Ruby and taint
http://www.ruby-lang.org/ja/man/html/_A5BBA5ADA5E5A5EAA5C6A5A3A5E2A5C7A5EB.html
http://www.linuxtopia.org/online_books/programming_books/ruby_tutorial/Locking_Ruby_in_the_Safe_Tainted_Objects.html
$SAFEでSandboxできる
http://blade.nagaokaut.ac.jp/cgi-bin/scat.rb/ruby/ruby-dev/38821
Indirect propagation - NO
http://www.ruby-forum.com/topic/158249
- SafeERB
http://agilewebdevelopment.com/plugins/safe_erb
http://www.rorsecurity.info/2008/01/06/safeerb-for-rails-2/
taintが残っていたらAssert、テストで問題を見つけられるのはとっても便利。
Rails1,2までRails3ならDefaultでh、safe,unsafe
http://www.rorsecurity.info/journal/2010/6/8/ruby-on-rails-3-security-updated.html
- xss-shield
ERBのh忘れなら、Rails3でいらないか？
http://code.google.com/p/xss-shield/
一般的なセキュリティガイド
http://www.owasp.org/index.php/File:Owasp-rails-security.pdf
