高木浩光＠自宅の日記 - 続・「サニタイズ言うなキャンペーン」とは - めもおきば

高木浩光＠自宅の日記 - 続・「サニタイズ言うなキャンペーン」とは - めもおきば

反応に反応を重ねるうち、どんどん論点が見えなくなってしまっているような気がします。重要なことはこ...概要を表示 反応に反応を重ねるうち、どんどん論点が見えなくなってしまっているような気がします。重要なことはこのあたりかな。 処理内容を理解し、その入力と出力が何であるべきかを理解する。 処理内容が多岐にわたる以上、アプリケーションの入り口での一括処理*1という概念はふさわしくない。 「サニタイズ」という言葉はもはや曖昧で工学的ではないので使わないべき。特に、出力段階での処理と入力段階での処理を同じ言葉、しかも「消毒」のような概念的な用語では誤解が生じやすい。 というわけで、思考停止を招く「サニタイズ脳の恐怖」というわけですね。 後半のPerlのくだりは蛇足だと思いました。Perlのtaint modeというネーミングをあげつらうよりは、汚染と消毒というのは「未処理の入力値」と「出力に適するように処理」することに名前を付けたのであって、高木さんが「入力段階で一括でだめそうな文字を処理する」ことを元来のサ

• security