外部研修で学んだマインド

 初めまして、この春入社したピカピカの新入社員です。

 初めての記事ということで何を書こうか悩んだのですが、4・5月は会社ではなく外部で色々学んできたため、初心を書き留めておくという意味でもそこでの経験についてお話していこうと思います。

 ……とは言っても知識面では正直、付け焼き刃と言わざるを得ない(まだ言語化するには圧倒的に経験が足りない)と感じるため、今回は心得──これから大事にしていきたいマインドを中心に記していきます。

軽く私のことについて

  • プログラミングの経験はほぼ皆無(HTMLに本当に少し触ったことがあるくらい)
  • タイピングは早い方だと自負しています

研修先のことについて

 研修先には弊社の新入社員だけでなく他の会社の新入社員もいらっしゃいました。プログラミングのスキルとしては千差万別という感じで、私は講義に付いていくだけで必死でしたが、他の方たちは+αも積極的に行っていた印象で、本当に圧倒されてしまいました。

 周囲との実力の差を感じる毎日で、自分にこの業界は向いていないのではないかと思い悩んでいました。毎日毎日新たな知識を叩き込まれ、余裕も全くなかったです。理解するのに必死で、+αなんてとんでもなかったです。

 だけどOJTの先輩に泣きの連絡を入れたり、おそらくそれを受けて上長の方からも労りのメッセージが入り(お二方、その節は大変お世話になりました……)、家族に話を聞いてもらったりと、なんとか自分を奮い立たせて乗り切ることができました。

 周囲と自分を比べても仕方がない。周囲は私よりずっと多くの経験をしていたのだから、実力に差があるのは当たり前。問題は「今」「私が」どうするかだ、と現状を捉え直して頑張りました。

今後必要だと感じたポイント

  • 周囲の人にきちんと相談すること
  • 諦めずに問題を解決しようとする心を持つこと

 この2点が必要だと、私は外部研修を通じて感じました。

 前者については、上記もしましたが「今こういうことを不安に思っていて」等ということを相談することは大切だと思います。

 人一人の力にはどうしても限界があり、一人で抱え込んでしまうとどこかで必ず綻びが生じてしまうでしょう。しかし他の人に相談すれば、自分でも気づいていなかった自分の問題を指摘してもらえたり、逆に「思っていたより大丈夫かもしれない」という安堵感を得ることができるかもしれません。

 不安や問題を放置しておくより、すぐに相談するのはとても大事なことだと思いました。

 後者については、プログラミングをやっていて感じたことです。

 やっていると、とにかく分からないことばかり出てきます。分からない単語、分からない方法、分からない文章……ただスマートフォンやパソコンに触るだけでは出会わないものばかりです。

 そんな時は、とにかく調べる。テキストを読んだりネットで検索したりして、とにかく答えを探す。もちろん一発で自分が納得して深く理解できるような答えは出てきません。だからこそ、答えが見つかるまで粘り強く探し続ける、諦めない心が重要だと感じました。

 それこそ自分ひとりで調べるのにも限界があるため、人に相談することも必要だな……と1つ目に戻ってきます笑

 もしかしたら、人に相談して、自分で調べて、人に相談して──……と、そういうサイクルが必要なのかもしれません。

まとめ

 というわけで今回は、外部研修で学んだマインドについてお話ししました。

 これから働くうえで、何かあれば周囲の人にきちんと相談すること、分からないことはすぐに諦めず調べていくことを大事にしていきたいと思います。

 これから頑張っていきますので、今後ともどうぞよろしくお願いします。

自分の行動をメモする癖をつけた話

 前略。私には記憶力がない。主に瞬間的な記憶力が。

 大事な用事をスマホのスケジュール帳に書き込もうとスマホのロックを外した瞬間、何のためにスマホを開いたのか忘れるような人間である。

 そんな私も内定をいただいて社会に出て、こうして内部研修を行っているわけだ。内部研修の内容は主に、自分でwebアプリケーションを作ってみようというもので。

 私が一番困ったのは、自分が作りたいページをどう作ればいいか分からなかった時でも、エラーが出ていつまで経っても想定通りのページが表示されないことでもない。

 いつに何をしたのか記録して提出すること、と先輩に言われたことである。

 というのも、自分で1からアプリケーションを作り始める前に作業見積書を作成していた。○日に××を行う、というのをまとめた表である。当然、それを用いて立てた予定と実際何日かかったのか見比べることになる。

 端的に言うと、私は困った。その日何をしたのか忘れたのではない。1つのことを連続して続けたのではなく、色んなことを同時並行で進めていたから困ったのである。

困った原因

 ページを作っていると、たびたびこういうことが発生する。

  • フォーム機能を実装する際、一緒にエラーメッセージも実装する
  • ユーザーログインと管理者ログインの仕組みが一緒なので、同時に実装する

 この時、「フォーム機能実装」と「エラー処理」、「ユーザーログイン機能」と「管理者ログイン機能」は別の作業工程として扱っていた。つまり別の作業を同時並行で行っていたことになる。

 だが私はこれを特に深く考えておらず、「今日はフォームを完成させた」、「今日はログイン機能を実装した」という一言で完結させていたのだ。具体的に何をしたのか、仔細が分からない。

退勤時にその日の作業内容を報告する、という決まりに助けられた

 見出し通りである。退勤時にその日の作業内容を報告することになっているのだが、これに助けられた。

 最初の方は上記のような、「フォームの完成」「ログインの実装」等アバウトに報告していたのだが、作業見積書と見比べるために後からその報告を見返すと、イマイチ何をしたのかよく分からない……と感じた。分かるのだが、それは輪郭が分かるだけで内情が分からない。例えば「ログインの実装」と一言に言っても、「保存してあるユーザーデータと参照して、一致したか判断できるようにした」「一致したらマイページに飛ぶようにした」等、できることは色々あるのに。

 それに気づいてからは、報告の際に具体性を意識するようにした。「検索機能を実装」と一言書くだけではなく、「年齢の範囲検索を実装」「都道府県を複数選択で検索」と、後から見返した時に何をしたのか分かるようにした。

 報告を具体的に書くと、実際の工程日も記載しやすくなった。今までアバウトになんとなく行っていたことが、「この工程に、総合的に○日掛けていたんだな」ということが可視化されるようになった。あとは具体的な報告を見返すと、「私は1日でこんなにやってたことがあるんだな……」と自分の頑張りを実感できる。

 ちなみに具体的に書いていない報告を見返した時は、それはもう実際の工程日の記載に苦労した。見返しても何をしたのか、当然覚えていないからだ。冒頭にも書いたが私には記憶力がない。○日に具体的に何をしたか、ということが引き出せるわけがない。もちろんなんとか埋めたが。

振り返りを記録するだけでなく、未来も記録するようになった

 何度も言うが私には記憶力がない。だから退勤時に今日やったことを報告する際、「私、午前中は何やってたっけ……?」となることも少なくない。もちろんなんとか捻り出すが。

 だから業務中は、何かを完了させた時にそれをメモに書くようになった。「ページを表示させるためのファイルを作った」や、「ログインしてから10分全く操作をしないと自動的にログアウトするようにした」等、自分に分かるように具体的に。

 退勤時にはそれを見返して、人に伝える用に丁寧に書き直して報告を完了させる。

 これを活かし、私は未来のことも記録するようになった。

 未来と言ってもそこまで大げさなことではなく、未来の自分にメッセージを残す、という意味である。

「今日の私は○○をしたから、明日の私は××をしてね」、とそういうことだ。でないと私は記憶力がないため、次に出勤をしてパソコンを開いて、「今日は何をするつもりだったんだっけ……?」となりかねない。土日を挟むと特に。

 そこで何をするつもりだったのか、と考える時間が無駄だ。だからメッセージを残しておく。

 そうすると「ここまでは完了した。だから次はこれをやるべき」と自分の作業を整理する癖がつき、それも良かったと思う。

「自分が何をしたか」を記録しておくことの重要性とまとめ

 今は1人で行っているからいいが、これから案件に入るとなると、チームメンバーと一緒に何か1つのものを作ることになるだろう。その時に

  • 現在位置を確認していない
  • 自分が何をするべきか、何をしたのかを把握していない

 このようなメンバーがいると、どこかでチームメンバーに迷惑をかけることになってしまうのではないかと考えた。

 ここで自分の記憶力のなさとそれに伴う不都合に気づき、こうしてメモを取る癖をつけられたのは良かったかもしれないと思う。

 これからも自分の行動を記録して、積み上げていきたい。

新入社員ブログ 斎藤06[PHPUnitデータプロバイダ]

25年度入社の斎藤です。

 以前、斎藤04[PHPUnitについて]のブログでは、以下のようにテスト対象のクラスメソッドに対して、1つのデータだけを使って、メソッドの動作を検証しました。

※addメソッドに対して、引数(2,3)の場合のみ検証

しかし、上記の結果で得られる検証結果は引数が(2,3)の場合は正常に機能するということしか保証できません。
実際のテストでは様々な入力を用いて多角的に検証していく必要があります。PHPUnitにはそのための便利な機能として、データプロバイダ(DataProvider)があります。今回は、そのデータプロバイダの使い方について簡単に説明していきます。

データプロバイダの作成・紐づけ

 今回は斎藤04[PHPUnitについて]のブログですでに作成したテストコード(Sample_Test.php)を流用し、これにコードを追記することでデータプロバイダを利用することにします。
データプロバイダによるテストの対象はaddメソッドとします。

Sample_Test.php(以前のブログで作成済み)



1.データプロバイダの参照を追加
まず、データプロバイダがテストコード内で利用できるように以下の参照をテストコードに追加します。

2.テストメソッドを引数をとるカタチに修正
前回はテストメソッド(test_add)内で、テスト対象のメソッドであるaddメソッドを呼び出し、その引数にデータ(2,3)を直接記述しました。

以前のテストメソッド(test_add)

今回は、このテストメソッドを以下のように修正することで、任意の入力でaddメソッドを検証できるようにします。

修正1: addメソッドの引数を変数に変更する
add(2,3) → add($var1,$var2)

修正2: アサーションメソッドの期待出力値を変数に変更する
assertEquals(5,$result) → assertEquals($expected,$result)

修正3: テストメソッドがこれらの変数を引数として受け取れるようにする
test_add() → test_add($var1,$var2,$expected)

これらの修正を加えるとテストメソッド(test_add)は以下のようになります

3.データプロバイダを作成する
データプロバイダはテストメソッドの引数に合わせるように作成していきます。データプロバイダはメソッドとして作成することができ、テストメソッドの直下に記述します。以下の例(SampleDataProvider)にあるように、データの組み合わせによってパターン名を付けることをができます。このパターン名はテスト実行時に表示されるので、どのパターンの認証が成功し、失敗したのか一目で分かります。

データプロバイダの例(SampleDataProvider)


今回のテストメソッド(test_add)は

第1引数($var1): 任意の整数
第2引数($var2): 任意の整数
第3引数($expected): $var1と$var2の合計

よって、データプロバイダに用いるデータの組み合わせは以下のようなものが考えられます。
[任意の整数,任意の整数,2つの整数の合計値]
= [1,1,2][2,2,4][0,0,0][-1,-2,-3]…..etc

今回はデータプロバイダを以下のように定義します。
メソッド名: additionDataProvider

4.テストメソッドとデータプロバイダを紐づける
テストメソッド(test_add)の1行上にピッタリと乗せるように、以下の記述を追加します。これによってテストメソッドとデータプロバイダが紐づけられます。

以上で、データプロバイダの追加は完了です。テストコード全体は以下のようになります。

以下のテストコマンドを実行します。

これで、データプロバイダで作成した3つのパターンのaddメソッドの検証と1つのパターンのsubメソッドの検証が行われ、全ての検証が正常に終了したことが分かります。

最後に

 データプロバイダを使えば、テストメソッドを検証のパターンごとに何個も記述せずに済むため、テストコードがかなりスッキリしてとても便利であると感じました。特に境界値テストなど、似たようなテストを複数実行したい場合に重宝すると思います。

以上で今回のお話をおわります。
ありがとうございました。

新入社員ブログ 斎藤05[会社近くにあるオススメの飲食店]

25年度入社の斎藤です。

今回は、お昼休憩のときに利用している弊社近辺のご飯を紹介していこうと思います。

なか卯

 弊社のある建物から徒歩10秒のところにお店がありますので、お昼休憩で食べる外食の回数、圧倒的No.1です。いつも黄身の乗った親子丼を食べています。
他のものはまだ食べたことがありません。海鮮丼やウナギ、うどんそばなど様々なメニューをとりそろえていますが、迷った末に結局親子丼を頼みます。

なか卯 三田店
https://maps.nakau.co.jp/jp/detail/2327.html

町田商店

 弊社から徒歩5分の場所にお店があります。
入社前から大好きなラーメン屋だったので、入社してすぐに食べに行きました。会社の近くにあって嬉しい反面、頻繁に食べるとカロリーがヤバそうなので、我慢しなくてはいけないのが少しつらいです。
トッピングはいつもネギチャーシューかホウレンソウにしています。

町田商店 高輪ゲートウェイ店
https://shop.machidashoten.com/japan/detail/112103

バンブルビー カフェ

 [カフェタイム]14:00~17:00に訪れました。見た目もオシャレで味も大満足でした。特にパンケーキにふんだんに使用しているジャムがとても濃厚で美味しかったです。
飲み物はオレンジジュースやコーヒーなどがあり、飲み放題でした。店内の雰囲気も静かで落ち着いているのでとてもリラックスできます。
パンケーキは何種類かあるようなので、他のパンケーキにも挑戦したいです。
ランチタイムは11:30~14:00にあるそうで、その時間帯にはまだ訪れたことがないので、そちらも行ってみたいなと思っています。

BUMBLEBEE CAFE 東急ステイ高輪
https://retty.me/area/PRE13/ARE16/SUB1301/100001511154/

最後に

 今回は、私がお昼休みに利用しているご飯を紹介させていただきました。
高輪ゲートウェイ駅や田町駅周辺にも紹介したい魅力的なご飯がたくさんあるのですが、長くなってしまいそうなのでまた次回、他のブログで紹介させてください。

以上で今回のお話をおわります。
ありがとうございました。

新入社員ブログ 斎藤04[PHPUnitについて]

25年度入社の斎藤です。

 クラスやメソッド単位での動作を保証するために行う、単体テストというものがあります。今回は、テストコードを記述することで単体テストを自動化する機能をもつPHPUnitについて、Laravelのwebアプリケーションへの導入方法と使い方を簡単に説明しようと思います。

PHPUnitの導入方法

 Laravelを導入している場合、phpunitは標準でインストールされているため、特にインストール操作は必要ありません。

テストコードの作成

 PHPUnitでの単体テストは、テスト対象となるクラスとテストコードを1対1の関係で作成していきます。

Laravelプロジェクトフォルダ内で以下のコマンドを打つことで tests/units 配下に単体テストファイル(Sample_Test)を作成できます。

作成できたテストファイル tests/unit/Sample_Test.php にて以下のコード変更を行います。

※テストフォルダには、単体テストファイル用フォルダのtests/unit、結合テスト用のフォルダのtests/featureが存在します。unitフォルダ内に作成されるテストファイルは、厳密な単体テスト用のファイルとして作成されるため、デフォルトではLaravelが提供する外部依存機能機能(トランザクション、ファクトリー、シーダー、ファサード認証など)が使えません。しかし、実用的には単体テストにおいても、これらのLaravelの機能を含めた単体テストを行うことがあるので、上記のコードの変更を行いました。

結果、以下のようなテストコード(Sample_Test.php)のひな型が作成できます。

Sample_Test.php

次にテスト対象として、足し算、引き算の機能を持つクラス(SampleClass.php)を作成します。

SampleClass.php

これで、テスト対象となるクラス(SampleClass.php)とテストコード(Sample_Test.php)のひな型を1対1で用意できました。最後に、テストコードを編集して、テスト対象のクラスをテストできるようにします。

テストコードファイル内で追記する主な内容は

1.テストクラス内に、テスト対象のクラスのオブジェクトを定義する
 テストクラスの中で使用するテスト対象のオブジェクトを、プロパティ(変数)として宣言します。


2.setUp関数を定義する
各テストメソッドが実行される前に毎回自動で呼ばれる特別なメソッドです。
ここでテスト対象のオブジェクトを作成します。
こうすることで、テストメソッドごとに毎回新しい状態のオブジェクトを使えるようになり、テスト同士が影響し合うのを防げます。
parent::setUp()は初期化処理を継承するために必須の記述です。


3.テスト対象のメソッドごとにテストメソッドを作成する(テストメソッド名は test….)
基本的に、テスト対象のメソッド1つに対して、テストメソッドも1つ作成します。
テストメソッドごとに、テスト対象の各メソッドをテストしていくイメージです。
実際のテスト内容をここに記述します。
テストメソッド名はテスト対象のメソッド名と対応させると分かりやすいです。


4.テストメソッド内で、テスト対象クラスのオブジェクトからメソッドを呼び出し実行する

setUpメソッドで作成したテスト対象のオブジェクトを使って、実際にテストしたいメソッドを呼び出します。


5.メソッドを呼び出した後、期待する結果を検証していく(assertion)

期待する結果と実際の結果が一致しているかを検証する手段として、assertion(アサーション)が用意されています。
具体例として
・予測値と実際の結果を比較するメソッド : assertEquals()
・trueかどうかを検証するメソッド : assertTrue()
・配列の数を検証するメソッド : assertCount()
などがあります。
これをテストメソッド内で利用していきます。

これら1~5の内容をテストコード(Sample_Test.php)に追加すると以下のようになります。

あとはテストコードを実行するだけでテストを行えます。
テスト実行コマンドは以下の通りです。

作成した全てのテストファイルを実行する場合

特定のテストファイルを実行する場合

テストコードを実行すると以下のような結果が得られます。
今回の二つのメソッド(add、sub)は想定通りに機能していることが確認できました。

最後に

 PHPUnitを学んで率直に感じたことは、テストコードを記述していくことはかなり労力がかかる作業であるということです。テスト対象のコードとテストコードを対にして記述していく必要があるため、単純計算で2倍程度のコードを記述することになります。小規模なシステムや修正があまり発生しないコードでは、この労力は割に合わないかもしれません。しかし、システムが大規模になり、複数人での開発や頻繁な変更が発生する環境では、自動テストによって迅速に品質を保証し続けられるメリットは大きいものなのだろうと思いました。

以上で今回の話をおわります。
ありがとうございました。

新入社員ブログ 斎藤03[Form Requestについて]

25年度入社の斎藤です。

 今回は、Laravelのバリデーション機能であるForm Requestについて、概要を簡単にまとめ、webアプリケーションへの具体的な導入方法について説明しようと思います。

Form Requestとは

 FormRequestとはLaravelの機能の一つで、フォームから送られてくるデータのバリデーション(検証)を専用のクラスで管理することができます。Form Requestには以下のメソッドが標準機能として存在します。

authrizeメソッド
バリデーションを行う前に、リクエストが認可(オーソライゼイション)されるかどうかを決定します。
return true : バリデーションに処理が進む
return false : バリデーションを行わず、403 Forbiddenを返しリクエストが拒否される

rulesメソッド
フォームデータに対する検証(バリデーション)ルールを定義します。
バリデーションが通らなければ、デフォルトでは直前の画面にリダイレクトされます。
バリデーションルール記述方法 : [ ‘form要素名’=>’ルール1|ルール2…’ ]
※ルール同士は | 記号で繋げる。また、初めのルールと最後のルールを ‘ 記号で囲む

FormRequestクラスの作成

 Larvelプロジェクトフォルダにて、以下のコマンドでFormRequestクラスを継承した子クラス(今回の例ではSampleRequest)を作成します。
※○○Requestという名称にする
※ディレクトリで区切りたい場合は、クラス名指定を”ディレクトリ名/SampleRequest”とすればよい

以下のような、app/Http/Requests/SampleRequest.phpが作成されます。

今回の例では、SampleRequest内のauthrizeメソッド、rulesメソッドに対して以下のように設定します。

1.authrizeメソッドのリターンを常にtrueに変更
→リクエストが常に認可される

2.rulesメソッドにバリデーションルールを追加
フォームデータに対して以下の内容を検証する
$name : 入力必須、最大20文字
$tel : 入力任意、ハイフン区切りの電話番号形式
$email : 入力必須、メールアドレス形式
$body : 入力必須、最大1000文字

FormRequestバリデーションの実行

 以下では、フォームデータを受け取るコントローラのメソッドを用意し、FormRequestの子クラスであるSampleRequestを依存性注入することで、バリデーションを機能させます。

例として、以下のようなコントローラ(SampleController.php)を用意する
indexメソッド : Sample.indexビュー を表示
postメソッド : formリクエストを受け取る処理

このコントローラに以下の内容を設定することで、postメソッドにバリデーションを適応させる
1.use を用いて app/Http/Requests/SampleRequest を参照する
2.postメソッドの引数部分にSampleRequest $reruest を記述する(依存性注入)

この設定によってpostメソッドでは、SampleRequestで設定したバリデーションを通過したフォームデータのみを受け取ることができるようになります。

最後に

 今回、LaravelのFormRequestについて学んだことで、バリデーション処理を簡単に実装できることを知りました。
 特に便利だと感じた点は、多様なバリデーションルールが初めから用意されている点です。自分で複雑な検証ロジックを書く必要がなく、フォームデータの種類ごとにルールを定義するだけで適切なバリデーションが実行される点は、開発効率を大きく向上させると感じました。

今回の話は以上です。
ありがとうございました。

新入社員ブログ 斎藤02[CSRFについて]

25年度入社の斎藤です。

 今回は、Webアプリケーションに対する代表的な攻撃手法であるCSRF(クロスサイトリクエストフォージェリ)について、概要を簡単にまとめ、CSRF攻撃に対する一般的な対策とLaravelでどのように対策が行われているのかについて説明しようと思います。

CSRFとは

 CSRF(クロスサイトリクエストフォージェリー)は、Webアプリでログイン状態を保持している利用者に、ユーザーの意図しない不正なリクエストを送信させる攻撃手法です。
 正規のリクエスト方法とは異なるリクエストが受け入れられてしまうようなwebアプリの脆弱性が存在する場合に被害にあう可能性があります。
以下に具体的なCSRF攻撃手法の被害までの基本的な流れを銀行webアプリを例に説明します。

【前提条件】
・正規の銀行webサイト(例:https://bank.com)が存在し、送金機能をもつ
・CSRF対策(CSRFトークン)が実装されておらず脆弱性が存在する
※CSRFトークンについては後述

ステップ1:ユーザーが正規サイトにログイン
ユーザーが銀行サイト(bank.com)に正しい方法でログインします。
この際、Cookieが保存され、bank.comへのリクエスト時にはユーザーを識別するために自動的に送信されます。

ステップ2:攻撃者が作成した不正なサイトにユーザーがアクセスする
以下のような方法で不正なサイトにアクセスさせます。
・メールに記載されたリンク
・SNSの広告クリック
・掲示板に貼られたリンク
・他のサイトに埋め込まれた広告
など

ステップ3:不正なサイトのスクリプトが自動実行される

以下のフォームでは、正規の銀行webサイトに対して、攻撃者の口座(to_account)と送金金額(amount)を指定しています。

CSRF対策

 主なCSRF対策方法として、CSRFトークンを使用することが挙げられます。CSRFトークンは正規のページを表示したときにだけ発行される予測不可能なランダムな値です。
 このランダムな値をサーバーが生成してHTMLのFormに埋め込むことで、Form送信時にFormデータに合わせてCSRFトークンをserverへ送信し、フォームの正当性を担保することができます。
※CSRF攻撃では攻撃者はトークンを読み取れません

Laravel(Blade)でのCSRF対策
フォームタグ内に @CSRF を記述することで、Laravelが自動的にフォームに対してCSRFトークンを埋め込んでくれます。

※web.php(ルーティングファイル)では、@CSRFの付与されていないPOST/PUT/PATCH/DELETEリクエスト はエラーで弾かれるようになっています

jQueryのAjax通信でのCSRF対策
Ajax通信でのリクエストにもCSRFトークンを埋め込むことができます。
まず以下のようにBladeのheadタグ内にmataタグを用いてCSRFトークンを埋め込みます。

次にJavaScriptのjQuery.ajaxSetupメソッドに以下の記述を追加することで、metaタグからCSRFトークンを取得して、Ajaxリクエストに含めることができます。
※$.ajaxSetupはajax通信に関連するデフォルト値を変更するメソッド

最後に

 これまで、セキュリティ攻撃といえば不正なサイトに誘導する、webサイト自体に対して悪意ある改変を行うといったイメージを持っていました。
 CSRF攻撃はそれとは全く異なるアプローチで、攻撃者が自分のサイトから正規サイトへリクエストを送信し、ブラウザが自動的にCookieを付与してしまうことで、ユーザーの意図しない操作が実行されてしまうという「正規のフォーム外から攻撃する」という発想は、自分にとって全く考えたことのない視点であったので、非常に興味深く感じました。

今回の話は以上です。
ありがとうございました。

参考

安全なウェブサイトの作り方 – 1.6 CSRF(クロスサイト・リクエスト・フォージェリ)https://www.ipa.go.jp/security/vuln/websecurity/csrf.html

Readouble Laravel 9.x CSRF保護
https://readouble.com/laravel/9.x/ja/csrf.html

「CSRFって美味しいの?」←ハンズオンで実装して理解してみたhttps://qiita.com/Naughty1029/items/c606d4f12e994b46ba58

新入社員ブログ 斎藤01[XSSについて]

25年度入社の斎藤です。

 今回は、Webアプリケーションに対する代表的な攻撃手法であるXSS(クロスサイトスクリプティング)について、概要を簡単にまとめ、XSS攻撃に対する一般的な対策とLaravelでどのように対策が行われているのかについて説明しようと思います。

XSS(クロスサイトスクリプティング)とは

 XSSとは、脆弱性のあるwebサイト上で悪意のあるスクリプトを紛れ込ませることで、Webサイトを閲覧したユーザの環境において、紛れ込ませたスクリプトを実行させる攻撃手法です。具体的なXSSの流れを以下の簡単な例で説明します。

前提条件
・脆弱な掲示板サイトが存在
・投稿内容をそのままHTMLとして表示する仕様(エスケープ処理がない)

※エスケープ処理については後述

ステップ1:攻撃者が悪意のあるスクリプトを投稿
攻撃者が掲示板の投稿フォームに、以下のようなスクリプトを投稿する。

document.cookie:閲覧者のCookie情報を取得
fetch():攻撃者のサーバーにCookie情報を送信

このスクリプトが実行されると、閲覧者のCookie情報が攻撃者のサーバーに送信される仕組みになっている。

ステップ2:被害者が掲示板を閲覧
攻撃者の投稿内容が、閲覧者のブラウザに送信されます。

ステップ3:被害者のブラウザでスクリプトが実行される
被害者のブラウザは、<script>タグの中身を正規のJavaScriptコードとして実行してしまう。

ステップ4:攻撃者に閲覧者のCookie情報が抜き取られる

このようにして攻撃者は、盗んだCookie情報を使って被害者になりすまし、不正に被害者のアカウントでログインすることが可能になります。

今回の例は、XSSの中でも特に格納型XSSと呼ばれる攻撃手法です。ほかに、反射型XSSやDOM Based XSSといった攻撃手法も存在します。

XSS対策

 有効な対策としてエスケープ処理を行うことが重要です。
エスケープ処理とは、 <script>のようなウェブページの表示に影響する特別な記号文字を無害な文字(HTMLエンティティ)に置き換えることです。
具体的には以下のような置き換えを行います。

 “<script>”であれば、 &lt;script&gt; に変換される。

Laravelでのエスケープ処理
Laravelでは {{ $変数 }} という記述方法で、変数の中身を自動的にエスケープしてくれる機能があります。


※{{}}内の変数に対して自動でhtmlspecialchars(エスケープ処理のメソッド)を施してくれます

エスケープ処理を行わずに表示させたい場合は、{{!! $変数 !!}}という記述方法を用います。

最後に

 今回、XSS(クロスサイトスクリプティング)ついて学ぶ機会を得たことで、Webアプリケーションのセキュリティに対する理解が深まりました。
特に、攻撃者がどのように悪意のあるスクリプトを実行させるのか、ブラウザのCookie送信の仕組みをどう悪用するのかといった、攻撃の手順と仕組みを理解することで、知らないことに対する不安から、知識に基づいた適切な警戒心へと意識が変化したことが、今回の学びの最も大きな収穫だと考えています。

今回の話は以上です。
ありがとうございました。

2025年 新入社員ブログ 遠藤01 [フォローアップ研修]

2025年4月入社の遠藤です。

今回はフォローアップ研修についてお話いたします。
われわれ2025年度入社社員一同は4月より、約二か月間外部での研修を受けさせていただいておりました。
そこでは、ITとは何かという情報基礎の学習から、実務で用いるようなコードの書き方、アプリ開発まで多くのことを学びました。
今回の研修は、その後のフォローアップ研修という位置づけで、ビジネス基礎を学びました。社会人としての仕事への姿勢を学ぶことが目的です。

研修で学んだこと

・業務の振り返りと仕事への心構え
入社してから今までの業務を振り返る。
仕事への心構えを再認識し、効率よく円滑に業務に取り組むためにすべきことを改めて考える。

・ビジネスマナー
人間関係を築き、より良い組織づくり。
自分の対応が会社の評価となることを自覚する。

・コミュニケーション
コミュニケーションが組織を守り、自分も守る。
相手に何がどのように伝わったのかを意識する。

・キャリア
地位、役職が同じ人物でも、仕事への興味や、やりがいの違いが個人やチームでの成長への違いとなる。

・ストレスコントロール
ストレスとうまく付き合い、どのように解消できるのか、何が原因なのかを考える。
また、自己効力感を高めることで、そもそものストレスを感じることが減少する可能性がある。
しかし、適度なストレスが達成感や良い緊張感を生み出すこともあるため、一概にすべてのストレスが悪いわけではない。
そのため、ストレスをコントロールすることが重要になる。

今後について

今回の研修で、PDCAサイクルを上手に回すこと、スピードを意識した業務をすることで作業の効率をあげることができると学びました。
スピードを意識することでその業務への集中力が増し、質の高いものを作ることができるという観点は、今まで自分にはなかったものなので新鮮でした。
また、コミュニケーションにおいては、互いに尊重しあい、調和したコミュニケーションを図ることで、誰もが働きやすい環境づくりが大切であると感じました。
できることを増やし、与えられたチャンスを逃さず様々なことに挑戦していくことで、成功も失敗も経験し、すべての出来事を成長につなげていきます。

今回の研修のお話は以上となります。
ありがとうございました。

2025年 新入社員ブログ 高田06 [MySQLバックアップ・リストア方法まとめ]

こんにちは、2024年4月に入社した高田です。
入社してから数ヶ月が経ち、社内研修を終えて、少しずつ実際の業務に携わるようになりました。最近は、実務の単体試験の一環としてMySQLのデータベース操作を行う機会があり、その中でデータベースおよびテーブルのバックアップとリストアを行いました。
今回は、MySQLのバックアップ・リストア方法について、手順やポイントを説明します。

MySQLのバックアップ方法

1. 単一のデータベースをバックアップ

以下のコマンドを使用すると、特定のデータベース全体をバックアップできます。
なお、「-h ホスト名」は、リモートサーバーに接続する場合に指定します。ホスト名が「localhost」の場合は、-h localhost を省略してもデフォルトで「localhost」に接続されます。


2. 特定のテーブルをバックアップ

特定のデータベース内の一部のテーブルのみをバックアップしたい場合は、以下のコマンドを使用します。


MySQLのリストア方法

バックアップファイルから特定のデータベースにデータをリストアする場合、バックアップファイルが単一のデータベース全体であっても、複数のテーブルを含む場合であっても、以下のコマンドでリストアできます。「-h ホスト名」については、バックアップ時と同様です。ホスト名が 「localhost」の場合は、省略してもデフォルトで「localhost」に接続されます。


実例

社内研修で使用した「laravelDB」というデータベースを使ってデータベースおよびテーブルのバックアップとリストアを実施します。
「laravelDB」データベースは「users」テーブルと「prefectures」テーブルの2つのテーブルを含んでいます。

データベースのバックアップ・リストア手順

1. データベースのバックアップ


2. リストア用のデータベース作成


3. データベースのリストア


以上の3ステップを実行すると、「laravelDB」データベースのバックアップデータを使用して、「laravelDB_restore」データベースに復元できます。復元後のデータベースには、バックアップ時点のデータやテーブル構造が再現されていることを確認できます。

テーブルのバックアップ・リストア手順

1. テーブルのバックアップ

2. リストア用のデータベース作成

3. テーブルのリストア


以上の3ステップを実行すると、「users」テーブルと「prefectures」テーブルのバックアップデータを作成し、新しく作成した「laravelDB_restore_tables」データベースに復元できます。データベース全体ではなく、特定のテーブルのみを対象としてバックアップ・リストアを行うため、復元後のデータベースにはバックアップしたテーブルのみが含まれ、それ以外のテーブルは存在しません。

まとめ

今回は、MySQLの基本的なバックアップおよびリストア手順について学びました。研修では、SELECT文、UPDATE文、DELETE文、CREATE文の使用方法を中心に学習しましたが、バックアップやリストアもコマンドを使用することで手軽に実行できると知りました。
本番環境のデータを扱う際には、事前にバックアップを取得し、万が一のトラブル時にも迅速にデータをリストアできるよう備えておくことが重要だと思いますので、今回学習した知識や技術をしっかりと整理し、必要なときに迅速に活用できるようにしていきたいと思います。