PHP質問・雑談スレ6【初心者お断り(ROM歓迎)】
初心者お断り(ROM歓迎)と書いてますが、初心者用のスレが用意されているからで、
難しい質問や話題をしなければいけないわけではありません。
PHPマニュアルの読み方を概ね理解していて、関数リファレンスが正しく読める方用のスレです。
PHP未導入の方や、手取り足取りが必要な初心者の方はム板のくだスレへどうぞ。
https://mevius.2ch.sc/tech/ (【PHP】で板内を検索)
前スレ
https://medaka.2ch.sc/test/read.cgi/php/1538639036/
その他リンク
・PHPマニュアル
https://secure.php.net/manual/ja/index.php
・コードテスト・貼り付け用
https://ideone.com/
・プログラミングのお題スレ （求PHPer参戦）
https://mevius.2ch.sc/tech/ (お題スレで板内を検索)
このスレで扱う話題
・PHPのコード，設定や設定値に関する質問
・常識的範囲内でのコードレビュー依頼・改良相談
・PECL，PEARに関する質問
・PHP新機能やPHP関連トレンドの話題
（FWや非公式ライブラリの話題や特徴比較は良いが使い方から先の話題は専スレへ）
・PHPのバグ発見報告・公式に報告する前の検証依頼
このスレで扱わない話題
・直接関係ない○○特有の質問（専スレへ）
（HH，エディタ，IDE，サーバ，OS，DB，SQL，FW，テンプレート，非公式ライブラリ・アプリケーション等）
・PHPの改造
パンツを脱いでRを調べてみたら
尿道のところに細い糸のようなものがくっついていました。
糸を取ろうと思って指を近づけてみたら
糸がうねうね動きながら尿道の中に消えていきました。
・・・・僕のRは蟲に乗っ取られました。
HTTPレスポンスヘッダでheader関数を使って
Content-Type: text/html; charset=UTF-8
のように文字コードまで送信しておくのがセキュリティ上好ましいという話を良く聞きますが
PHP7.2で試すと上記のヘッダーを送信しなくても自動で送信されてるんですよね
文字コードの指定まで完璧に
最近のバージョンでこうなったんでしょうか？
それと文字コードはUTF-8固定なんですかね、あるいはphp.iniのdefault_charsetから得ているのでしょうか
どうも公式マニュアルにこのあたりの情報がないのですが、わかる方教えてください
https://www.php.net/manual/ja/ini.core.php
default_charset 確認してみ。
レスありがとうございます
default_charsetの方に説明がありましたか
見落としてました
default_charsetがちゃんと設定されていれば
header()でConten-Typeを送信しなくても良さそうですね
もちろんtext/htmlのときだけですが
フレームワーク使ってそんな些細なところはすっ飛ばせ
firefoxやchromeでそういうプラグインあると楽しいよね
レスポンスがどうだろうと、ユーザーが別の文字コードにエンコードしたら意味無いだろ？
異なる文字コードでフォーム送信してきたデータをうまく処理する仕組みがなければ
セキュリティリスクは変わらないと思うんだが。
まぁ意図してやらなきゃ発生しないって意味ではセキュリティ上好ましいって言えるのか？
自動判別してしまう場合がある
そのとき、サーバー側が意図した文字エンコーディングとは違うものがブラウザで
採用されてしまった場合、サーバー側が意図していないメタ文字などが浮かび上がって
しまう場合がある
こういう解釈を俺はしている
根本的にわかってないだろ
ヘッダを指定しようと、美乳入れようと、おまじない以上の価値しか無い
セキュリティ向上には繋がらない
セキュリティとしてはどのような文字コードでフォーム送信してきても
上手く処理できる仕組みでなければリスクは残る
例えばUTF-7なら、<>や"を記述せず表すことが出来る。それを鵜呑みにして通過させたらえらい事になる。
そういうのを回避する為、PHPでは親切なことにhtmlspecialcharsという素敵な関数が用意されている。
これを通していれば文字コード関連はまず問題ない。
ヘッダで文字コード指定するより、入力にhtmlspecialcharsしておくほうがセキュリティ的には大切だ。
CGM とかのユーザ投稿を許容するサイトで、もし任意の charset 指定ができてしまうと、文字のバケ具合によってはエスケープされてない記号が生きる可能性が出てくる。
結果書き込み内容によっては XSS とかができるようになって困ってしまう。
任意の文字コードは誰でも出来るだろ
何でブラウザ側にある情報を任意に指定できないと思ってるんだ？
chromeだとこれ入れれば出来る
https://chrome.google.com/webstore/detail/set-character-encoding/bpojelgakakmcfmjfilgdlmhefphglae
ブラウザ側の文字コードが何であってもサーバー側の都合のいい様にエスケープするのがhtmlspecialcharsだろ
htmlspecialcharsの効果なんてないんだよ
htmlspecialcharsでの対策と、Content-Typeにおける文字エンコーディング指定は
それぞれ別の攻撃に対する対応なんだよ
徳丸本くらいは読んだ方がいい
サーバーを使うユーザーに対するセキュリティだな
接続処理にプロセスのフォークが使われてて
スレッドを使うMySQLより重いと聞いた
コネクションプールはリクエストの度に毎回環境を捨てるphpでは使えないし
使い物にならないってことは100％ありえないけど。なんならPostgreSQLのほうが得意な分野もあるし。
https://www.postgresql.jp/document/10/html/tutorial-arch.html
今では考えられない世界だ
pgのコネクションプーラは各種あるので好きなものを使えばいいと思うけど、WEBアプリでプーラが必要になるケースの知識はあるの？
リクエストまたいでコネクションを使いまわしてオーバーヘッドを減らす、みたいなイメージしてないかい？
PHPは環境を捨てるというけど、HTTPがステートレスであることと混同してないかい？それにアプリ層にはセッションがあるのだけれど
Why Uber Engineering Switched from Postgres to MySQL
https://eng.uber.com/mysql-migration/
MySQL implements concurrent connections by spawning a thread-per-connection. This is relatively low overhead;
each thread has some memory overhead for stack space, plus some memory allocated on the heap for connection-specific buffers.
It’s not uncommon to scale MySQL to 10,000 or so concurrent connections, and in fact we are close to this connection count on some of our MySQL instances today.
Postgres, however, use a process-per-connection design.
This is significantly more expensive than a thread-per-connection design for a number of reasons.
Forking a new process occupies more memory than spawning a new thread. Additionally, IPC is much more expensive between processes than between threads.
Postgres 9.2 uses System V IPC primitives for IPC instead of lightweight futexes when using threads.
Futexes are faster than System V IPC because in the common case where the futex is uncontended,
there’s no need to make a context switch.
Postgres seems to simply have poor support for handling large connection counts,
even when there is sufficient memory available.
We’ve had significant problems scaling Postgres past a few hundred active connections.
While the documentation is not very specific about why,
it does strongly recommend employing an out-of-process connection pooling mechanism
to scale to large connection counts with Postgres.
Accordingly, using pgbouncer to do connection pooling with Postgres has been generally successful for us. However, we have had occasional application bugs in our backend services
that caused them to open more active connections (usually “idle in transaction” connections)
than the services ought to be using,
and these bugs have caused extended downtimes for us.
コネクションプールってそれをマネージメントするミドルウェア的なやつを
バックグラウンドで動かしてユーザーに開いてるリソース割り振ればいいんじゃないのけ
それとも例えばセッションにいれてみたいな1:1で使い回せないってこと？
Uberの記事では接続数が増え過ぎるバグがあってサーバーが落ちたってあるけど
今は大丈夫？
仕組み的にはphpでも特にコードを変更せず
コネクションを再利用出来る
imagewebpって重い？一気に変換して平気かな？
鯖に負荷が掛かるようならローカルでやってうpなんだが、一気に変換しても大した負荷で無いなら鯖でやろうと思ってる
負荷がかからないようゆっくりやればいい
スペックは高いと思うが、レン鯖なので・・・
時間掛かるとプロセス止められそうで・・・
レン鯖で実行するのは無謀かな・・・
1リクエスト5枚ぐらいにして1時間500枚ぐらいのペースになるよう調整して
10時間ブラウザ開いて放置しとけば終わってるみたいな
ただそんな面倒なことするぐらいならおとなしくローカルにPHP入れて
コマンドラインからスクリプト叩いて変換すればすぐ終わるし確実
ローカルでやると、サーバから下ろして、また上げての作業がめんどうでは？
わざわざ専用のスクリプト(PHP,JavaScript)書くの
どっちが面倒なのか一目瞭然だろ
日常的に画像変換を目的にしてならともかく
ブログとかのコンテンツの整理だろうし問題視されないはず
自分は10年以上前にアップローダー運営してたら高負荷で利用停止になって
対策してくれって怒られたことがある
サーバ管理者は数字みればすぐ誰が原因かわかるから
まとめて一気にやるととんがった山みたいなグラフかくから
数回ぐらいじゃ目つけられないだろうけど気になるならある程度は配慮したほうがいい
もはや安くもないし一番簡単なわけでもないし制限は多いし
比較的まともなのだと500円ぐらいは必要だけど
自分は2Gの定額VPSだけど
従量制のクラウドは怖いわあ
まあ、個人のお遊びならVPSで十分
PVは1日1000 月間30000 転送量は月30GB
ルールよく知らないけどこれをAWSでやると2000円じゃ収まらないでしょ？
2GB RAMのサーバーは月10USD、3TBまでの転送が無料
ffmpeg使って動画変換とかもするから
やっぱ高くつくよな…
そうなのかーありがとう
OSはAmazon Linuxとか聞いたことないからCentかUbuntuがいいけども
まあそれしか安くする選択肢がないということならどうにかする
通常のVPSと同じ使い方でバッチ処理とかも全然おｋで
2GBなら3TBまでの転送量だけに気をつければいいってことかな？
現在の転送量がわかるなら2.9TBぐらいになった時点で503出すようにすることもできそうだし
ちょいいじってみようかなあ
実測でストレージはかなり遅いし
RAM2GBのも1コアだし過度な期待はしないほうがいい
ｱﾏｿﾞﾝLinuxはCentOSと99パーセント同じ
Amazon LinuxはCentOSベースだからyum等が使える
BitnamiのBlueprintを使う場合はUbuntuベースらしい
そんな大人気のサイトでも無い限り1TBも転送しなくね？
CloudFlareでも使っとけば更に転送量を抑えられる
ほとんどの人が無料プランで済んじゃわないか
https://webmasters.stackexchange.com/questions/88659/how-can-cloudflare-offer-a-free-cdn-with-unlimited-bandwidth/88685#88685
ありがとう！
裏に何かあるかもしれないけど、CEOが答えてるなんてこれ以上のソースないわ。
コンストラクタを継承するときに
parent::__construct();
というふうに->でなく::を使うので。
だってオブジェクトないじゃん
ただの記法なのであんま深く考えなくていいぞ。コンパイラか言語仕様上そうなってるだけやろ。
内側と外側は話が別だろ
<?php
${1} = 1;
echo ${1},PHP_EOL;
というふうにすると問題なく動くね。
静的コンテンツの配信は簡単なのですが
PHPを動かせるサーバってどういうふうに書くんですか？
if ($file['extension'] == 'php')
{
$document = passthru("php -f {$file['name']}");
}
こんな感じでいいんですかね？
だいたいそんな感じ
ありがとうございます
requireしたのとかはまだ実験してないけど
とりあえず単純なものなら動きそうですね
PHPでも最速目指せる？
再生させたいと思っています。以下の様にリンクを作成すれば動画を無劣化で
貼り付けることができるのは分かっています。
<video controls>
<source src="https://drive.google.com/uc?export=download&id=｛Google動画のID｝" type="video/webm">
</video>
ただこの方法が通用するのは動画の容量が数十MBまで。
それ以上の容量の動画は上記の方法では埋め込み再生できません。
完全には把握できてはいませんがGoogleは巨大ファイルのダウンロードに際して
ワンクッションページを挟む仕様のようです。
たとえば800MB超のファイルをダウンロードしようとすると、
https://drive.google.com/uc?export=download&id=1wyXHX_xDh4EntuIG7y6jpHiPZT99OBn26A
上記のようなページに誘導され、そのページ中のダウンロードボタン；
https://drive.google.com/uc?export=download&confirm=-8rW&id=1wyXHX_xDh4EntuIG7y6jpHiPZT99OBn26A
をクリックすると動画のダウンロードが始まります。
ダウンロードボタンのリンクには新たに"confirm=-8rW"というキーワードが追加され、
末尾の4文字"-8rW"はダウンロードページをリロードするごとに変更されます。
またダウンロードボタンのリンクをコピーして違うブラウザを開いてURLを入力して
みましたがダウンロードは始まらず、例のワンクッションページに誘導され新たな
"confirm=****"キーワードが生成されたことを考えるとcookieも使ってるような気がします。
そこでPHPの力を使ってGoogleドライブにアップした巨大動画ファイル埋め込み再生に
チャレンジしてみました。
$cookie='https://drive.google.com/uc?export=download&id=1wyXHX_xDh4EntuIG7y6jpHiPZT99OBn26A';
//クッキー取得のためのアクセス
$ch=curl_init();//初期化
curl_setopt($ch,CURLOPT_URL,$cookie);//cookieを取りに行く
curl_setopt($ch,CURLOPT_HEADER,FALSE);//httpヘッダ情報は表示しない
curl_setopt($ch,CURLOPT_RETURNTRANSFER,TRUE);//データをそのまま出力
curl_setopt($ch,CURLOPT_COOKIEJAR,'cookie.txt');//$cookieから取得した情報を保存するファイル名
curl_setopt($ch,CURLOPT_FOLLOWLOCATION,TRUE);//Locationヘッダの内容をたどっていく
$html = curl_exec($ch);
curl_close($ch);//いったん終了
// confirm=**** のうち末尾4文字を$match["name"]に抽出
preg_match('/.*confirm\=(?P<name>\w+)\&.*/', $html, $match);
// 得られた"confirm=****"を使いダウンロードリンクを生成
$url='https://drive.google.com/uc?export=download&confirm=' . $match["name"] . '&id=1wyXHX_xDh4EntuIG7y6jpHiPZT99OBn26A';
// HTML5のvideoタグを生成して動画の埋め込み再生
echo '<html><body><video controls><source src="';
echo $url;
echo '" type="video/webm"/></video></body></html>';
'cookie.txt'にcookie情報が取得できたのは確認できたのですが
残念ながらこの方法では動画の再生にはいたりませんでした。
方針が間違ってたのでしょうか？
> 閲覧側が google ドメインに対して cookie のセットができないんで、その方向性に解はないと思うよ。
閲覧側の問題ですか・・
PHP使ってGoogleから発行されたcookieを閲覧側に横流しすることって出来ますか？
>>91
一応Googleドライブで動画の埋め込みコードを発行してたりするので（iframeを使ったコードですが）
メディア配信を意識してないわけでは無いようです
そのGoogleドライブが発行する埋め込みコードじゃダメなのか？
「動画の埋め込み」機能で発行されるコードは再エンコードされた動画だったりします
（たとえ最高の1080pを選んでも）
元動画が60pでうｐしたのに埋め込み再生される動画は30pに落とされるとかざらにあります
>>88
の方法はそれを回避して動画をオリジナルの画質で再生する方法なんですが
動画の容量が数十MBのものまでしか使えないのが問題でして・・・
>>93
CORS・・・初めて耳にしました
ちょっと調べてみます
http://demo.codesamplez.com/html5/video
> PHPサーバーに動画をキャッシュしてストリーミングしてしまえ
無料レンタルサーバーなんですよね、
そんなことしたら怒られそうで・・・
無料枠で納まるか知らんが。
メタデータ作ってHLSで繋いで再生すればいいだけで
mysql> SELECT number FROM testtable;
+--------+
| number |
+--------+
| 204 |
| 226 |
| 234 |
| 246 |
+--------+
4 rows in set (0.00 sec)
このようなnumberカラムを持つtesttableで、特定の値（仮に今回は3番目の234とします）より大きいnumberを持つレコードのみ+1するということが目的なのですが、
直接mysqlで以下のstatement:
>UPDATE testtable SET number = number + 1 WHERE number > 234;
を実行すると
Query OK, 1 row affected (0.00 sec)
Rows matched: 1 Changed: 1 Warnings: 0
mysql> SELECT number FROM testtable;
+--------+
| number |
+--------+
| 204 |
| 226 |
| 234 |
| 247 |
+--------+
となり、目的が達せられます
100〜のスレッドの続きを読む
