From: Yukihiro Matsumoto <matz@...>
Date: 2005-07-19T22:59:39+09:00
Subject: [ruby-dev:26577] Re: $SAFE=1 の open-uri     	で redirect      	時にエラー

まつもと ゆきひろです

In message "Re: [ruby-dev:26575] Re: $SAFE=1 の open-uri     	で redirect      	時にエラー"
    on Tue, 19 Jul 2005 22:53:37 +0900, Takaaki Tateishi <ttate@ttsky.net> writes:

|そういう意味では、未定義なものを使わないということと同じようになるのですが、
|人の推測が入る余地のある安全性や信頼性の定義をされても意味がないと思っただ
|けです。なので、どう定義すべきかということは私にも分かりません。

そうですか。

|> うーん、方針が明確にしてあることはRubyの現状よりもずっと良い
|> ことだと思うのですが、では、たとえば今回のredirectの場合には
|> 禁止されるのか、許可されるのかよくわかりません。redirect先
|> (URI)はdata derived from outside your programなので、このURI 
|> をopen することでaffect something else outside your program 
|> してしまう可能性は否定できないので禁止、なんですかね。
|
|禁止かどうかまでは良く分かりませんが、少なくとも data derived from ... の節
|が汚染の定義であれば、redirect先のURIの文字列は汚染されると判断できそうです。

いや、汚染されていることは私にも判断できます。問題は禁止され
るかどうかです。要するに汚染された文字列をホスト名として
connectできるかということですね。