質問: セキュリティ、SSLの質問です。 セキュリティ処理をしたPHPのフォームのヘッダにgoogleの検索窓を設置した場合、その検索窓部分からPHPフォームを攻撃されることはあるのでしょうか? またその場合データは、セッション渡し、post飛ばしで違いはあるのでしょうか? ページはSSLで、フォームのテキスト入力部分はHTMLタグ禁止、php内部で環境変数はサニタイズの対策をしてあるとします。 正直重要なフォームページに検索窓をおくことがナンセンスだと思うんですがそのあたりは無視でお願いします。。。
回答: まず、状況を確認させて頂きたいのですが、あるSSLのページ(A.phpとします)があって、そのページのヘッダ部分にGoogleの検索窓があるという認識でよいでしょうか? その場合恐らく、A.phpを表示してソースを見ると、次のようなHTMLになっていると思います。 ``` 省略 ・・・ Googleの検索フォーム群 ・・・ ・・・ 重要な入力フォーム群 ・・・ ``` この上で、Googleの検索窓側のフォーム(上記でいうname=keyword)に入れた文字によって不正アクセスがされるか?ということですよね? 答えとしては、重要な入力フォーム群のサブミットボタンが押されれば、Google側のフォームに何を入力しようと、関係ありません。上記のkeywordにSQLインジェクションなどを狙った文字列などが仮に入れられたとしても、それは重要なフォームのPOSTするページには送信されません。 Google側のフォームの内容はあくまでも、Google側のサブミットボタンが押された際に、Google側のactionで指定したURLに渡されるだけなので。 はずしていたら、すみません。