iyahaya またまた長くなってまいりましたので、改ページです。 (2006/02/20 03:50:00)

iyahaya セキュリティー関係の件は Part-III に引き続き、こちらでお願いします。 (2006/02/20 03:53:10)

NoGood CSS の件、対応ありがとうございます。
とても読み易くなりました。
(2006/02/20 12:43:29)

ume （案Ｆ）に投票させていただきました。厳密には（案Ｆ）と違うのですが、私は自分でWebサーバを立てているため、データディレクトリをWebから参照できない場所置くことで、このセキュリティの問題から解放されるような気がしています。ということで、（案Ｆ）でした。 (2006/02/23 03:03:45)

ume （案Ａ）に関しては、IISは分かりませんが、Apacheでは設定次第です。実際、私のところではhoge.cgiなファイルは中身が表示されてしまいます。。。（案Ｂ）に関しては、パーミッションが744っていうのが良く分からなくて（ディレクトリに4を付与するのは何故？）、個人的には700かな？と思ったりして、裏の意図が読みきれませんでした。。。 (2006/02/23 03:10:21)

ume 間違えてEnterを押してしまいました。（案Ｃ）に関しては、やっぱりメンテナンスが大変かなと思います。（案Ｄ）はIISではダメなのですか。Apacheでもどうやらファイル名は設定次第で.htaccessから変更できるようです。結局はWebサーバ依存なのでしょうか。以上、簡単ですが、未熟者なりにコメントさせていただきました。 (2006/02/23 03:15:39)

NoGood （案Ｄ）について手元のIIS 5.1環境で検証してみます。＞ume 様 (2006/02/23 20:20:24)

iyahaya (案Ｆ)は、「Webから参照できない場所」を特定する方法が無いため、案には挙げたものの、今のところ採用できません。案の文言にある「どこ？」を埋められればよかったのですが。 (2006/02/24 00:17:58)

iyahaya (案Ｂ)は 4(=読み取り権限)を付与するというよりは、1(=実行権限)を外すのに意味があります。これだけで、そのディレクトリに chdir できなくなるので、中のファイルが読めなくなるようです。ただし、これは CGI実行ユーザと Apache ユーザが異なっている場合のみ有効です。 (2006/02/24 00:18:32)

iyahaya (案Ｄ)は、御指摘のように、実際に infoseek などのサーバで 別の名前が割り合てられているという報告をいただいています。 (2006/02/24 00:19:08)

iyahaya infoseek ではなく、isweb の間違いでした。 (2006/02/24 00:25:28)

TEM セキュリティ(案E)にしました。他の案(特に案A)はバッドノウハウ的に感じる部分もあり、（見知らぬcgiファイルがある等)小さいながらも弊害に感じられる部分も。最低限のセキュリティーとして crypt しているのでこれ以上のセキュリティーを求めるならオプションでとの判断をしました。 (2006/02/24 00:52:19)

ume m(_"_)m > NoGood様 (2006/02/24 02:28:40)

ume 「Webから参照できない場所」というのは多分環境によって変わると思うので、設定画面で指定できるようになったらうれしいなあ、と思います。 (2006/02/24 02:32:39)

NoGood (案A)を改善した修正案を試作してみました。http://chibi.chobi.net/~nogood/index.cgi?p=wifky+1.0RC+new+plan を参照して下さい。 (2006/02/24 04:20:45)

NoGood 修正案を試作って日本語になってませんね…修正版を試作してみたので, (2006/02/24 04:39:25)

NoGood あわわ。誤操作もうしわけありません。要するに怪しい日本語よりもソースコード読んでね、と言いたかった訳です。上の URL からダウンロードできる私家版は http://chibi.chobi.net/~nogood/ で実際に動作させています。 (2006/02/24 04:47:36)

iyahaya 「Webから参照できない場所」を設定画面から指定させる場合、その場所のありかを記録する設定ファイルとその場所に置かれるパスワードファイルを分ける必要がでてきますね。でないと「宝箱の鍵は宝箱の中にある」という状態になってしまいます。それゆえ、取り扱うファイルの種類が増え、ちょっと複雑さが増しますね（たいしたもんではないと思いますが）。また、置き場所を変えた場合、旧場所のファイルを削除させるのか、放置するのか、扱いについて迷いもでてきます。 (2006/02/24 08:19:53)

iyahaya NoGoodさん版修正A案は、設定ファイルの拡張子を cgi と決め打ちするのではなく、自分自身の拡張子から、CGIとして実行可能な拡張子を得て、それを使うというわけですね。つまり、wifky.pl なら wifky.dat/config.pl になるし、wifky.cgi なら wifky.dat/config.cgi になると。 (2006/02/24 08:29:34)

iyahaya プラグインの拡張子と衝突してしまうことを懸念されているようですが、安直にプラグインロード部分で「require $pl if $pl ne '設定ファイル名';」としちゃうのも手ではあります。 (2006/02/24 08:35:29)

ume 「Webから参照できない場所」を設定画面（Web）から指定させるのは、あまりよろしくないような気がして参りました。また、iyahayaさんのコメントにもあるように「宝箱の鍵は〜」という話もありますので、（案Ｆ）への投票はチャイということでお願いできますでしょうか。すみません。 (2006/02/24 09:35:45)

NoGood そのとおりです。ただ、現状のプラグインの読み込み部分にしわ寄せが来る点が新たなデメリットです。私見では、プラグインの拡張子は .pl である必要は無いので、デフォルトを .plugin なり .wifky なり（笑）と定義しておき、ユーザが動的に変更可能な Preference として Tools の項目としてしまうのがベストではないかと思います。 (2006/02/24 10:16:56)

NoGood iyahaya さんへ伝わったことですし、私家版を何時までもダウンロード可能にしておくのは害悪でしかないので、diff をテキストで公開するよう変更しました（ライセンスの問題もありますし） (2006/02/24 10:48:40)

NoGood “ユーザ向け手動セキュリティー対策ガイド(草案)”の内容についてですが、IIS の対処方法は IIS の設定を @nifty のようにファイルの置き場所をウェブで閲覧できないように変更する行為であって、IIS の設定変更ができる環境・権限を持ったユーザにのみ通用する方法であり、IIS の設定変更ができないユーザは設定ファイルがウェブで閲覧できてしまう状況に対処する方法は今のところ発見されていない、という点を明記すべきかと思います。 (2006/02/24 11:52:57)

NoGood あわわ。プラグインの件についての御意見を見落としてました。安直な方法で必要十分だと思います。安易な機能追加は wifky の方向性に反する志向だということを失念しておりました。simple is best!（これ以降は無用の混乱を招かないよう、また暫く温かく見守る自重モードに入ろうと思います(^^;） (2006/02/24 12:23:21)

NoGood おぉっとコレで本当に最後です。(案Ｄ)の場合、IIS で Apache/.htaccess 形式の基本認証を提供するツールが存在するらしい、という所までは調査しました→http://blogs.sqlpassj.org/yoshihirokawabata/archive/2004/07/20/3442.aspx (2006/02/24 12:30:07)

iyahaya 皆様、どうもありがとうございました。投票の結果に従い、案Ｅ、すなわち、デフォルトでは何も余計なことをしない方向でコードを fix したいと思います。ただし、この辺をプラグインとかで変更できるような仕組みだけは仕込んでおきたいと思います（ぶっちゃけて言いますと、&load_config,&save_config にフックを入れておきます） (2006/02/25 01:17:11)

NoGood しまった〜！ワタクシ私家版記述に熱中するあまり投票締め切りをすっかり失念しておりました…Perl 日本語オンラインドキュメントなんか検索してる場合じゃなかったんだ orz（まぁ投票以上の意思表示をしたつもりなので後悔はしておりませんが） (2006/02/25 01:22:29)

iyahaya どうりで数が合わないと思った！ (2006/02/25 07:22:44)

NoGood セキュリティー対策方向確定に伴い、オープンβ的位置付けだった wifky-0.83test.zip の互換性喪失も確定したワケです。御役御免ということで、正式に廃版(ダウンロード不可にしておく)ことを提案します。また、“これにて問題ないか、現在、開発者サイトにて検証中です。”との記述も現状とは異なる内容になってしまっていますので、私見では wifky-0.83test.zip を廃版処置の上「テストバージョン」という段落全体を del タグで括って(実際にはインラインな == を連発して)しまうのが適切かと思われます。 (2006/02/25 20:54:27)

NoGood 追記：[[0.99 をリリースしました。]]の先頭に[[ダウンロード]]記載挿入が必要かと。 (2006/02/25 21:01:01)

iyahaya ありがとうございます。対応しました。 (2006/02/25 21:27:52)

NoGood [[プラグインの作り方]]において[[Hack the Wifky !]]がリンク切れとなっております。いずれ「[hach]〜」no (2006/02/26 01:24:12)

NoGood 失礼。いずれ「[hack]目次」等、「[hack]*」へのポータルが用意されるものと期待しています。 (2006/02/26 01:25:56)

iyahaya すみません。作業途中で寝てしまいました。[[Hack the Wifky!]] を新ポータルにしました。( ls があるだけですが ) (2006/02/26 15:15:15)

NoGood index.plg ですが、鬼門の IIS 環境で編集保存できなくなるという不具合が発生してしまいます。IIS ではなく ActivePerl の問題かもしれません。とりあえず IIS の時は機能しない回避策組み込み版を chobi.net の方においてあります。 (2006/02/27 12:07:30)

NoGood index.plg ですが、本来の機能は IIS+ActivePerl でも期待するとおり動作します。(劇症の)副作用として、既存ページの編集保存が出来なくなってしまう(405 エラーになります)、という不具合を伴うのです。 (2006/02/27 20:39:25)

NoGood $main::me の置き換えを行わない（index.plg を機能させない）ようにすることでとりあえず副作用の不具合発生も回避できます、という表現がより正確でしたね。誤解を招く表現で申し訳ありませんでした。 (2006/02/27 21:39:59)

sava ええと、たぶんバグ報告になると思うのですが、tDiary互換じゃないモードで ((comment)) を使うと、各コメントエントリが <ul class="comment"> と </ul> の間に入らない（つまり <li> が宙ぶらりんで存在する）ようになるみたいです。 0.99.0 で確認しました。 (2006/02/27 22:42:26)

iyahaya ((comment)) はバグでした。ありがとうございます。さっそく修正いたしました(on 0.99.1) (2006/02/28 01:06:58)

iyahaya index.plg については、プラグイン配布ページの方で「機能しません」と但し書きを記しました。ご報告ありがとうございます。 (2006/02/28 01:08:58)

iyahaya 対処として「何も機能しないようにする」より「die("!IISでは当プラグインは動きません!");」のように知らせる方がよいと思います(でないとユーザは自分の作業ミスかと思って悩んでしまうかも)。ただ、0.99.0 では、このdieのメッセージが画面に出力されないという不具合がありますし、IIS + Apache ではどっちみち何も嬉しくないプラグインになっているわけですから、そこまでするのもどうかなという気もします。 (2006/02/28 01:19:44)

iyahaya (誤)「IIS + Apache」 (正)「IIS + ActivePerl」でした。なんか変だと思ったら。 (2006/02/28 01:21:34)

NoGood index.plg が IIS＋ActivePerl な環境で副作用を引き起こす件ですが POST リクエスト〜リダイレクトに至る処理のうち、IIS ないし ActivePerl がサボっているらしい、と御教示＆御指摘をいただきましたので、こちらのほうにも通知しておきます。詳細は→http://slashdot.jp/~NoGood/journal/346064 (2006/03/03 01:31:06)

NoGood IIS と判定された場合 $main::version に文字を挿入して「Generated by wifky 0.99.1 without ineffective index.plg with Perl 5.008007」とか出るようにしてみました。→http://chibi.chobi.net/~nogood/index.cgi?p=index.plg 当該ページにあるべき説明等は睡眠を取って冷静になってから着手します。 (2006/03/03 04:18:08)

iyahaya う〜ん、あんまり、そこまで力を入れていただくほどのモンでもないような気もするんですが(汗 (2006/03/03 19:02:45)

NoGood 0.99.2 で IIS でも index.plg が動く(少なくとも例の POST 問題は発生しない)ことを確認しました。やっぱ説明とかの日本語より Perl で意思疎通したほうが早いッスね(^^; (2006/03/07 21:42:07)

NoGood 別件ですが New した時の Edit で Attachment が出てこないのは仕様ですか？あらかじめ Attachment する予定のページを作成する場合一手間かかってしまうのですが…と要望だけ挙げときますね。余裕があって Quick で済ませられそうなら Hack して diff 晒します。 (2006/03/07 22:10:30)

iyahaya 仕様です。ページ本体が無い状態でファイルのアップロードができてしまうと、最悪、その添付ファイルがウェブインターフェースから見えなくなってしまい、ゴミファイルとして、サーバ容量だけを消費する存在になってしまいます。また逆に添付ファイルがある状態ではページは削除できません(0バイトのページとして存在し続けます) (2006/03/08 00:47:58)

NoGood 先生、納得しました！というわけで要望も撤回させていただきます。 (2006/03/08 22:11:47)

Data ファイルの存在を確認されても良いというレベルであれば、保存データファイルの拡張子を.plや.cgi等にしておくと、CGIとして実行され、失敗に終わり、ダウンロードされることが無いという手があります。　アタックかけられるとエラーが一杯出るのが難点というところでしょうか。　しかし、ブラウザ経由で中身を直接見られることが無いという要求には、完全に対応出来ます。　ご参考までにどうぞ。 (2006/03/13 10:20:32)

iyahaya 一度、検討はしたんですけどね。。既存の設定ファイルからの移行など、ややトリッキーなことをしなくてはならず、賛同もそれほど得られなかったので、あっさりと断念してしまいました。 (2006/03/14 03:11:57)

xenon 凍結ページのbodyタグにfrozenクラスを付けるのは止めたのですか？凍結ページの表示を変えたいのですが。 (2006/03/14 08:26:26)

あっさん いつのまにか1.0ができてる！しかしながら当方は0.80.2でもう少々運用を続けます。不具合はないので。古いバージョンを使い続ける選択ができた古き良き時代のソフト（セキュリティバグフリー）のようでほっとします。 (2006/03/14 16:35:56)

はさみ ちまちまとやっていくサイトさんのプラグインが認識してくれないんですけども、index.dat内に入れるだけだと駄目なんでしょうか？　　 (2006/03/16 00:08:54)

はさみ すみませんバージョン書き忘れました　wifky 1.0.0 (2006/03/16 00:09:34)

NoGood はさみ さんへ：“ちまちまとやっていくサイト”さんの各プラグインのページにコメント記入欄があるので、そちらで問い合わせてみたほうが良いのではないでしょうか？そもそも、どのプラグインか、例示されている通り記述してみてどうなるのか、といった基本的な情報が欠落しているため、このままではどなたも適切なアドバイスをすることは不可能ではないかと思われます。というわけで、“ちまちまとやっていくサイト”さんの各プラグインのページをもう一度よく御覧になった上で、症状や再現方法などの詳細な情報を掲載すると、どなたか親切な方が御返事して下さるかもしれません。 (2006/03/16 10:22:35)

Opera だとEditでPreviewのたびに先頭に空行が足されていきます… (2006/03/16 19:39:46)

はさみ NoGoodさんへ。返信ありがとうです 導入時は公開されている3個すべて動いていなかったのですが、適当に編集すると,セクションの折り畳みプラグイン以外は動作するようになりました。私の環境が影響してると思うのでもうすこし勉強してきますね。掲示板汚してすみませんでした (2006/03/16 21:42:34)

iyahaya ご返事遅くなりました＞皆様 (2006/03/18 15:24:28)

iyahaya To xenon様： body の frozen タグは、コード削減(リストラ)の対象になってしまいました。が、需要がそれなりにあるということであれば、復活させます。 (2006/03/18 15:25:56)

iyahaya To 匿名殿： Preview の度に空行が増えてしまうのは、Opera の TEXTAREA で、先頭・末尾の空行を除く処理が無いためと考えますが、それがブラウザで標準で持つべき機能とも思えないので、wifky 側で対応いたします。 (2006/03/18 15:27:30)

iyahaya To はさみ様： 掲示板は書いてナンボなので、書き込むことを躊躇される必要は無いと思います。ご相談の件ですが、基本は NoGood さんのおっしゃるとおりではあるのですが、wifky は結構本体側でプラグインの互換性を損じるようなVer.up をしてしまうこともあるので、こちらでも確認してみます。 (2006/03/18 15:36:30)

Nagisa frozenクラスの復活ありがとうございます。frozenクラス賛成派より（ただし、bodyタグに執着しません）。 (2006/03/18 17:18:14)