PEAK XOOPS - News

前記事
プログラミング解説書籍の脆弱性をどうするか

高木氏が12/27のブログエントリで書かれた、拙著「PHPサイバーテロの技法」に対する批判は大きく２点に分けられると思います。

(1) 「サイバーテロ本」では、その場しのぎ的な「サニタイズ」を行うコーディングを推奨している
(2) 「サニタイズ言うなキャンペーン」

拙著「PHPサイバーテロの技法」に脆弱性がある、という高木浩光氏のブログがあります。

最初ざっと見たときには、「どんな書籍でも悪意を持って読めば叩き方はいくらでもあるのだな」くらいにしか思っていなかったのですが、他の方のサイトのブログなどを読むと、結構引用されていることが多く、あらためて読んでみたところ、事実として、拙著の記述にミスがあったので、まずはそのことについて書きます。

「最速キャッシュハック」を実験版として公開します。
http://www.peak.ne.jp/xoops/md/mydownloads/singlefile.php?lid=67&cid=2

XOOPS初(?)のページキャッシュシステムで、XOOPSの動作原理に基づいたキャッシュ制御にその特徴があります。

もっとも特徴的なのは、redirect_header() をHackすることで、ベストなタイミングでのキャッシュ破棄ができるだろう、というアイデアです。このアイデアによって、投稿したのに、その結果が反映されない、というページキャッシュシステムにありがちな不具合がなくなっています（いるはずです）。

具体的な内容は、ダウンロードページをご覧ください。

「最速キャッシュ」と名づける予定のHackを、現在、このサイトでテスト中です。
かなりの力技キャッシュなので、想定外のキャッシュヒットでおかしな動作を起こすことも十分に考えられます。
何かおかしな現象がありましたら、お知らせいただけると幸いです。

XOOPS2で、Smartyを採用した際、以下のように実装されました。
・テーマ == Fileテンプレート
・各モジュールのテンプレート == DBテンプレート
・各ブロックのテンプレート == DBテンプレート

モジュールやブロックの見た目に手を入れる場合、当然、これらのDBテンプレートをいじるわけですが、今のテンプレート管理が使いやすいと思っている人はいるでしょうか？

私は思いません。

ある程度技術力のある人なら、みんな私と同じ感想のようで、それ故に、モジュールやブロックについて、Fileテンプレートを採用する動きも多くあります。確かに、Fileテンプレートであれば、FTPでテンプレート構成ファイルを上げれば、一斉に切替可能ですから。

しかし、DBテンプレートは本来、管理者が手軽にいじれるために実装されたはずです。管理画面でちょっと変更すれば、それが反映される。それこそが正しい「Nuke」でしょう。（XOOPSは誰がどう見てもNukeの一派生です）

XOOPSデフォルトのDBテンプレートが評判悪いのは、ちょっとした設計ミスと、本来実装されるべき機能が未実装のままである、という２点に起因していると思われます。

以下に問題点を具体的に挙げます。

1) defaultテンプレートが編集不可能（DBテンプレートのオリジナルは、Fileに存在しているので、ここでオリジナルデータを担保する必要はまったくない）
2) 複製がテンプレートセット単位でしかできない（これだと、カスタマイズしていないモジュールのテンプレートが更新された時の手間が異常に大変になる）
3) テンプレートの削除が１個ずつしかできない（10〜20個もテンプレートのあるモジュールの不必要なカスタムテンプレートを消す場合に気が遠くなる）
4) どのテンプレートをどうカスタマイズしたのかが判らない


そこで今回、tplsadminモジュールという形で、上の問題点を解決した使いやすいDBテンプレート管理を実装してみました。

1) defaultテンプレートも編集可能
2) テンプレートの複製がモジュール単位でも、個別のテンプレート単位でも可能
3) チェックボックス方式で削除可能
4) カスタマイズしたかどうかが一目瞭然の管理画面と、diffが表示される編集画面を実装


このtplsadminがどういうモジュールであるかは、blocksadminを使ったことがあればより判りやすいでしょう。blocksadminではモジュール毎に使いやすいブロック管理画面を提供していたのが、tplsadminではモジュール毎に使いやすいテンプレート管理画面を提供するだけです。管理画面だけのモジュールなので、気軽に導入できます。

もちろん、myblocksadminと同様に、mytplsadminとしてモジュール作者が取り込めば、そのモジュールのメニューにも、簡単に「テンプレート管理」をつけることができます。今後、拙作のモジュールにも、順次mytplsadminを導入していく予定です。