PHP＞ フォームで受けた外部サイトの不安。セキュ

質問

宜しくお願いします。
＜WinXP、PHP5、MySQL、Smarty、PEAR＞にて開発中

簡単な会員専用ページを開発しております。
会員専用ページの一部は、第三者も閲覧できる箇所があります。
（会員のデジカメの撮影画像をサムネイルにて一覧表示させる）のような構成です。

もし、会員が、自分の管理画面で「オススメのサイト」と題した項目に、
外部サイトのＵＲＬを保存できる機能があったとします。
フォームにＵＲＬを入力し、POSTしてMySQLに格納します。

そして、
第３者が、そのオススメする外部ＵＲＬをクリックするとジャンプするようにします。

そこで質問です。
悪意のある会員が、自前の不正な外部サイトを用意した場合、
第３者はそれに気づかずにクリックすることになりますが、
PHPでこのような局面を回避できる、技術的な考え方などを回答下さいませ。

それとも、こういったことは防ぎようがなく、神経質になる必要はないでしょうか？

また、ＵＲＬをＰＯＳＴさせることに対しても不安があります。
正直なところ、マスターとしてはこちらの方が不安です。

抽象的な質問かもしれませんが、何卒宜しくお願いいたします。

回答No.2

nudev · ベストアンサー

No1様のように，運用面でどうにかするしかないと思います。

同じ方向での追加提案ですが，違反URL通告の仕組みなどを実装することでURLが安全かどうかの，自前のデータベースを作ることが出来ます。
この場合もあくまでも「だめなものは登録しない」といった事前審査式ではなく，
「だめだったから今後は表示しない」という後付のものとなります。
さらに，通告されたURLを目視やその他を使うなどして審査判定を行うなど運用が必要です。

もう一点。
危険かどうかの判定にはなりませんがURLを入力させることの不安については
保存する前に入力された値の妥当性確認を行ってはいかがでしょうか？

参考URL：

http://www.bing.com/search?q=php%20url%20validation

お礼

お礼がおそくなりました。

有難うございました。
勉強させて頂きます。

回答No.1

f_user

URLも単にデータですので、PHPには悪意があるか否かの判定はむずかしいと考えます。
つくりとしては、アンカーを押された場合、直接URLにリダイレクトするのではなく、いったん自サイト内のページを表示させ
「○×(リンク)が押されましたが、これは自サイトではありません。ご自身の責任において接続してください。接続しますか(y/n)」
というようにするとよいかもしれません。

お礼

お礼が遅くなりました。　ＰＣがトラブってしまって・・・大忙しでした。

なるほど、ワンクッションおくという形ですね。
かなり参考にさせていただきます。
ありがとうございました。