質問: 上記状況を整理してみました。 【gulpメリット】 ・セキュリティリスクの心配がほぼなくなる。 ・サーバ上でプログラムが作動しないのでサーバ負荷がわずかに減らせる。 【gulpデメリット】 ・サイトごとにgulpタスクを構築(コピー)しなければならない。 【phpメリット】 ・ソース管理が楽。 【phpデメリット】 ・セキュリティに考慮してソースを書かなければならない ・サーバに少しだけ負荷がかかる。 今回のサイトは小規模コーポレートサイトで サーバ移転が発生することも考えられるため gulpで対応することも考えていますが 皆様でしたらどのような判断をするか また似たような体験談がありましたら 是非参考にさせていただきたいです。
回答: 問題となるphp file_get_contents()の脆弱性が ディレクトリ・トラバーサルなら、外部から指定されるファイル名を使用せずに処理を書けばセキュリティに考慮する必要はありません。 wordpressのslugなどを元にしたファイル名でfile_get_contents読み込を行うかrequireを使用するのが、良いのではと思います。 疑問点ですが 1. $cleanは、サイタイズ処理ではないかと思います。サイタイズしたいならhtmlspecialchars()を使うと良いでしょう 2.外部から指定されるファイル名は($_GET、$_PUTからのファイル名) 意図しないパスを指定されるかもしれません。(軽い気持ちで使用したwordpressのプラグインに脆弱性が有こともあります。) 3.file_get_contentsは、ほぼ全てのサーバで使えると思います。ただし、HTTP経由でfileを読み出すことを制限しているサーバ(phpオプションを変更できない)が時々あります。