From: matz@... (Yukihiro Matsumoto)
Date: 2003-03-10T11:20:39+09:00
Subject: [ruby-list:37255] Re: world-writableなディレクトリにあるスクリプトをrequire

まつもと ゆきひろです

In message "[ruby-list:37247] world-writableなディレクトリにあるスクリプトをrequire"
    on 03/03/08, 堀川 久 <vzw00011@nifty.ne.jp> writes:

|world-writableなディレクトリにあるRubyスクリプトをrequireで読み込もう
|としたとき、SecurityErrorを発生させた方がいいと思うのですが、どうで
|しょうか。
|
|次の二つのファイルを用意します。
|
|s.rb
|----
|$SAFE = 2
|require "./wr/hoge.rb"
|----
|
|wr/hoge.rb
|----
|p "hoge"
|----
|
|ディレクトリwrがworld-writableであっても、エラーとなりません。

あれ、私のところではエラーになるんですが。1.6だとチェックが
不完全かな。

|また、この検査は$SAFE = 1以上で行った方がいいように思います。require
|で読み込むスクリプトを差し替えられる危険性があるなら、そのスクリプトを
|信頼できません。

現在は$SAFE>=2でチェックしてますね。これは変更しましょう。