From: Tietew <tietew-ml-ruby-list@...>
Date: 2003-03-21T11:27:48+09:00
Subject: [ruby-list:37386] Re: Secure「ではない」script の書き方


On Fri, 21 Mar 2003 08:46:54 +0900
matz@ruby-lang.org (Yukihiro Matsumoto) wrote:

> |現状では、taint の説明へのリンクの紹介と、safe level を緩めた例として
> |http://itpro.nikkeibp.co.jp/NBY/SecurityStadium/result2002/attack3.htm
> |を紹介しようかと思っています。
> 
> ITProのぶんはかなり不自然なゆるめ方で、一般論として「必要以
> 上に安全性を軽視する人がいる」というならともかく、Rubyの性質
> としては語られたくないと思います。

というか，あの記事見たとき，「一体どんな（恣意的な）コーディング
したの？」という疑問が真っ先に浮かびました。
だって，ふつうに書いてれば #{} が有効になる場面なんて無いですか
ら。( eval ≠ ふつう )

※※※※※※※※
だから，私は save level をゆるめた例として件の ITPro の記事は使っ
てほしくありません。#{} の解説も誤解を招く可能性が大いにあり，問
題だと思っています。
※※※※※※※※

eval できるのは Ruby の仕様です。だけどそれをして「Ruby はその性
質上危険だ」と語って欲しくないです。


—[ Tietew ]——————————————————————————
 メ : tietew@tietew.net / tietew@raug.net / tietew@masuclub.net
ホペ: http://www.tietew.net/     Tietew Windows Lab.
      http://www.masuclub.net/   鱒倶楽部
指紋: 26CB 71BB B595 09C4 0153  81C4 773C 963A D51B 8CAA