From: nobu.nakada@...
Date: 2003-03-24T17:34:49+09:00
Subject: [ruby-list:37406] Re: Secure「ではない」script の書き方

なかだです。

At Mon, 24 Mar 2003 17:22:38 +0900,
Taku Nakajima wrote:
> > たとえば、
> > ・正規表現の中に、ごにょごにょ入れるとスコーンと抜ける
> > ・C で実装してある某拡張ライブラリのここが、あれなので、safe level 4 
> >   でも、ずるっと行ってしまう
> > 	# 拡張ライブラリ作成・利用時におけるチェック方法が個人的には気に
> > 	# なります。
> 
> strscanでまさにそのような例を発見しました。同じようなことをしても標準
> のRegexpクラスでは汚染が伝染するのに、StringScannerでは伝染しません。

これは1.8に添付されているstrscanではfixされています。

> 私は最後の行でtrueが出てほしいと思うのですが、それが正しいかどうかは確
> 信がありません。このような場合の指針のようなものはあるのでしょうか？

基本的に、あるオブジェクトから作った(一部を取り出すとか、一部に
しているとか)オブジェクトは、元のオブジェクトからOBJ_INFECT()さ
れているべきです。

-- 
--- 僕の前にBugはない。
--- 僕の後ろにBugはできる。
    中田 伸悦