preg_replaceが危険ということについて｡ http://blog.64p.org/entry/2013/07/17/151532 こちらで､気になる表現があり､｢基本的に､任意のﾕｰｻﾞｰ入力を正規表現として…

preg_replaceが危険ということについて｡

http://blog.64p.org/entry/2013/07/17/151532
こちらで､気になる表現があり､
｢基本的に､任意のﾕｰｻﾞｰ入力を正規表現として評価することはさけなければなりません｡｣
と書かれていました｡

これは､ preg_matchでも同様に､ﾕｰｻﾞｰ入力を正規表現でそのまま評価することは､避けるべきものでしょうか？

もしそうであれば､ﾕｰｻﾞが入力した文字列を｢英数字のみかどうか｣等､ﾊﾞﾘﾃﾞｰﾄする場合､どのように判定することが安全でしょうか？

何か見逃しがあると困るので､質問しました｡

ｱﾄﾞﾊﾞｲｽ頂けると助かります｡

そのﾌﾞﾛｸﾞでは､preg_replaceの第1引数(正規表現ﾊﾟﾀｰﾝ)にﾕｰｻﾞｰ入力を入れるのは避けた方がいいと書いてあるのであって､第2引数(比較文字列)に入れる分には問題ありません｡
preg_matchでも同様ですし､その他､たとえばSQL関数でもSQL文としてにﾕｰｻﾞｰ入力を入れるのは避けるのが定石です｡
これはPHPに限ったことではありません｡

｢英数字のみかどうか｣等､ﾊﾞﾘﾃﾞｰﾄする方法は､第1引数を固定文字列にすればいいです｡

preg_match('/^[a-z|A-Z]+$/', $text);

これは､ preg_matchでも同様に､ﾕｰｻﾞｰ入力を正規表現でそのまま評価することは､避けるべきものでしょうか？

質問で示されているﾌﾞﾛｸﾞで言及されているのは､preg_replace の e 修飾子がやべえって話です｡

e (PREG_REPLACE_EVAL)
この修飾子を設定すると､ preg_replace() は､置換文字列において後方参照に関する通常の置換を行った後､ PHP ｺｰﾄﾞとして評価し､検索文字列を置換するためにその結果を使用します｡置換された後方参照においては､単引用符や二重引用符､ﾊﾞｯｸｽﾗｯｼｭ (\)および NULL 文字はﾊﾞｯｸｽﾗｯｼｭでｴｽｹｰﾌﾟされます｡
http://www.php.net/manual/ja/reference.pcre.pattern.modifiers.php

preg_replace() の第二引数に書かれたｺｰﾄﾞを実行してしまう､というのが､相当にやばい｡
＃これについては､了解済み？

で､入力したﾃﾞｰﾀをそのまま正規表現として扱う場合の話｡

任意のﾕｰｻﾞｰ入力をそのまま正規表現としてうけとると､容易に DoS(Denial of Service) が可能となるということはよく知られている事実であるから､任意のﾕｰｻﾞｰ文字列を正規表現としてうけとっている時点で脆弱なｻｰﾊﾞｰ実装になっている｡
http://blog.64p.org/entry/2013/07/17/151532

当のﾌﾞﾛｸﾞの他の記事を見ても､どこまで分かって書いてるのか､(ぼくには)よく分からないのですけれど､多分､この辺りのことを書いているのだと思います｡
http://msdn.microsoft.com/ja-jp/magazine/ff646973.aspx
http://www.hpenterprisesecurity.com/vulncat/ja/vulncat/objc/denial_of_service_regex_evaluation.html

これを気にするなら､置換が無い preg_match() も脆弱性に該当します｡
ｻﾆﾀｲｽﾞはちょっと難しいですけど､ﾊﾞﾘﾃﾞｰｼｮﾝという意味なら､ｸﾞﾙｰﾋﾟﾝｸﾞの表現をはじいてあげる感じになると思います｡

if (preg_match('/[^\\\\]\(/', $input)) {
 ｸﾞﾙｰﾋﾟﾝｸﾞの表現がある！
}