MAKIZOU.COM

ZDnet Japan
http://japan.zdnet.com/

サイト脆弱性をチェックしよう！–第4回：開発工程におけるレビューやテストのコツ（その2）

コードレビュー

　まずは、コードレビューでどういったことに注意して確認する必要があるか説明しよう。コードレビューのコツを理解するには、まずアプリケーションの動作について理解する必要がある。従って、最初にアプリケーションの動作について説明する。

　多くのアプリケーションでは、何らかの入力（ユーザーにより入力されたデータだけでなく、ファイルや、時刻なども含む）を必要とし、入力されたデータの加工などの処理を行い、結果を出力する。出力された結果は、別のアプリケーション（ブラウザやデータベースなど）で入力データとして利用されることがある。

　たとえば、あるECサイト用のアプリケーションの検索処理では、「category」というパラメータがあり、この値が「携帯電話」のとき、携帯電話関連商品の検索結果を返し、値が「PC」のときにはPC関連商品の検索結果を返すといったように、入力データの内容によって開発者が意図したとおりの処理をするといったことができる。

ブラウザから渡されるデータは、HTTPヘッダも含めてすべて変更（改ざん）可能であるということを知らない人が多い。
この点からも考慮に入れた上でのテストを行う必要がある。

実際の現場では実装優先で、リソースを割けない場合が多いが注意はだけしたいですね…