皆さん。お久しぶりです。MUGENUP の osada です。 某死にすぎるゲームの1周目をクリアしたので、戻ってまいりました！ 目標を達成するために大事なことは観察力である、ということを思い知らされるゲームでした。 さてそんな今回は、Rails 3.2 の includes に関するバッドノウハウの共有です。 弊社 okuda が、トライ・アンド・エラーの末に見つけた、バグの解説になります。 Rails 4 系 をお使いの方には不要ですので、何かの話のネタになれば幸いです。 includes は LEFT OUTER JOIN と eager loading の 2 種類がある Railsでは、includes は 2種類の使い方ができます。 1. eager loading 2. LEFT OUTER JOIN 通常の使い方だと、(1) の eager loading となり、 whe

Activerecordを使ってるとき、関連(Association)のあるmodel同士をまとめて取得したい時がけっこうある。そんな時、includesやjoinsを使えば効率良くデータを取得出来るんだけど、実はこの二つは振る舞いや特徴が全然違ってたりする。ややこしい気がしたので、ここでちょっとまとめておく。 先に結論を書いておくと、基本的には includesは先読みしてキャッシュしておく。 joinsはただINNER JOINしてくれる。 と思っておけばOK。 ちなみに、railsのversionは4.1.0。Web上に落ちてる情報は古いせいか若干現状の挙動とは違ってたりしたので、気をつけた方が良さそう。 includes includesはデータの先読みをしてくれる。その為、関連modelに対する参照を持ちたい場合に使う。そう言われてもよくわからないと思うので、実際に使用例を見てみ

概要 原著者の許諾を得て翻訳・公開いたします。 英語記事: To join or not to join? An act of #includes 原文 公開日: 2017/08/07 著者: Tiago Farias 原文ではシェークスピアの古典劇『ハムレット』のセリフが多数引用されています。引用されたセリフのリンクをマウスオーバーするとシェークスピアの原文がポップアップします。 actの基本的な意味は「演技（する）」「（舞台の）場面」であり、タイトルはこれにかかっています。 2017/09/25: 初版公開 2021/09/22: 更新 訳注 k0kubunさんの以下の記事も合わせて読むことをおすすめします。Rails 5以降は#left_outer_joins（またはエイリアスの#left_joins)が使えます。また、#includesがActiveRecord::Baseを生成す

「朝起きて、会社に行きたくなくてベッドの中でグダグダしてしまう」「職場の飲み会に行きたくない」「上司と顔を合わせるのもイヤだ」。 いきなりネガティブですみません。これ全部、会社員として働いている友人たちの言葉です。“その気持ちわかる”と共感する人も多いのではないでしょうか。 我々はなぜ会社の人間関係に悩み、会社に行くのがイヤになってしまうのか…？ この難問に答えていただくべく取材したのは、起業家・けんすうさん。 学生時代から起業家として活躍し、新卒でリクルートに入社。現在も数多くのベンチャー起業への投資をおこなっている彼なら、「職場の人間関係とモチベーション」にまつわる難問への答えを出してくれるのでは!? ということで…助けて！ けんすうさ～ん!! 〈聞き手：天野俊吉（新R25編集部）〉 【けんすう】1981年生まれ。19才で学生コミュニティ「ミルクカフェ」を立ち上げ、大学在学中にネット企

Rails2.0からいろいろ追加されたみたいです。メモ。 strip_tags タグを全部取り除く。 例 strip_tags("Strip <i>these</i> tags!") # => Strip these tags! strip_links リンクのみ(つまりa要素だけ)取り除く 例 strip_links('<a href="http://www.rubyonrails.org">Ruby on Rails</a>') # => Ruby on Rails sanitize あらかじめ出力可能であると定義されているHTMLタグとその属性のみを出力する。 デフォルトで許可されているのはこれだけ。 ActionView::Base.sanitized_allowed_tags #=> {"del", "dd", "h3", "small", "big", "sub", "tt",

この記事はMojirageアドベントカレンダーの3日目の記事です。 matatsuna.hatenablog.com node書いてるとよく一番上に書いてあるパッケージの読み込みをするやつがrequireとimportです。 require node自体がサポートしてるパッケージの読み込み方(厳密にはCommonJSの仕様) import ES6の仕様で新しいパッケージの読み込み方(babelを使う必要あり) 個人的にはimportを使ってます。どっちがいいかは宗派みたいな話になるので、両方使ってみて好きな方でいいかと。 requireとimportの書き方の違い 読み込み require var hoge = require('hoge'); var hoge = require('hoge').hoge; import import hoge from 'hoge'; import {

An implementation of PHP's strip_tags in Node.js. Note: v3+ targets ES6, and is therefore incompatible with the master branch of uglifyjs. You can either: use babili, which supports ES6 use the harmony branch of uglifyjs stick with the 2.x.x branch Features Fast Zero dependencies 100% test code coverage No unsafe regular expressions Installing npm install striptags Basic Usage var striptags = requ

stripgtags は npm 又は yarnを使って入手します。また、ブラウザから使う場合はCDNを通してライブラリを読み込むことも可能です。 # npm npm install striptags --save # yarn yarn add striptags # cdn *IE 11以上 https://unpkg.com/striptags striptags の使い方は簡単で、PHPの ' strip_tags ' 関数と 使い方は変わりません。 第一引数に元となる文字列を指定すると、HTMLタグが消去されます。 // ブラウザの場合、そのまま striptags()関数が呼び出せます const striptags = require("striptags"); let baseHtml = "<div href='someClass'>" + "<strong>strip

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article?

先日、新卒で入社し、約1年6ヶ月務めた某S社を退職しました。 闇属性でパーティー作ってんのに、光属性☆5引いちゃったみたいなそんな感じです。 (2019/01/04追記:某S社と書きましたが、ソフトバンク株式会社です。年も変わったしもういいでしょう。) 勤務時に、この会社ここがダメだなーとか、ここは良かったなとかパラパラと書き留めてましたので、 それらを整理しつつ、あまり表現がキツくならない様に書きたいと思います。 簡単に情報を書くと、 私は理系大学院修士卒(物理系)で、S社の規模は社員数1万人以上の企業です。 また、本エントリにおける意見は、私が関わったごく限られた部署及びその周辺、または伝聞した範囲の話であることを強く意識した上でお読みください。 まずは良かったところから。 前職の良かったところ ピュアホワイト企業だった 一般的/社会的教養が十分な人で満ちていた 世間の気持ちや生態が少

「クロスサイト・スクリプティング（XSS）脆弱性を悪用された場合の被害例としては『Cookieを盗まれる』ことがよく挙げられる。しかし，実際にはもっと深刻な被害を受ける恐れがある。管理者や開発者はその危険性を十分に認識して，対策を施す必要がある」――。京セラコミュニケーションシステムのセキュリティ事業部 副事業部長である徳丸浩氏は11月10日，ITproの取材に対して，XSS脆弱性の脅威を強調した。 さまざまなWebサイト（Webアプリケーション）において，XSS脆弱性が相次いで見つかっている。その背景には，開発者などの認識不足があると徳丸氏は指摘する。「適切に対策を施すには，XSS脆弱性のリスクを把握する必要がある」（徳丸氏）。しかしながら，実際には，XSS脆弱性のリスクを過小評価しているケースが少なくないという。 例えば，「（自分たちが運営している）携帯電話向けサイトでは（携帯電話上で

4. 典型的なXSSサンプルに対する「素朴な疑問」 • クッキーの値がアラートで表示されても、特に危険性はないよ うな気がする • クッキーの値はブラウザのアドオンなどでも表示できるよね • 任意のJavaScriptが実行されると言っても、ホームページ作 れば任意のJavaScriptが書けるし、見た人のブラウザで実行 されるよね… Copyright © 2013 HASH Consulting Corp. 4 5. そもそもの疑問：JavaScriptは危険か? • 実は、JavaScriptの実行自体は危険ではない • Webは、未知の（ひょっとすると悪意のある?）サイトを訪問し ても「悪いこと」が起きないように設計されている • JavaScriptの「サンドボックス」による保護 – JavaScriptからローカルファイルにアクセスできない – JavaScriptからクリップ

フロントエンド開発のためのセキュリティ 第1回 XSSの傾向と対策 本シリーズではフロントエンドの開発に関係するセキュリティについて、理解を深めます。第1回目はXSS（クロスサイトスクリプティング）です。実装失敗例を挙げつつ、対策のポイントを解説します。 セキュリティはサーバーサイドの問題？ セキュリティに関わるミスは「知らなかった」ではすまされない場合が、往々にしてあります。 ちょっとしたミスでプログラムにバグを作ってしまい、サービスが一部動かなくなったとしても程度にもよりますが、すぐに修正すれば一部のユーザーに少し不便をかけてしまう程度ですむでしょう*。 *注：サービス運営 この記事ではセキュリティの技術的な側面を扱います。ユーザーに不便をかけてしまったことに対するサービス提供側の倫理的問題についてはそのつど言及はしませんが、これらの側面を軽視すべきでないことはいうまでもありません。

kintoneはJavaScriptを使って自由にカスタマイズできます。 カスタマイズにより独自のリッチなUIを構築したり、新しい機能を追加したりできますが、セキュアなコーディングをしないと クロスサイトスクリプティング （以下、XSS）などの脆弱性を作り込んでしまう危険性があります。 この記事では、JavaScriptでセキュアなコーディングをするための基本的なポイントを解説します。

JavaScriptによるブラウザ上での処理量およびコード量の増加に伴い、JavaScript上のバグが原因で発生する脆弱性も増加しています。そのような脆弱性の最も代表的なものが、DOM-based XSSです。今回から数回に分けて、DOM-based XSSについて説明していきます。 DOM-based XSSとは 本連載第2回で説明したような一般的な反射型および蓄積型のXSSのほとんどは、Webアプリケーションがサーバ上でHTMLを生成する際に、攻撃者が指定した文字列のエスケープが漏れていることが原因で発生します。一方、DOM-based XSSは、サーバ上でのHTMLの生成時には問題はなく、ブラウザ上で動作するJavaScript上のコードに問題があるために発生します。 たとえば、以下のようなJavaScriptコードがあったとします。 // bad code div = docum

本稿はCodeZineに2015年12月28日に掲載された記事の再掲となります。 クロスサイトスクリプティング(XSS)は、古くから存在し開発者にもっともよく知られたセキュリティ上の問題のひとつでありながら、OWASP Top 10でも2010年に引き続き2013年でも3位と、未だに根絶できていない脆弱性です。 本記事では、Webアプリケーションの開発においてXSSを根絶するために必要な対策の基本を本気でお伝えします。 はじめに OWASPでは開発者に向けたセキュリティ対策のためのドキュメントやチートシートを多数用意しており、XSSへの対策としても「XSS (Cross Site Scripting) Prevention Cheat Sheet」というドキュメントが用意されています。 ただし、このXSS Prevention Cheat Sheetはシンプルなルールを定めたチートシートで

この記事では、XSSに詳しくないというWebエンジニア向けに、Railsのコード例とともに、 XSSとは？ XSSが起きる原因 XSSを起こさない対策 に分けて、解説していきたいと思います。 XSSとは？ XSS(Cross Site Scripting)をざっくり説明すると、 あなたの作ったページにXSSの脆弱性があると、 悪い人が自由にスクリプト(多くの場合Javascript)を埋め込むことができてしまって、 そのページを開いたユーザが攻撃を受けてしまうという脆弱性です。 これだけだと、あまりわかりにくかもしれないので、具体的な例を見てみましょう。 コメント機能の場合 例えばあなたがコメント機能を作っているとして、 ユーザの入力に <script>location.href="https://qiita.com/"</script>という文章が投稿されたとします。 これを何も考えずに

海外からDDoS攻撃してくるカメラをシャットダウンしてしまうのは不正アクセスなのか?自首してみたが返答がない!そして泥沼のDDoSへ 顛末を記録した雑多なログになっているので整理されていない部分が多々あります. 2万文字を超えているので気合を入れて読むか適当に読み飛ばしてください. これでも不要な調査データを省いたりしてスリム化したのですが超巨大化してしまいました. 2018-11-07から自宅のネットワークの調子が悪すぎる 自宅のネットワークが死んでいました. J:COMの回線現在98%パケットロスするという状態になっています pic.twitter.com/Vfe0O3p5j2 — エヌユル (@ncaq) 2018年11月7日 今日の私 14時 サーバが落ちていることが通知される,サーバにDHCPがアドレス振ってくれてない 15時 ucomがついに死んだかと思いjcomに移行する 1