[2529] てすと by さとぴあ@管理人 さんへ返信

どんなそーすなのか分かりませんが、第三者の目というのが大事なのかも。
リスクがあるほとそーすが消せなくて。

胸がある…！

実際の運用ではどちらにしても見えないエラーですが、
以前は投稿するたびに300行ほどエラーがでていたので、対処療法的にエラーにならないようにフタをしていました。
ところが、あれ、ここの書き方を変更すればもともと未定義にはならないからエラーはでない…。
無駄なフタをしてそのための処理をしなくていいんじゃないの？
という事です。
>第三者の目
poti-kaiのgithubにも公開していて
サ骨さんに観てもらっていますが…。
もう少し何名かでソースの見直しができたほうがいいんですよね…。
とりあえずは、このサイトで運用してつかえなくなってますという報告があがらなければ大丈夫…
という判断です。

>胸がある…！
オフコース！

きゅさんがソースをみてくれるという事なら、
githubにソースがありますので、
確認して、プルリクしてください。
現在、サ骨さんと私の2名でまわしています。
ほとんどの第三者さんは
古いスクリプトは危険だから使うなと言うのみで、
こうすれば安全になりますという具体例を示してくれません。
普通に仕事として依頼すればそれなりの報酬が必要になる作業だと思われますので、お絵かき掲示板が必要な人がやるしかないのが現状です。

url欄にPOTI-board改のgithubのurlを入れておきました。
第三者さんのコメントの一例。
Yahoo!知恵袋でのphpに詳しい方からのコメント。
「まさに地雷中の地雷といっても過言ではないです。
extract($_POST);
extract($_GET);
extract($_COOKIE);
と、register_globals同等のことを自らやっているので、相変わらず脆弱性はあります。」

今回、$_SERVERでも、extract()を使わないようにして危険だと指摘されているextract()の使用を全廃しました。
しかし、自動的にすべての変数を取得していたところを、1個ずつ取得することになるため、必要な変数の取得もれがでる可能性がありました。
しかも、ユーザーの環境の取得に関する変数なので、私が投稿できても他の環境ではどうなるのか不明でした。
したがって投稿してどうなるのかを確認してくだだく必要がありました。

「(htmltemplate.incは)PHP5用だとしても中身少し見るだけで今のPHPでは削除された機能を使ってるので2018年では動かせない。」
あまりよく調べないで、動かないといいきる第三者さんもいます。
しかし、ほんの少し書き直しただけですが、php7.3で非推奨のエラーを含むエラーが発生しない状態で動いています。
いろいろと調べてみると第三者の意見もあまりあてにならない事がわかります。

アプレットの開発から掲示板スクリプトの開発と…皆さんのアクションには本当に頭が下がります。

自分みたいに直接の支援ができない人間としては、さとぴあさんやサ骨さん達が灯してくれてる絵板の動きを絵の投稿って形でソーシャルで拡散し、支援に興味もってくれそうな知識ある方に1人でも多く届いてくれるよう祈るばかりです。（Tweetボタン凄く助かりますｗ）

開発コミュニティーの裾野がもっと広がるといいんですけどねー（自分の居ついてるコミュニティは世代が違うせいか…絵板への反応が薄い気がｗそれでも、まだメげませんともっ）

先日も、クロスサイトスクリプティングの攻撃の例文をためしたら実行できてしまって、真っ青になってフタをしたばかりだったりします。
自分ではわからない事がまだあるはずなので、確かに誰かがチェックしてくれると助かるんです…。
ブログにも誰でも参加できるのでと書いていますが、まだ書き換えを手伝ってくれる方はあらわれないですね…。