Nucleus CMS 4.0 の新機能日本語版リリースマネジャー兼メインコミッター坂本貴史

Size: px

Start display at page:

Download "Nucleus CMS 4.0 の新機能日本語版リリースマネジャー兼メインコミッター坂本貴史"

ただきよたけすえ
4 years ago
Views:

1 Nucleus CMS 4.0 の新機能日本語版リリースマネジャー兼メインコミッター坂本貴史

2 Nucleus CMS とは? 2002 年にベルギーで開発されたコンテンツマネジメントシステムその後オープンな開発体制となる日本語版は有志が 2003 年に公開現在の最新版は 3.64 現在の開発版は 4.0

3 Nucleus CMS の基本機能ウェブブラウザからのリクエストに応じて整形したメッセージを出力する HTML/XML/XHTML などのテキストを出力出力するメッセージのひな形を DBMS やファイルシステムを利用して管理するひな形 = スキンテンプレート

4 Nucleus CMS のシステム要件 1 サーバー側ネットワーク機能を持ったオペレーティングシステム HTTP サーバー機能を持ったソフトウェア Apache2/Nginx など DBMS( データベースマネジメントシステム ) PHP5 MySQL/SQLite( 実験段階 ) など

5 Nucleus CMS のシステム要件 2 クライアント側ネットワーク機能を持ったオペレーティングシステムモダンなウェブブラウザ Internet Explorer 8 以上 Firefox Opera など

6 Nucleus CMS の制約 1. 文字符号化方式固定 2. マルチバイト文字列処理不能 3. 非 ASCII 文字を含むメールが受信後おかしい 4. 翻訳メッセージの部分的な適用 5. ロケール名の表現ルールがまちまち 6.RDMSとしてMySQLしか考慮してない 7. 多くの箇所でPHP4 依存のコードが見られる

7 1. 文字符号化方式固定 ISO 固定表記文字のうち英数字と一部のラテン文字のみ米国と西ヨーロッパ以外の国の表記文字を扱えないどこもかしこもデフォルトのまま使ってるためこのままだと日本語などが扱えない UTF-8 を使えない一部の携帯端末のために入出力の文字符号化方式の変換機能が必要例えば Shift-JIS

8 1 の対策 PHP 内の処理を UTF-8 に統一意図しない文字符号化方式の文字列の混入予防データベース内テーブルも UTF-8 に統一 RDBMS がキャラクタを損失するのを予防 ( 設定により UTF-8 以外も適用できる予定 ) 携帯端末とのメッセージ入出力部分に文字符号化方式の変換機能を追加

9 2. マルチバイト文字列処理不能 ISO-8859 シリーズと UTF-8 の違い一文字を表すために 1 4 バイトが必要 PHP の文字列処理のための関数はシングルバイト文字列が基本実装代表例 : strlen(), substr() strlen( あ ) は 3 を返す substr( あいうえお, 1, 2) は不正な値を返す

10 2 の対策 PHP の iconv 拡張の利用 POSIX で API が定義されている文字符号化方式変換のための実装 PHP の iconv 拡張はこのほかに文字符号化方式を考慮した文字列処理関数を提供代表例 : iconv_strlen(), iconv_substr() iconv_strlen( あ ) は 1 を返す substr( あいうえお, 1, 2) はいうを返す Mbstring 拡張は PHP のデフォルト実装ではないグローバルにリリースするため PHP のデフォルトに合わせる

11 RFC 2231: MIME Parameter Value and Encoded Word Extensions: Character Sets, Languages, and Continuations 3. 非 ASCII 文字を含むメールが受信後おかしい 1 メール送信のためのルール (SMTP プロトコル ) は非 ASCII 文字を含むメールを考慮してなかった RFC 5321: Simple Mail Transfer Protocol RFC 5322: Internet Message Format 正確にはサブジェクトなどのヘッダ情報に含まれる場合におかしくなる後に MIME の仕組みでヘッダのエンコード可能に

12 3. 非 ASCII 文字を含むメールが受信後おかしい 2 PHP のビルトイン関数 mail() はヘッダをエンコードせずに送信するその結果受信するとおかしなメッセージのメールになるこんな感じ Subject: =?iso-2022-jp?b? MjAwNS0wMi0xM4LMjIuJypXxjZA=?=

13 3 の対策ヘッダのエンコードをしてあげれば mail() でもちゃんと送信可能ヘッダのエンコードを行ってから main() を実行する機能を追加

14 4. 翻訳メッセージの部分的な適用管理画面と一部のテンプレートのみスキン / テンプレート機能やプラグインオプションへの適用機能がない

15 4 への対策 NP_Text という <%text%> に翻訳メッセージを適用するプラグインが本体に同梱されているこれをコア機能 (BaseActions クラス ) にマージスキンディレクトリ内の翻訳ファイルを自動でインクルードする機能を追加 /skins/( ディレクトリ )/locales ディレクトリに翻訳ファイルを配置しとく

16 5. ロケール名の表現ルールが不定 1 翻訳ファイル名をロケール名としている English とか japanese-utf8 とか中国語の翻訳ファイル名が変で内容が重複してる簡体中国語 : chinese/simchinese 繁体中国語 : chineseb5/traditional_chines ロケール名の表現ルールが不定なため再利用しにくい HTML 要素の language 属性や XML 要素の xml:lang 属性の値として使えない

17 5. ロケール名の表現ルールが不定 2 翻訳ファイルの文字符号化方式がファイル内に記入されている文字符号化方式を指定しての読込ができないので文字化けの原因にルールを整えるなら変わりにくく資料があるものが好ましい独自ルールだとドキュメントを用意する必要があってメンテナンスが面倒

18 5 への対策 RFC の援用 RFC5646: Tags for Identifying Languages language-script-region ( 言語 )-( 文字体系 )-( 地域 ) それぞれのタグは IANA に登録されている文字符号化方式をファイル名に付加これも IANA に登録されている名前を利用 UTF-8 とか WINDOWS-1250 とか結果 ja_jpan_jp.utf-8 のようなファイル名に

19 6.RDBMS として MySQL しか考慮してない MySQL 用の PHP ビルトイン関数でしか動作テストしてない sqlite 用ビルトイン関数や PDO(PHP Database Object) の動作テストしてない MySQL の独自拡張 SQL 文を使っている

20 6 の対策下位互換性を維持しつつ RDBMS の違いを吸収するクラスを作成 Db クラスとその下位クラスとしての PDO MysqlPDO クラス MysqlPDOStatement クラスコア機能が作成する SQL 文の見直し順次作業中 Search クラスがネック SQL の標準仕様を採用 SQL89 や SQL92 に準拠予定

21 7. 多くの箇所で PHP4 依存のコードが見られる PHP4 サポートが 3.5 系まで続いた名残り 3.61 のリリースが 2010/12/19 初リリース時のレガシーなコードが残ってる PHP5 では使われない機能のコードが残ってる

22 7 の対策コードのレビューと書き換えすべてのコードに対して作業中スキン / テンプレートで管理画面を構成可能にする表示周りのコードの再レビューと修正プラグインの基底クラスを抽象クラスに書換えオーバーロードしなければならない / してはいけないメソッドを整理

23 Nucleus CMS 4.0 の新機能インストーラーの改善スキン / 管理画面 / プラグインの多言語化携帯端末向け文字符号化方式変換機能スキン / テンプレートで構成可能な管理画面スペシャルスキンパーツをスキンからインクルード可能に MySQL 以外の RDBMS を利用可能に

24 Nucleus CMS 4.0 いつリリース? 未定ですコア機能をほとんど書き換えたメジャーバージョンアップになるので十分なテスト運用をしてからの予定アルファバージョンテスト (6 月?) ベータバージョンテスト (7 月?) リリースキャンディデートテスト (8 月?) リリース (9 月?) 開発に参加してる人が 3 人みなさんもテストに参加してください!!

WEBシステムのセキュリティ技術

WEBシステムのセキュリティ技術 WEB システムのセキュリティ技術棚橋沙弥香目次今回は開発者が気をつけるべきセキュリティ対策として以下の内容についてまとめました SQLインジェクションクロスサイトスクリプティング OSコマンドインジェクションディレクトリトラバーサル HTTPヘッダインジェクションメールヘッダインジェクション SQL インジェクションとは 1 データベースと連動した Web サイトでデータベースへの問い合わせや操作を行うプログラムにパラメータとして

Nucleus CMS 4.0 の新機能 日本語版リリースマネジャー兼メインコミッター坂本貴史

Nucleus CMS 4.0 の新機能日本語版リリースマネジャー兼メインコミッター坂本貴史