Re: namazu.cgi and its path

[Takahiro Kambe <taca@sky.yamashina.kyoto.jp>]

In message <20010517105015Y.kimoto@ohnolab.org>
	on Thu, 17 May 2001 10:50:15 +0900,
	Masahiko Kimoto <kimoto@ohnolab.org> wrote:
>   >   URL でファイル名を指定する CGI って、得てして不用意にファイルが覗け
>   > るとかセキュリティホールになったりするのですが、その点は大丈夫でしょう
>   > か？
ということがあるので、

> そうですね。その点は悩んだのですが、ファイル名を直接指定するわけでは
> なくて、そのuserのhomeが存在して、かつその場所にnamazurcがあった場合
> だけファイルをopenするので大丈夫かな、と。

o 直接パス名等をとなるものを直接指定しない。もうちょっと抽象的な検索対
  象を表す名前で指定する。

o namazu.cgi側で環境変数 SCRIPT_FILENAME と、その指定された名前をチェッ
  クする。

とかしたら良さそうに思えますが、まだ何か穴はあるかな?

--
神戸 隆博(かんべ たかひろ)		at 仕事場