ウェブサイトのセキュリティ：入力バリデーション、正規表現

安全なウェブサイトを作るためにネット上の情報を漁っていると、「入力バリデーション」と「パスワード」についてクリティカルなものがあったりする。

今回はこのあたりについて自分の考えをまとめておく。

入力バリデーション

入力のバリデーションはSQLインジェクションの根本的な対策にはならない。SQLインジェクションへの根本的な対策は、プリペアードステートメントを利用すること。

クライアントサイドの入力バリデーションは、ウェブサイトの利用者へ「入力値の条件が満たされていない理由」を親切丁寧に伝えるために過ぎない。攻撃者はその気になればHTTPリクエストのすべての内容を生成することができるということを理解しておかなければならない。

selectタグのoption項目のように、クライアントからの入力値として取りうる値が限定的であれば、

という方法が最強と思われる。

お使いのフレームワークが用意しているバリデーション機構を利用してください。

一つの正規表現で無理やり入力値のバリデーションを実現することは避けた方が良い。

そもそも本来の正規表現・正規言語は有限オートマトンでしかないので、可読性、保守性、ReDoS対策の観点から、できるだけシンプルな造りになるように処理をステップごとに分割し、一つ一つのコードを単純化することを検討しよう。

メールアドレスのバリデーションを自前の一行正規表現で済ませてしまうのはやめよう。

入力文字列の長さを調べたいのならば、例えばPHPであればstrlenで判定できる。

半角英数字以外の文字が含まれていないかチェックしたいのであれば preg_match("/[^0-9a-zA-Z]/",$input) でチェックしよう。

新しく設定しようとしているパスワードが条件を満たしているか判定したいだって？以下の処理をシーケンシャルに実行して、条件に反していたらその時点でリジェクトすればオッケーだと思うよ。

正規言語の限界、イプシロン遷移、バックトラック、DFAとNFAについて考えたことがない、「そんな単語聞いたことも無い」という状態であれば、頑張って複雑な一行の正規表現で済ませてしまうのは絶対にやめよう。

「0回以上繰り返し」の量指定子は地雷です。*と{0,N}が該当しますね。

例えばこんな短い正規表現と入力でReDoSが成立します： https://twitter.com/adokoy0001/status/824580874704293889

バックトラックが何なのか分かっていないのであれば、「極力正規表現を使わない方法」を模索しましょう。

JSONのバリデーション、カッコの開き・閉じの対応チェック、回文（逆から読んでも同じ文章）の判定、任意の1以上の整数nに対する a^n b^n の判定、などなど、有限オートマトンであるところの正規表現ではスタックがないので不可能です。

そういうのはプッシュダウンオートマトンであるところの文脈自由言語とかならできます。

正規表現を積極的に使うべきシーンは、文字列の置換やパターンマッチした部分を抽出する処理などでしょう。

どうしても入力バリデーションを正規表現一発でやりたいのであれば、以下のURLにある正規表現のやばい挙動を完全に理解した上でやりましょう。

最後の量指定子{1,3}を、{1,50}にしてみよう。

おわかりいただけただろうか。さらに50から70とかに増やすとタイムアウトになったりする。

ここで重要なのは以下である。

この投稿が何かのお役に立てれば幸いである。