Hashito.Blog

Symfony の X509Authenticator に、クライアント証明書の識別名から emailAddress を取り出す正規表現の先頭が固定されていないという脆弱性（CVE-2026-45063、CVSS 9.8相当のCritical）が見つかった。DN のどこにある emailAddress= にも一致してしまうため、信頼された証明書を持つ攻撃者が別人になりすませる。正規表現のアンカーと

自動生成の題材選別を「迷ったら通す」から「迷ったら落とす」へ変える。正規化・完全一致・正規表現・分類・許可形の4段パイプラインをJSONに外出しし、判定不能を必ず reject にする実装を、そのまま動くNodeのコードで示す。

ビルド工程を持たない素のHTMLサイトにツールを2件足したら、件数を書いた箇所が9か所ズレてテストが10本落ちた。数え上げの正を台帳JSONに1つだけ置き、画面の数字と突き合わせるnode:testの実装を、実際に落ちたエラーごと示す。

海外の反応を紹介するサイトで、翻訳文だけを持つと出典も原文も後から復元できなくなる。1件ごとに原文・permalink・取得日を必須にするスキーマと、それを壊れたまま公開させないためのビルド時チェックを実コードで示す。

掲示板のHTMLから「誰が・いつ・何を書いたか」を取り出すとき、素直にタグを剥がすと引用の再掲が本文に混ざり、数値文字参照で書かれた文字が検出から漏れる。投稿ブロック単位で切り出し、引用を先に除去し、実体参照を戻す順序まで含めた実装を組み立てる。

「QRコードは何文字まで」に一つの答えは無い。符号化モードと誤り訂正レベルの組み合わせで4桁変わるからだ。容量表を引き写す代わりに、実際に符号化して境界を二分探索で測る方法と、その実測値を並べる。

build と deploy が1コマンドのラッパには、手順書が割り込む余地がない。実際に「デプロイ後に検査する」形で運用されていた事例と、ゲートをラッパ内部へ移した実装、飛ばすときに理由を必須にする設計までをコード付きで示す。

シェルスクリプトの bad interpreter、Gitで全行が差分になる現象、.env の値に混ざる見えないCR。原因はどれも改行コードで、対処も共通している。現状の確認・変換・.gitattributes による再発防止までを、実行できるコマンドで一通り並べる。

記事末尾の前後リンクや関連リンクは、規約があっても書き忘れると誰にも気づかれない。実際に60本中7本で欠けていたので、デプロイ前ゲートに検査を足して止めた話と、そのまま使える実装。

sitemap.xmlにだけ載っていて一覧からリンクされていないページは、生成スクリプトが「成功」を返すたびに増える。ページ追加スクリプトに到達性チェックを入れて exit 2 で落とす設計と、既存サイトの孤立ページを数えるNodeスクリプトを紹介する。