1. Node.js
ミニマム構成の思想
→ 最低限のものしか入っていない。apacheのよ
うにアップロードダウンロードすらも標準機能で
はない
npm install [module name]
による拡張モジュールインストールが便利

2. セキュリティにおけるphpとの違い
● ｐｈｐならば
escapeshellarg()
password_hash()
などの強力な機能が用意されているが
● nodeでは最小限の機能しかないのでnpmでセキュリティ拡
張をインストールする必要がある
コミュニティモジュールの信頼性が不透明・・・

3. 不安定性
● Npm で取得できるモジュールは今後大きく変化
する可能性がある
● Connect モジュールで1年前メインの機能だっ
たものが3.0バージョンでは使用不能に
→ 何を使うかは慎重に考えるべき
● あるモジュールが別のモジュールに依存するこ
ともある

4. メリット・デメリット
● 割と簡単に帯域制限をかけられる
● 何でもオブジェクトとして扱える
● 重要なデータにアクセスする可能性のある場合
（アカウント登録など）
ではａｐａｃｈｅ+PHPの安全性を優先すべき
かも

5. 気になったところ
● ヌルバイト攻撃に対してどう対応するか
– ヌルバイト攻撃とは？
不正なバイナリ（０１の文字列）を送り込んで関数を停止させた
り、意図しない挙動を引き起こす可能性があるもの。
ＰＨＰではヌルバイトを検出できる「バイナリセーフ関数」と
「非バイナリセーフ関数」が存在し、安全性も明らか。
nodeではよくわかんない
→ 怖いところはａｐａｃｈｅ+phpで動かして安全性
を確保すべきでは？

6. おまけ：最低限のセキュリティ
● 変数のキャスト
整数型と予測するものは整数型に変換して格納するなど
● ホワイトリスト
ブラックリストで検出するよりもホワイトリストのほう
が安全
● パス操作、コマンドインジェクション
専用のサニタイズ関数を作って共通化しておくべき

7. おまけ：最低限のセキュリティ
● 変数のキャスト
整数型と予測するものは整数型に変換して格納するなど
● ホワイトリスト
ブラックリストで検出するよりもホワイトリストのほう
が安全
● パス操作、コマンドインジェクション
専用のサニタイズ関数を作って共通化しておくべき