GitHub - honda-dev-jp/review-app: Movie review web application built with PHP and MariaDB. Securi...

Movie review web application built with PHP and MariaDB. Security-focused portfolio project. - honda-dev-jp/review-app

1,237

遅咲きエンジニア

Feb 3

本日の進捗。ポートフォリオの異常系テストを継続。デベロッパーツールを用いたCSRFトークンの無効化テストを実施し、期待通りエラーを返すことを確認。仕組みを一つずつ潰していく作業に手応えを感じています。 #Web開発 #PHP #MariaDB

2,468

遅咲きエンジニア

20h

特に多かったのは、・WP系、不審PHPファイル探索・Actuator系エンドポイント探索・クラウド認証情報らしきファイル探索・.env や config 系ファイル探索などです。 test環境側にも探索が来ていましたが、Basic認証で401になっており、保護は効いていました。つづく

遅咲きエンジニア

20h

6/13ログでは、・5xxなし・SQLiなし・設定ファイル系の外部200なし・不審PHPの200成功なしを確認。危険度の高いIPは追加で拒否設定しました。ログを見ると、公開後のアプリは「作って終わり」ではなく、日々の運用・保守まで含めて守るものだと実感します。

遅咲きエンジニア

21h

おはようございます😊 スクラッチ版の保守作業のIssueが残っていたので、気になって完了させました。ログ解析もう一度見てから寝ます( ˘ω˘ ) ｽﾔｧ… やっとこれで安心してLaravel移植作業に戻れます🖥 ⌨️🖱 みなさまおやすみなさい😴

200

遅咲きエンジニア

21h

続きです。最後に残していた低優先度Issueも対応。設定ファイル読込失敗時に、実パスや内部情報が画面へ出にくいよう安全化。・Webは固定文言で500応答・CLIは安全な理由のみ表示・private_configの誤コミット防止追加・本番反映後の動作確認も完了これで一連の保守対応は一区切りです。

遅咲きエンジニア

21h

今回の対応は、単に見えてはいけないファイルを403にするだけでなく、・設定ファイルの配置見直し・読み込み順の確認・失敗時のエラー表示整理・CSRF/認証まわりの再確認・README更新・本番反映後の確認までIssue/PR単位で進めました。個人開発でも、保守運用の流れはかなり学びがあります。

遅咲きエンジニア

Jun 11

おはようございます😊 昨晩は色々なことを思い出して沈んでしまいました…… 明けない夜はないと言いますが、人間はAIではないので感情の切り替えができません…… やるべき事はやらなくちゃならないので淡々と勧めます…… 今日もよろしくお願いします🙏

243