IE8以下は内容がHTMLっぽいとHTTPレスポンスヘッダ‐のContent-typeに関わらず、HTMLとしてレンダリングしてしまう。
IE8はnosniffをつければ、Content-typeに従う。
参考： X-Content-Type-Options: nosniffの効果を確認してみる | UCWD-Studio.【ホームページ制作 / 京都】
PHPの実験用コード
<?php header('Content-type: text/plain') ?>
<script>alert(1)</script>
今夜つける HTTPレスポンスヘッダー （セキュリティ編） - うさぎ文学日記の中で、よく知らなかったヘッダーについて調べたメモ。
いくつかのヘッダーについてのブラウザ別のサポート状況はこちら。
（ちょっと古いが、少なくともこれ以降のバージョンではサポートしているということは分かる。）
↓
IPA ISEC セキュア・プログラミング講座：Webアプリケーション編 第8章 マッシュアップ：クライアントサイドマッシュアップ: #4 対策に利用できる技術
X-XSS-Protection
IE8以降のXSSフィルターはデフォルトで有効になっている（ブロッキングモードではない）。
↓
Security through HTTP response headers
[IEInternals] XSS フィルターを制御する | Hebikuzure's Tech Memo
Internet Explorer 8 には、XSS フィルターとして知られている、反射型クロスサイト スクリプティング攻撃を防止するのに有効な画期的新機能があります。このフィルターは既定ではインターネット ゾーン、信頼済みサイト ゾーン、制限付きサイト ゾーンで動作します。
X-XSS-Protection: 1; mode=block
CSP is quite usable in Chrome 16+, Safari 6+, and Firefox 4+, and has (very) limited support in IE 10.
Content-Security-Policy:
default-src 'self';
script-src 'unsafe-inline' *;
img-src data: *;
frame-src *;
font-src *;
style-src 'unsafe-inline' *;
report-uri /csp-report.php
file_get_contents()は便利だが、POSTとかエラー対応とかは少し面倒なので、手軽に使えるようにラップしてみた。
PHPのバージョンは5.2.10以降または5.3.0以降が対象。
function file_http(
$url,
$params = null, //パラメータがあれば配列で渡す
$method = 'GET', //GET or POST
&$status = null, //参照渡しでレスポンスのHTTP Status Codeを返す
&$http_response_header = null, //参照渡しでレスポンスのHTTP Headerの配列を返す
$request_header = array() //追加したいリクエストのHTTP Headerがあれば
) {
$opt = array(
'method' => $method,
'header' => (array)$request_header, //PHP 5.2.10 / 5.3.0 以降は配列でもOK
'ignore_errors' => true, //PHP 5.2.10 / 5.3.0 以降で有効
);
if ($params) {
$query_string = http_build_query($params);
if ($method === 'GET') {
$url .= '?' . $query_string;
} else { //POSTの場合
$opt['header'][] = 'Content-type: application/x-www-form-urlencoded';
$opt['content'] = $query_string;
}
}
$res = file_get_contents($url, false, stream_context_create(array('http' => $opt)));
//レスポンスのHTTP Headerは$http_response_headerにセットされている
if (is_array($http_response_header)) {
preg_match('@^HTTP/1\\.. ([0-9]{3}) @i', $http_response_header[0], $matches);
$status = $matches[1];
}
return $res;
}
$res = file_http(
'http://localhost/test.php',
array('foo' => 'テスト'),
'POST',
$status,
$responseHeaders,
array('User-Agent: ゆーざーえーじぇんと', 'Referer: りふぁら') // 1つだけの場合は文字列でもOK
);
echo $status; // => "200"
var_dump($responseHeaders);
CSVをダウンロードするWebアプリをPHPで実装する方法。
しばしば必要になるが、そのたびに調べ直してるので、後日のためにまとめてみる。
$fileName = 'ダウンロードして保存する時のファイル名.csv';
$fileName = mb_convert_encoding($fileName, 'SJIS-WIN');
header('Content-Type: application/x-csv');
header("Content-Disposition: attachment; filename=$fileName");
$fp = fopen('php://output', 'w');
$rows = /* 配列の集合（DBから取得したデータとか） */
foreach ($rows as $row) {
mb_convert_variables('SJIS-WIN', mb_internal_encoding(), $row);
fputcsv($fp, $row);
}
fclose($fp);
session_cache_limiter('none');これにより、SESSIONを使っても余計なHTTPヘッダーが送出されなくなる。
session_start();
session_start();header()でセミコロンの右に何も書かないと、PHPは何も送出しないようだ。
header('Expires:'); //下記「余談」の追記も参照
header('Cache-Control:');
header('Pragma:');
header('Expires: -1');ログイン管理をする場合などはこれをやっておいた方が良さそう。
PHPライブラリは新時代に入った。定番だったphpMyAdminやPEAR::Mailはもう古い。最近は1ファイル配置するだけで簡単に使える便利なツールが増えてきた。
例えばこんなの。
本家 ReverseHttp
分かりやすい解説 ReverseHTTP — ありえるえりあ
現実的な感想 Route 477 - ReverseHttpに関する俺の理解 (WebHookでクライアントマシンに通知を送る技術)
はてなWebHook + Firefoxアドオンで使う例 「ReverseHTTPで誰よりも速く...」をブラウザだけで実現してみた。 - 今日もスミマセン。
PHPのheader()を使ってリダイレクトをさせる場合、デフォルトではHTTPステータスコードは302（Found、一時的なURL変更等）になる。
リダイレクト時のHTTPステータスコード301（Moved Permanently、恒久的なURL変更）にしたい場合、header()の第3引数に301を指定する。
header('Location: http://www.example.com/', true, 301);参考：生の HTTP ヘッダを送信する - PHP 5.3 日本語マニュアル
<?php header('X-Test: TEST', true, 404) ?>
テストです。
HTTP/1.1 404 Not Found
X-Test: TEST
（2010/5/11 修正：Google Codeでもmax-ageが設定可能だったので一部修正。参考：SubversionFAQ - support - Subversion FAQ - Project Hosting on Google Code）
スタティックなファイルのhttp(s)での取得について、Google App EngineとGoogle Codeを比較してみる。
| Google App Engine | Google Code | |
| https | 可 | 可 |
| gzip | あり | なし |
| Etag | あり | あり |
| Last-Modified | なし | あり |
| max-age （Expires） | 設定可能 デフォルトは10分 | 設定可能 デフォルトは1分 |
| Server | Google Frontend | Apache |
PEAR::HTTP_Clinetがget()する時の、主にコネクションを確立するまでの大まかなfunctionの流れ。
HTTP_Client#get()
↓
HTTP_Client#_performRequest()
↓
HTTP_Request#sendRequest() ※1
↓ ↓ ※2
↓ Net_Socket#connect() ※3
↓ ↓ ↓
↓ ↓fsockopen()
↓ ↓ ※4
↓ socket_set_blocking() ※5
↓
HTTP_Response#process() ※6
↓
ソケット経由で得たレスポンスを処理していく
（以下省略）
※1 将来的にはHTTP_Request2に切り替える可能性が高いと思われる
※2 URLのスキームがhttpsの場合は、ホスト名は「ssl://ホスト名」に、そうでない場合はIPアドレスに変換される
※3 ちなみにHTTP_Request2の場合、自前のSocketクラス（HTTP_Request2_Adapter_Socket）を使っている
※4 もしこのあたりでNet_Socket#enableCrypto()を使えばSSLのバージョンを指定できるけど、使っていない
※5 stream_set_blocking()のエイリアス。この流れの中ではデフォルト設定のままなので、常にブロッキングを有効にしている
※6 HTTP_Responseクラスは、HTTP_Requestのファイル（Request.php）内で定義されている
This package has been superseded, but is still maintained for bugs and security fixes. Use HTTP_Request2 instead.
PHPのfile_get_contents()でhttp経由でデータを取得する場合、HTTPステータスコードによっては取得が失敗になる。（Warningが出て、戻り値がfalseになる。）
取得が失敗しないHTTPステータスは以下の通り。（数字の部分で判断するので、後ろの文字列は何でもよいが参考までに載せておく。）
投稿
すべてのコメント
