#fuelphp

HTTP Controller

UrlMappingかあ…でも先のTweetのこと考えるとあんまりアテにしちゃいけないんだろうなあ

Controller内のメソッドはFuelPHPと同じっぽい。命名がダサくなるから好きじゃないんですよねえ…（横から画面覗き込んできたベテランに「わかってるけど変だよ」って言われた苦い記憶）

型指定するなら別にPHPじゃなくてGroovyで書いたら幸せになれるんじゃなかろうかと思うんだけどもっと深遠な意図があるんだろうか

HTTP Request

だいたいどのフレームワークでもこの辺は似たり寄ったりですよね

flashはお初かも。面白そう。

Cookie操作もやったことない。

掻いたことないところまで手が届きそう。

HTTP Response

この辺はGrailsのほうがエレガントな気がするぞ

リダイレクトってFlashSession使うのか。なるほど。（あんまりリダイレクト必要なことやったことない）

FuelPHP における脆弱性対策、およびパスワードハッシュ化のサンプルです。CSRF トークンの埋め込みとチェック、入力値のサニタイズ、パスワードのハッシュ化、およびデータベースへの登録までを扱います。今回はユーザー登録用アクションの定義を例として使用します。

1. User Model

ユーザーテーブルでは id - name - email - hashed_password - salt がフィールドとして定義されるものとします。

class Model_User extends \Orm\Model { // プロパティ protected static $_properties = array( 'id', 'name', 'email', 'hashed_password', 'salt', ); // バリデーションルール public static function validate($factory) { $val = Validation::forge($factory); $val->add_field('name', 'Name', 'required|max_length[50]'); $val->add_field('email', 'Email', 'required|max_length[255]|valid_email'); $val->add_field('password', 'Password', 'required|max_length[60]'); return $val; } }

2. Action Method

続いてアクションの定義です。ユーザー登録時には CSRF トークンのチェック、入力値のさにタイズ、およびパスワードのハッシュ化を行います。

use Fuel\Core\Security as Security; class Controller_Users extends Controller { // ユーザー登録用アクション public function action_create() { if (Input::method() == 'POST') { // CSRF対策用トークンをチェック if (Security::check_token()) { // リクエストパラメータ（POST）に対してバリデーションを実施 $val = Model_User::validate('create'); if ($val->run()) { // 入力値のサニタイズ（HTMLタグ、PHPタグ、およびHTMLエンティティを削除） $filters = array('strip_tags', 'htmlentities'); $name = Security::clean(Input::post('name'), $filters); $email = Security::clean(Input::post('email'), $filters); // ハッシュ化パスワードの生成 $salt = Util_Hash::getSalt(); $hashedPassword = Util_Hash::getHashedPassword(Input::post('password'), $salt); // リクエストパラメータからモデルのインスタンスを生成 $user = Model_User::forge(array( 'name' => $name, 'email' => $email, 'hashed_password' => $hashedPassword, 'salt' => $salt, )); // 新規ユーザーを登録 if ($user and $user->save()) { // 登録が正常に完了したことを告げるフラッシュメッセージをキューに追加し、 // 所定の場所へリダイレクトする // ... } else { // 登録に失敗したことを告げるフラッシュメッセージをキューに追加する // ... } } else { // バリデーションに失敗したことを告げるフラッシュメッセージををキューに追加する // ... } } } // CSRF対策用ワンタイムトークンを発行 $data['token_key'] = Config::get('security.csrf_token_key'); $data['token'] = Security::fetch_token(); // その他パラメータを View に渡す $this->template->title = "新規ユーザー登録"; $this->template->content = View::forge('user/create', $data); } }

3. Utility Class

ハッシュを扱うユーティリティクラスの定義です。

class Util_Hash { // ストレッチング回数 const ITERATION_COUNT = 10000; // ソルト生成関数（16進数表現） public static function getSalt() { // パフォーマンスを優先し、ノンブロッキングな擬似乱数発生器を使用する return bin2hex(mcrypt_create_iv(16, MCRYPT_DEV_URANDOM)); } // ハッシュ化パスワード生成関数（16進数表現） public static function getHashedPassword($password, $salt) { return hash_pbkdf2('sha256', $password, $salt, self::ITERATION_COUNT); } }

4. Migration Script

マイグレーションスクリプトはこちらです。