ダリの雑記：WEBプログラム版

テスト環境で作成したcakePHP2.xを使用したウェブシステムを、レンタルサーバにアップしたところ

Error: SQLSTATE[HY000] [2005] Unknown MySQL server host ’（ホスト名）:（ポート番号）′ (3) requires a database connection

というエラーが出てしまいました。

調べてみたところ、どうやらcakePHPはバージョン２からPDOを使ってデータベース接続を行っているらしい。

ってことはこのレンタルサーバはPDOが使えない・・・？

おまけにユーザが勝手にインストールできないタイプのサーバだから、詰んだ！＼(＾0＾)／と思ったのですが、phpinfoを見る限り、モジュール入ってるし、実際問い合わせたところ使用は可能ですよ、とのこと。

その回答いわく、PDOでデータベースに接続する場合は、ホスト名とポート名を別々に指定する必要があるそうです。

つまり、

'host' => '127.0.0.1:3306',

という風に記述するのではなく（↑↓ホスト名とポート名は適当です）

'host' => '127.0.0.1',
'port' => '3306',

と、ポートはポートで記述しなくてはならなかったわけです。

テスト環境ではポートは気にしなくても大丈夫だったので盲点でした。

参考サイト

CakePHP2系とCakePHP1系のDB設定周りの違い | ミラボ

cakePHPにて

$this->（モデル名）->validates();

を使用する場合は、事前に

$this->（モデル名）->set();

を忘れずに設置する。

$this->（モデル名）->set();
$this->（モデル名）->validates();

setが無いとなんでもtrueで返ってきてしまいます。

自分のブログはLimit Login Attemptsプラグインで、ログインミスによるロックが１度でもかかるとメールが飛んでくるように設定しているのですが、最近やたらこのメールが飛んでくるようになりました^^;

IPは109.200.29.66で、調べてみるとどうやらイギリスからアクセス（経由？）されているようなのですが、もうほんと何しにやってるのやら、マジ勘弁してくださいm(_ _)m

しかし、やっぱこのプラグイン便利ですね～。

攻撃してきたIPアドレス集（まあ経由の可能性もあるので、この国の人が攻撃してきたとは限りませんが）

• 109.200.29.66（イギリス）
• 188.143.233.177（ロシア）
• 216.172.147.239（アメリカ）
• 204.93.60.12（アメリカ）

$term

これだけです。

echo $term;

とすると、タクソノミーのスラッグ名が表示されます。

さらに「get_term_by」を使用すると、そのタクソノミーの情報を取得できます。

$the_term = get_term_by("slug", $term, "タクソノミー名");

うかつに、$termに変数を代入してしまわないよう注意しましょう。

ほかにも、

投稿記事ページで記事の情報を取得できる「$post」

カテゴリーアーカイブページでカテゴリーIDを取得できる「$cat」などがあります。

参照サイト

• グローバル変数・定数：WordPress私的マニュアル
• get_term_by:WordPress私的マニュアル
• スラッグからカテゴリIDを取得する

カテゴリページで現在の階層の深さを取得する方法は以下のようにMTParentCategoriesを使用します。

<MTSetVar name="category_depth" value="0">
<MTParentCategories>
<MTSetVar name="category_depth" op="++">
</MTParentCategories>

あとは<MTGetVar name="category_depth">で取得できます。（トップレベルは1になります。）

一発で取得できるタグがあるといいんですけどね。

MT5.2.2にて、記事のプレビューを見るとMTのエラーが表示されてしまうという現象が発生しました。

エラーは

再構築エラー: ～
～～～～～～～
～～～～～～～
～～～～～～～
<mtEntryCategories>タグでエラーがありました:
<mtCategoryArchiveLink>タグでエラーがありました:
カテゴリアーカイブを公開していないので<$MTCategoryArchiveLink$>は使えません。

というもの。

一応この部分は

<MTIf tag="EntryCategory">
<MTEntryCategories type="primary">
<a href="<$MTCategoryArchiveLink$>"><$MTCategoryLabel$></a>
</MTEntryCategories>
</MTIf>

という風に条件分けしたのですが、やっぱりプレビューでエラーが出てしまいます。

もちろん再構築では問題ありませんし、プレビューをしない場合はちゃんと保存もできるのですが、一度プレビューでこのエラーが出てしまうとまともに保存もできなくなってしまいました。

解決方法は、プレビューかどうかの条件文を追加すること

<mt:Unless name="preview_template">
<MTIf tag="EntryCategory">
<MTEntryCategories type="primary">
<a href="<$MTCategoryArchiveLink$>"><$MTCategoryLabel$></a>
</MTEntryCategories>
</MTIf>
</mt:Unless>

<mt:Unless name="preview_template">～</mt:Unless>でプレビューではない場合という条件文になります。

参考サイト

MovableType プレビュー画面判別用変数について｜ホームページ制作のプラルトweb

WordPressをデフォルトの設定で、ゆるゆるのパスワードにしていると簡単に抜かれてしまうということが分かった今日この頃。

ということで、いろいろとサイトを見たり、実践したりしたことをまとめることにしました。

門を固める

そもそもログイン画面で敵を止める必要があります。（理想はログイン画面にすら到達できなくすることですが）

パスワードの複雑化

パスワードについては最近こんな記事がありました。

2万5000年かかっても破られない究極パスワードの設定方法（1/4） - ウレぴあ総研

どんなものかと思いきや、実は12桁にするだけでまず抜かれないパスワードになるとのこと。（もちろん半角英数字、大文字小文字まぜこぜの辞書アタックにも引っかからない文字列で構成されたものです。）

よく８ケタ推奨といいますが、今では８ケタは危ないらしいです。

12桁だっていずれは危なくなるでしょうが、とりあえず今のところは12桁以上にしておいたほうがよいでしょう。

リトライの回数制限を設ける

デフォルトでは、Wordpressは何度でもログインのチャレンジができます。

これではいつか破られるかもしれません。

というわけで、プラグインを使って回数制限を設けましょう。

リトライの回数制限を設けるプラグイン：Limit Login Attempts

指定した回数失敗すると、しばらくログインできなくなり、またそんなことがあった場合メールで知らせてくれたりします。

万が一ログインされてしまったら

万が一ログインされてしまった場合でも、被害を最小限に留める必要があります。

出力される内容はエスケープする

スクリプトを埋め込まれないよう、よほどコードを書いたりするサイトでない限り、出力されるものはすべてエスケープ処理をしておきましょう。これはテンプレートを地道に編集するしかないです。

もちろん内容フィールドのpタグやaタグなどまでエスケープされては困りますが、scriptという記述を全角に置換したり、strip_tagsで許可したタグのみ出力されるようにすれば、投稿記事に悪意のあるスクリプトを埋め込まれてそのまま出力されると言う心配は少なくなります。

あと、投稿にPHPを書けるプラグインを入れるのも、できるだけやめましょう。

テーマを管理画面から編集できなくする

テーマは管理画面から編集できなくしておいたほうが良いでしょう。

通常、メニューの外観＞テーマ編集で管理画面からもテーマを編集することができますが、wp-config.phpに

define('DISALLOW_FILE_EDIT', TRUE);

と記述すると、メニューから「テーマ編集」が消え、編集画面が表示できなくなります。

サイト構築中であれば必要かもしれませんが、公開後はそれほど触ることもありませんし、直上げすれば済むことですので、この設定をしておいたほうが良いかと思います。

ちなみにプラグイン編集もできなくなります。

プラグインでテーマが正常か確認する

テーマに異常がないか確認してくれるプラグイン：AntiVirus

このプラグインは、手動でもスキャンできますし、設定しておくと１日ごとに定期スキャンをし、異常があったときはメールで知らせてくれるという便利機能まであります。

注意点として、いいね！ボタンなどのiframeにまで反応してしまうので、最初の手動スキャンで個別に許可しておきましょう。

その他としては

• WordPressのバージョンを常に最新にする。
• プラグインも常に最新のものにする。
• wp-config.php、htaccessにはアクセスできなくする。
• 可能であれば管理画面はSSL接続する。
• 可能であれば管理画面にアクセスできるIPを制限する。
• WordPressのバージョンを隠す。
• ユーザー名に「admin」は使わない。ある場合は同権限のユーザーを作って削除するか、通常以上の複雑なパスワードを施す。
• 定期的にバックアップは取る。
• 定期的にパスワードを変更する。

といったところでしょうか。

サイトの性質上できないものや、そもそも効果があるのか疑問なものもありますが、やれるものであればやっておいて損はないかと思います。

参照サイト

WordPressのセキュリティを徹底強化 | CSSPRO

WordPress のセキュリティ、こんな記事は要注意 | 8bitodyssey.com

WordPressのセキュリティをアップする11のポイント | コリス

メモ。

MTをテストサーバから本番サーバへ移転したところ、MTにログインした時、以下のようなエラーが出てしまいました。

必要なモジュールが見つかりません Digest::SHA

Digest::SHAモジュールが入っていないから、戻ってねとのこと。

しかしmt-check.cgiでは、MT動作しますよと言われたのだから、これが入ってなくても問題なく動作するはずなんだけどなぁ・・・

ひとまず、普通にMTをインストールしてみて、新規に作成されたデータベースと、テストサーバから移転してきたデータベースとを見比べてみることにしました。

見比べてみた結果、「mt_author」テーブルの「author_password」というフィールドの値が、新規に作成されたデータベースの方は「{SHA}〇〇〇〇・・・」、移転してきたデータベースの方は「〇〇〇〇・・・」となっており、キーとなると思われる{SHA}の有無が確認されました。

「{SHA}〇〇〇〇・・・」の方の値をまるごとコピーし、移転してきたデータベースの方の「author_password」フィールドに上書きしたところ、正常にログインすることができました。（もちろんこの時のログインパスワードは、新規に作成したほうのパスワードです。）

MT移転には注意が必要ですね。

メモ。

ファーストサーバのライトビズにて、MTをインストールしようとしたところ、テーブルの作成段階で以下のエラーが表示されてしまい、インストールが止まってしまいました。

Connection error: Too many connections

何度やってもダメ。

どうやらDBサーバの調子が悪い時か、コネクションが多すぎる場合に出るようなのですが、契約直後のサーバなのにコネクションが多すぎるということはないはず・・・（共有サーバだから他の利用者がコネクションしまくっているということはあるのか？）

いろいろと調べた結果、「max_connections」を引き上げるといいみたいということが分かり、この値を100に変更してみることにしました。

phpMyAdminにて、以下のSQLを実行。

set global max_connections=100;

その後、インストール作業を再開したところ、何とかインストールが完了。

ちなみに

show status like 'Max_used_connections';

にて、コネクション最大値を調べたところ、設定前が「11」。設定後が「18」になりました。

デフォルトは11ってことなのかな？

【追記2013/02/12】

どうやらMT5.2.2自体に問題があるそうです。
MT5.2.3なら大丈夫みたい。

http://www.movabletype.jp/documentation/mt5/release/movable-type-523.html

参考サイト

MySQLのチューニング？ - satospo

メモ。

MT４系からMT5.2.3にバージョンアップしたところ、ブログ記事が存在しないカテゴリーアーカイブページが無くなってしまいました。

どうもMT5.2.2からこんな仕様になってしまったらしいです・・・（仕様というかバグというか）

これは困った。

親カテゴリーには記事が無くても、サブカテゴリーには記事があるというようなこともあるので、親カテゴリーページがなくなったら辿れなくなってしまいます。

パンくずリストだってリンク切れちゃうし。

MT5.2.2では以下のような解決方法が紹介されてました。

ブログ記事がないカテゴリアーカイブが出力されない(MT5.2.2) - The blog of H.Fujimoto

しかし環境の問題なのか、バージョンが違うせいなのか、プラグインの相性問題なのか、上記の方法ではどうにもならず・・・

完全にお手上げ状態＼(^o^)／

仕方ないから、本文が空のエントリーを作って、該当カテゴリーに所属させ、テンプレートで

<MTEntries include_subcategories="1">
<MTIf tag="EntryBody">
～
</MTIf>
</MTEntries>

という風にして対応しました。（include_subcategories="1"はサブカテゴリの記事も表示するというもの。）

しかし何とかしてほしい・・・

MT5.2.2または5.2.3にバージョンアップする際はご注意ください！