質問: Laravel5.*で投稿共有サイトを作っています。 主な機能は、 会員画面での投稿ページはbootstrapのwysiwygを使って、ユーザーが自由に投稿できます。 フロント部分では、購読者がand検索やor検索ができます。 どこにでもありがちなサイトですが、laravelで作っているので、認証やSQLインジェクション等は多分大丈夫なのではないかと勝手に思っています。 localで開発しているのですが、間もなく完成しそうなので、サーバーに上げて脆弱性を洗い出したいと思っています。 堅実なソース記述や、このツールや手法だと、いいのではというお話を聞きたいです。 営業の人とも連携しているので月間100万ビューを見越しています。 何卒よろしくお願いいたします。
回答: 質問文だけの情報だと、中々回答が難しいですね。。。「認証やSQLインジェクション等は多分大丈夫」といっても、例えば、認証にどのような機能が含まれているかが大事ですよね。パスワードポリシーやユーザーの権限設定の設計を誤れば、即ち脆弱性につながりかねません。 Web画面を提供しているのか、APIも提供するのかによっても注意するべき範囲が変わってくるでしょう。(APIを使用しているのであれば、認証に問題がないのかどうかとか...AccessTokenの扱い方とか...) 他にも、標準機能を変更している場合(例えばCSRFチェックを無効化してしまっている)等の場合も、脆弱性につながる恐れがあります。 例を挙げればきりがなくなってしまいます。ので、基本的なところを挙げてみると、例えば、下記のサイト等も参考になるのではないでしょうか。Laravel 5 でのセキュリティ対策 (PHP) 基礎的な部分はある程度、カバーされている様に見えます。 ただ、月間100万ビューを見越すのであれば、きちんと投資して脆弱性診断をかけるべきかと思います。 LAC社等は利用したこともありますが、Webサーバの設定も含め詳細なレポートを出してくれます。 Webアプリケーション診断 他にもアプリケーション診断をしてくれる会社は多くありますので、検討してみると良いのではないでしょうか。