合はお礼を言うこと。
（荒らし、煽りは除く。煽られたときも、無闇に反論せずスルーすること。）
◆回答者への注意
・誰にレスしているのか分からないと困るので、>>(アンカー)をつけて回答すること。
【その他諸注意】
・正規表現・PEAR・テンプレート(Smarty等)・フレームワークは各該当スレへ
・SQLについての質問はデータベース板(PCカテゴリ)の各スレで
0756nobodyさん
2007/10/10(水) 09:44:17ID:???今は抽象化レイヤがトレンド？
0757nobodyさん
2007/10/10(水) 09:48:50ID:???というのが効率良く思えないんだけどな。効率など考えない企業向けなら何処で何をしようが
関係ないだろうけどｗ。
0758nobodyさん
2007/10/10(水) 09:51:28ID:???画面で入力可能にしているのが諸悪の根源だよ。
0761nobodyさん
2007/10/10(水) 09:54:56ID:???完璧だと思い込んでいる奴が墓穴をほるケースだわ。
0762nobodyさん
2007/10/10(水) 09:55:22ID:???0763nobodyさん
2007/10/10(水) 09:55:44ID:cLvYq00J0765nobodyさん
2007/10/10(水) 09:58:50ID:???100％ユーザーのIDやパスワードも生で入れるタイプ。
0768nobodyさん
2007/10/10(水) 10:12:03ID:???0769nobodyさん
2007/10/10(水) 10:12:04ID:???すまん、早とちりした
てか、IDとパスワードはエスケープしないで使える文字を限定しているわけだが
それでもエスケープって必要なのかな
正規表現でa-zA-Z0-9\-_で弾いてる
0770nobodyさん
2007/10/10(水) 10:15:05ID:???0771nobodyさん
2007/10/10(水) 10:15:53ID:???エスケープの目的とは全然違う。
まぁ、エスケープもしないというやつはセキュリティーに無関心だから情報流出についても無関心だと思うが。
0772nobodyさん
2007/10/10(水) 10:18:27ID:???書き方がかわるだけで穴が出来てしまう
0773nobodyさん
2007/10/10(水) 10:19:10ID:???DBから取り出すときは毎回htmlspecialcharsをかける
B.保存するときhtmlspecialcharsかける場合
DBから取り出すときはそのまま出力できる
どっちが効率的かと言ったらBだと思うけど。
0774nobodyさん
2007/10/10(水) 10:20:42ID:???SQL文エスケープしないとまずい？
今まで自動でしてくれるもんだと思ってたんだが・・・
0775nobodyさん
2007/10/10(水) 10:23:46ID:9QH/UxMSpg_escape_string
0776nobodyさん
2007/10/10(水) 10:32:00ID:???つか、文字列に'を含んだSQL投げた時点でRDBMSに蹴られるやん
詰まるところクォーテーション使いたいからキチンと処理しとるで
0777nobodyさん
2007/10/10(水) 10:34:28ID:???保存するときhtmlspecialcharsかけない人って
magic_quotes_gpc = Onにしてるのかな？
まあたしかにOnにしてると生データ入れられるな。
でもmagic_quotes_gpc = Offが推奨なんだよな。
0778nobodyさん
2007/10/10(水) 10:41:00ID:???いや、普通保存するときにかけるのはmysql/pg_escape_stringであって
htmlspecialchars使う人は表示以外にデータを使わないと最初から決めてる人。
magic_quotes関係ない。
0779nobodyさん
2007/10/10(水) 10:42:31ID:???HTMLを出力するときに掛けるのは当然。
DBに入れるときにはDBの特殊文字をエスケープするのが当然。
DBに入れるときにhtmlspecialchars使うのはおかしい。
たまたま上手くいってるってだけだ。
0780nobodyさん
2007/10/10(水) 10:46:33ID:???Don't → Don\'t こんな文字列もらってもRDBMSには突っ込めんよ？
少なくとも俺の使ってるRDBMSでは駄目
普通に手抜けるんだからhtmlspecialchars通しておけばいいんでないの？
RDBMSから生のデータ引っ張り出した時はガックリくるかもしれんけど
0781nobodyさん
2007/10/10(水) 10:47:59ID:???暗号化っていうと復号できるみたいなニュアンスあるから誤解をまねく
>>758のいってることはごく自然だと思うんだけどな
SQLインジェクションにつながるものはバリデータではじくもしくはエスケープして入れる
XSSにつながるデータは直接いれて出力時にエスケープする
ていうのが定説だと思うんだけど
なんでもかんでもhtmlspecialcharsすればいいっていうわけではない気がする
0782nobodyさん
2007/10/10(水) 10:54:00ID:???>>780はhtmlspecialchars使うのは正しいと言ってる
うーん･･･
0784nobodyさん
2007/10/10(水) 10:57:57ID:???0785nobodyさん
2007/10/10(水) 10:59:25ID:???私は効率だからPOSTであがってきたデータはhtmlspecialcharsしている事が多いい。
書き込みより読み込み回数の方がたいてい多いいしな。
0786nobodyさん
2007/10/10(水) 11:04:14ID:???取り出す時に調べれば良いっていうことかｗｗ
ダーティーなデータをDBに保存することに違和感を持たない感覚って、
プロとしてダメダメだよ
0787nobodyさん
2007/10/10(水) 11:04:57ID:???> DBに入れるときにはDBの特殊文字をエスケープするのが当然。
> DBに入れるときにhtmlspecialchars使うのはおかしい。
> たまたま上手くいってるってだけだ。
これも納得できる。
htmlspecialcharsではなくmysql_real_escape_stringを使うべきなのだろうか？
0788nobodyさん
2007/10/10(水) 11:08:03ID:M9anXW7visset()ではnullがセットされたものもtrueとなってしまいます。
0790nobodyさん
2007/10/10(水) 11:13:50ID:???0791nobodyさん
2007/10/10(水) 11:14:46ID:???いやいや、割り切りだよ割り切り。
Windowsアプリケーション等では insert文投げる時にトラブルの種になる文字は
禁則文字として「使わないでくださいね」って釘打っておけば納得してもらえるの。
ところがWebの場合、「これ、使えません」っていうと「なんでや？他んところは
使っておるやないかボケ!!」って聞き入れない。
ま、つまんねえとこで意地張ってもしょうがないじゃん。
0792nobodyさん
2007/10/10(水) 11:16:16ID:???出力する時に50項目*1000ループhtmlspecialcharsを実行するのか、
それともあがって来たデータそのものに一度だけhtmlspecialcharsを
実行するのかの違いだけ
0793nobodyさん
2007/10/10(水) 11:22:00ID:???タグと本文を正規表現で分けて処理すんのかな？
0795nobodyさん
2007/10/10(水) 11:25:16ID:???考え方としては毎回動的に画面を生成する掲示板等と
更新時に静的HTMLを生成してしまうblog等との違いと一緒だよな。
それがより効率を上げ性能を向上させるものなら
多少の非汎用化も許容される場合がある。
もちろん、常時内容が変化するようなシステムなら
元になるデータだけ持っておいて毎回動的生成すべきだろう。
0796nobodyさん
2007/10/10(水) 11:33:16ID:0neE8nHZ自分はサイト運営をしているのですが、ＰＨＰを使ったページで
Warning: main(db/.php): failed to open stream: No such file or directory in /home/webmaster/public_html/link/yomi.php on line 21
Fatal error: main(): Failed opening required 'db/.php' (include_path='.:') in /home/webmaster/public_html/link/yomi.php on line 21
とエラーが出てきてしまい使えません。
誰かＰＨＰ等に詳しい方、対処方法を教えていただけませんか
0797nobodyさん
2007/10/10(水) 11:35:02ID:???無いんじゃないかな…
なんせ
$a = NULL;
var_dump(is_scalar($a));
の結果が「bool(false)」になるくらいで、
NULLを格納した値はPHP上では「未定義変数」の扱いになってる。
決してNULLという値が格納されたスカラー変数ではないのよ。
0798nobodyさん
2007/10/10(水) 11:35:24ID:???何でmail()なんて使おうと思ったの？
0799nobodyさん
2007/10/10(水) 11:35:49ID:???効率の話は全く考えてなかった。どうすべきか、という意味で779を書いた。
表示の度にhtmlspecialcharsを掛ける負荷をなくすという目的なら
htmlspecialcharsをかけてDBへ保存すれば良い。
でも、だからといってDB固有のエスケープを掛けないで良いという事じゃない。
htmlspecialcharsを掛けてさらにmysql_real_escape_stringなどをかける。
0803nobodyさん
2007/10/10(水) 11:38:12ID:???0804nobodyさん
2007/10/10(水) 11:38:45ID:???0807nobodyさん
2007/10/10(水) 11:41:54ID:???<?php
$a = 100;
$a = null;
if (!isset($a)) {
echo "empty!\n";
}
?>
emptyって表示されたけど･･･。
0808nobodyさん
2007/10/10(水) 11:46:45ID:???例えば文字列 Don't をそのままDBに入れる人は
DBから文字列 Don't を取り出せないじゃないか！
保存するときhtmlspecialcharsかけるのが正統派だ
0810796
2007/10/10(水) 11:51:12ID:0neE8nHZ回答頂いた方ありがとうございます
色々と調べてみます
0811nobodyさん
2007/10/10(水) 12:01:35ID:???htmlspecialcharsとかaddslashesすりゃ良いって人よく見るけど
それぞれ用途があるんだからそれぞれの用途に合ったものを使うべき
DBに突っ込む時にhtmlspecialcharsとかしとけば表示の時楽だが
生データじゃないので再利用性が落ちるし
こういう人に限って表示の時も
再度htmlspecialcharsをしたりと言う場合が多い気がするんだけど？
0812nobodyさん
2007/10/10(水) 12:04:34ID:???0815nobodyさん
2007/10/10(水) 12:14:54ID:???SELECT * FROM table WHERE moji = 'Don't'
これじゃ取り出せないよなあ？
どうやって取り出すよ？
0817nobodyさん
2007/10/10(水) 12:16:58ID:???0818nobodyさん
2007/10/10(水) 12:18:44ID:???俺みたいな頭悪いやつに頭悪いだろと言っても意味ねーんだよ
で？どうやって取り出すよ？
とりあえず答えてから貶せ
0819nobodyさん
2007/10/10(水) 12:19:49ID:???ちょっと笑っちまったじゃねーか
insertだろうがselectだろうが、SQL文に入れる文字列はエスケープ掛けるんだよ。
$sql = "SELECT * FROM table WHERE moji = '" . mysql_real_escape_string("Don't") . "'"
0820nobodyさん
2007/10/10(水) 12:20:02ID:???釣りか？入れれるだろｗ
0822nobodyさん
2007/10/10(水) 12:32:14ID:???prepareにしろescape処理の関数にしろ至れりつくせりのDBMSなら何も問題ない
しかしPHPでサポートされてるDBMSって全てが横並びで標準実装ってわけでない
某SQLServerみたいに見放された(?)感のあるDBMSすらある
PDOに移行すれば救われるのかもしれないけど native driver がこれまた将来に
渡って保証されていない物もある
しょうがないから妥協している箇所を否定されたら何もできないよ
0823788
2007/10/10(水) 12:40:36ID:M9anXW7vん～、もはや変数にもならないんですね。
ちょっと不便だなぁ。PHPらしい簡易化による不便さですね・・・。
>>807
ごんめんなさい、質問文が間違えてtrueとfalseが反対になってました。
0824nobodyさん
2007/10/10(水) 12:40:37ID:???prepareはともかくescapeなんて、sqlserver_escape_string()みたいな関数1個作ればいいだけでしょ？
そんなに悩むこともない気がするんだが。
0825nobodyさん
2007/10/10(水) 12:45:33ID:???htmlspecialcharsとmysql_real_escape_string両方使ったら取り出せなかった。
htmlspecialcharsをコメントアウトしたら取り出せたorz
0827nobodyさん
2007/10/10(水) 12:47:20ID:???0828nobodyさん
2007/10/10(水) 12:50:11ID:???将来の話なんて出すべきもんじゃないだろ
PDOじゃなくてもPEARとかのライブラリ類もあるし
動作的に同じであれば良いんじゃないの？
0830nobodyさん
2007/10/10(水) 12:59:23ID:???DBに入れる際には、mysql_real_escape_string
HTMLに出力するときには、htmlspecialchars
じゃないの？
0833nobodyさん
2007/10/10(水) 13:12:29ID:???0834nobodyさん
2007/10/10(水) 13:15:00ID:???こういうのがうざいんだよなぁ
ちなみに「htmlspecialchars() だけでは不十分」らしいな
0835nobodyさん
2007/10/10(水) 13:59:21ID:???$category=1に該当するデータ数を出すにはどう書けばいいですか?
0837nobodyさん
2007/10/10(水) 14:09:10ID:???クエリーでやるとこんな感じだけど
SELECT count(category) FROM category_table WHERE category='1'
まぁどんなやり方してるかにもよるし
出そうとしてる部分のソースださんとどーにもならん
0838nobodyさん
2007/10/10(水) 14:30:15ID:zc/CFV7a参照はエラーにできると思いますが
書き込みのときにも
エラーを発生させる方法はないでしょうか？
class Hoge {
public $v1;
}
$h = new Hoge();
$h->v1 = 1;
$h->v2 = 2; //ここでエラーを発生させたい
0839nobodyさん
2007/10/10(水) 14:44:39ID:???'→DBの予約語→DBに入れる前にエスケープする
<>&→HTMLの予約語→HTMLを出力する前にエスケープする
\aなど→システム特殊文字→システムのフロント処理の所で削除
①など→機種依存文字→システムのフロント処理で警告メッセージ
0840nobodyさん
2007/10/10(水) 14:47:19ID:???まぁもっとスマートな方法あったような気がするが忘れた
0841nobodyさん
2007/10/10(水) 14:57:04ID:???PHP4でもプライベート変数とか使えるんじゃね？
まあパフォーマンスは落ちるが、
それは開発時だけそうやっといて
運用時ははずすと言う方向で。
0844nobodyさん
2007/10/10(水) 15:21:58ID:???0846nobodyさん
2007/10/10(水) 15:54:13ID:???そこのコントラスタに書けばいいだけさ。
php4とphp5の仕様の違いが嫌？
ならそれを吸収するコードを書けばいいだけさ。
そんなコードを各のが嫌？
ならそれをサポートしているライブラリ・フレームワーク等を
使えばいいだけさ。
0848nobodyさん
2007/10/10(水) 16:43:03ID:5Clc9AoY大阪府|東大阪市|中小阪|三丁目|6
のように格納されてるんだけど、
住所検索で「大阪府東大阪市中小阪3-6」
みたいな感じでもHitさせたいんだけど何かよさそうな方法はありませんか？
0849nobodyさん
2007/10/10(水) 16:57:33ID:???すぐに思い付くのは、
1. データの重複を承知で連結されたカラムを追加する。
2. 検索時のオーバーヘッドを承知でSELECT時に連結して検索する。
くらいかな。
0850nobodyさん
2007/10/10(水) 17:00:06ID:5Clc9AoYサンクス
GoogleMapやGeocodingみたいに
「おおさかふ」で大阪が検索されたりするのは
相当な技術のアルゴルズムなんだなぁ・・・
0851nobodyさん
2007/10/10(水) 17:00:34ID:???システム構成にもよるが、俺だったらツリー構造でオンメモリーで
住所データを保持しておいて、検索時にツリー構造から検索するようなやり方にする。
そうすれば、高速で検索が可能になる。まぁ、メモリーは食うけどなぁ。
0853796
2007/10/10(水) 17:33:35ID:0neE8nHZわかんねぇよ！！和漢ねｌｗんだよぉおおぉぉぉっうぇうぇｗｗｗｗｗｗｗｗｗ
0855nobodyさん
2007/10/10(水) 17:40:01ID:???知っとくに越した事ないってｗ
■ このスレッドは過去ログ倉庫に格納されています