アカウント名:
パスワード:
この話をネタと見抜けない人は、プログラムが書けない人、いわゆるエスケープ処理を知らない人たちでしょうね。
パスワード盗むスキルがある人なら簡単に対処できます。CSVがぶっ壊れるとか、この行を削除したら動くってのは、単なる冗談。
たとえば、１００万人のアカウントを盗んだハッカーが、１つのコンマ入りアカウントの対策にそこまでするだろうか？もしコンマ入りアカウントが大統領とか要人とか、ターゲットのアカウントなら対処するだろうが、特定ターゲットを狙わない攻撃なら、１つのアカウントに手間をかけるとはおもえない
そもそも「データに紛れたカンマでCSVが壊れる」というのは、CSVを書き出す処理をわざわざ手書きして、「CSVの仕様を満たしてないゴミデータを書き出してしまう可能性のあるダメなプログラム」を作った場合にしか起こらないんだ。
データに「,」とか「\n」とか「"」を含める場合にどうするかというのはCSVファイルの仕様で決まってる。だから正しいライブラリを使えば、それらを含んだデータでも壊れたCSVファイルにはならない。読み込みも同じく、正しいライブラリに任せれば良いだけ。
スクリプト言語だと標準ライブラリに含まれてたりする。それ以外の言語でも、だいたいまあ、誰かが作ったちゃんとしたやつはいくらでも公開されてる。まあ、実務だと、ライセンスがー、というのが問題で気楽に使えない可能性もあるけど、パスワード盗むようなハッカーの話だしなぁ(笑)。
綺麗なデータしか扱わないし、ライブラリを探したり使い方を調べる時間が無駄、というのはあり得るかもだけど、ちゃんと読み書きする処理を書くことまで考えると時間の節約になる。CSVの仕様から調べないとダメだしね。ちょっとした処理の見本として便利だからって、その辺を考慮しないCSV風のデータを読み書きするルーチンが、よく「CSVファイルを読み書きするコード例」として出されちゃってるけど、人にものを教えるつもりで情報発信するならもうちょっと気を使った方が良い。
あんなに使われてるのに国際標準とかにはなってないの? それはビックリ。面白い情報をありがとう。
まあ、Python辺りのソースコードを参考にしたら実用十分で説明責任も果たせるんじゃないかなぁ。
はい。https://www.rfc-editor.org/rfc/rfc4180 [rfc-editor.org]ていうか自分で見つけられなかったの? マジで?まあこの仕様のCSVはExcelと互換性がないので実質使い物にならないんだけど
そこに載ってるのはインターネット用の標準なのでちょっと… csvはむしろインターネット外で使われる規格であるからしてインターネット用の標準化団体の規格なんて結局外野が勝手に決めた企画で下手すりゃ混沌を悪化させただけ。
それを指して仕様と言えるのって、中身を読んでない人くらいでは？
いや、仕様の一つではあるだろ。
>This section documents the format that seems to be followed by most implementations:
だから、まあ仕様と解釈していいだろうよ。公式仕様とか標準仕様とは解釈できないけどな。
そもそも#4344334は仕様としか言っていないのに国際だの公式だの標準だのと後出しジャンケンされてもな
つまり
「CSVの仕様を満たしてないゴミデータを書き出してしまう可能性のあるダメなプログラム」
というものは存在しないということでいいですかそれともMS Excelが「CSVの仕様を満たしてないゴミデータを書き出してしまう可能性のあるダメなプログラム」ってことですか
そもそもハッカーが100万人単位の情報抜き取るときはSQLデータベースのダンプだからカンマが入ってようが壊れたりしない
SQLからCSVに変換して二次流通させるときは変換ツール側で自動的にダブルクオートされるから壊れない
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
皆さんもソースを読むときに、行と行の間を読むような気持ちで見てほしい -- あるハッカー
ネタをネタと見抜けない人たち (スコア:1)
この話をネタと見抜けない人は、プログラムが書けない人、いわゆるエスケープ処理を知らない人たちでしょうね。
パスワード盗むスキルがある人なら簡単に対処できます。CSVがぶっ壊れるとか、この行を削除したら動くってのは、単なる冗談。
Re:ネタをネタと見抜けない人たち (スコア:0)
たとえば、１００万人のアカウントを盗んだハッカーが、１つのコンマ入りアカウントの対策にそこまでするだろうか？
もしコンマ入りアカウントが大統領とか要人とか、ターゲットのアカウントなら対処するだろうが、
特定ターゲットを狙わない攻撃なら、１つのアカウントに手間をかけるとはおもえない
Re:ネタをネタと見抜けない人たち (スコア:1)
そもそも「データに紛れたカンマでCSVが壊れる」というのは、CSVを書き出す処理をわざわざ手書きして、「CSVの仕様を満たしてないゴミデータを書き出してしまう可能性のあるダメなプログラム」を作った場合にしか起こらないんだ。
データに「,」とか「\n」とか「"」を含める場合にどうするかというのはCSVファイルの仕様で決まってる。だから正しいライブラリを使えば、それらを含んだデータでも壊れたCSVファイルにはならない。読み込みも同じく、正しいライブラリに任せれば良いだけ。
スクリプト言語だと標準ライブラリに含まれてたりする。それ以外の言語でも、だいたいまあ、誰かが作ったちゃんとしたやつはいくらでも公開されてる。まあ、実務だと、ライセンスがー、というのが問題で気楽に使えない可能性もあるけど、パスワード盗むようなハッカーの話だしなぁ(笑)。
綺麗なデータしか扱わないし、ライブラリを探したり使い方を調べる時間が無駄、というのはあり得るかもだけど、ちゃんと読み書きする処理を書くことまで考えると時間の節約になる。CSVの仕様から調べないとダメだしね。ちょっとした処理の見本として便利だからって、その辺を考慮しないCSV風のデータを読み書きするルーチンが、よく「CSVファイルを読み書きするコード例」として出されちゃってるけど、人にものを教えるつもりで情報発信するならもうちょっと気を使った方が良い。
Re: (スコア:0)
あんなに使われてるのに国際標準とかにはなってないの? それはビックリ。面白い情報をありがとう。
まあ、Python辺りのソースコードを参考にしたら実用十分で説明責任も果たせるんじゃないかなぁ。
Re: (スコア:0)
はい。
https://www.rfc-editor.org/rfc/rfc4180 [rfc-editor.org]
ていうか自分で見つけられなかったの? マジで?
まあこの仕様のCSVはExcelと互換性がないので実質使い物にならないんだけど
Re: (スコア:0)
そこに載ってるのはインターネット用の標準なのでちょっと… csvはむしろインターネット外で使われる規格であるからしてインターネット用の標準化団体の規格なんて結局外野が勝手に決めた企画で下手すりゃ混沌を悪化させただけ。
Re: (スコア:0)
それを指して仕様と言えるのって、中身を読んでない人くらいでは？
Re: (スコア:0)
いや、仕様の一つではあるだろ。
>This section documents the format that seems to be followed by most implementations:
だから、まあ仕様と解釈していいだろうよ。公式仕様とか標準仕様とは解釈できないけどな。
Re: (スコア:0)
そもそも#4344334は仕様としか言っていないのに国際だの公式だの標準だのと後出しジャンケンされてもな
Re: (スコア:0)
つまり
「CSVの仕様を満たしてないゴミデータを書き出してしまう可能性のあるダメなプログラム」
というものは存在しないということでいいですか
それともMS Excelが「CSVの仕様を満たしてないゴミデータを書き出してしまう可能性のあるダメなプログラム」ってことですか
Re: (スコア:0)
そもそもハッカーが100万人単位の情報抜き取るときはSQLデータベースのダンプだからカンマが入ってようが壊れたりしない
SQLからCSVに変換して二次流通させるときは変換ツール側で自動的にダブルクオートされるから壊れない