うさできのmikaさんの投稿を読みながら、もう少し手軽にできるようになるといいなーと思って、XOOPS Cubeで簡単にスライドショーを作れるプリロードを作ってみました。急いで作ったので、結構テキトーです。なにか問題があったら教えてください。

ちなみに、どんなスライドショーができるかは、うさできのトップページを見てみてください。

インストール方法

ダウンロードした JquerySlideShow.class.php を/preloadフォルダにアップロードするだけです。

ちなみに、このファイルだけでは動作しません。jquery.jsが必要です。XCL2.2ならデフォルトで入ってます。XCL2.1の人でよく分からない人はJquery.class.phpを/preloadフォルダに入れといてください。

使い方

基本的にテーマのすきなところにタグを埋め込めこんで使います。編集するテーマのファイはたぶん/themes/あなたのテーマ/theme.htmlです。埋め込み方は下の説明を御覧ください。

[基本編] テーマで使う

画像の大きさを指定して、画像のURLを1行ずつ列挙するだけ

<{slideshow width=680 height=80}>
http://example.com/path/to/image1.png
http://example.com/path/to/image2.png
http://example.com/path/to/image3.png
<{/slideshow}>

[発展編] 画像のリンク先を指定する

画像のURLの次に、半角スペースを挟んでリンク先のURLを指定すると、画像にリンクがつきます。

<{slideshow width=680 height=80}>
http://example.com/path/to/image1.png http://example.com/page1.html
http://example.com/path/to/image2.png http://example.com/page2.html
http://example.com/path/to/image3.png http://example.com/page3.html
<{/slideshow}>

[応用編] 画像のURLに<{$xoops_url}>を使う

画像のURLに<{$xoops_url}>を使うと、サイトのURLが変わったときに、URLを書き換える必要がないので便利です

<{slideshow width=680 height=80}>
<{$xoops_url}>/uploads/myalbum/1.png <{$xoops_url}>/modules/pico/index.php?content_id=1
<{$xoops_url}>/uploads/myalbum/2.png <{$xoops_url}>/modules/pico/index.php?content_id=2
<{$xoops_url}>/uploads/myalbum/3.png <{$xoops_url}>/modules/pico/index.php?content_id=3
<{/slideshow}>

[応用編] カスタムブロックで使う

カスタムブロックの「コンテンツ」に次のようなコードを埋め込みます。 カスタムブロックの「タイプ」は「PHPスクリプト」を指定します。

$params = array(
  'width' => 680, // 幅指定
  'height' => 80, // 縦指定
);
$images ="
http://example.com/path/to/image1.png
http://example.com/path/to/image2.png
http://example.com/path/to/image3.png
";
JquerySlideShow::renderSlideShow($params, $images);

xoopscube.jpが見れないのは不便なので、とりあえず自分のPCからだけは見られるようにする方法を紹介します。 自分がMac使いなので、Macでのやり方になります。（ここでは専用のアプリを入れますが、やっていることはhostsファイルを書き換えるだけです。Windowsにもhostsファイルがあるので同じようなことができるはずです。）

まず、Hosterというアプリをダウンロードしてください。 ダウンロードが完了したらインストールします。 インストールが終わったら起動してみましょう。起動すると下のような画面が出ます。

緑のプラスボタンをクリックします。フォームが出ると思うので、下の内容のとおりに値を入力してください。

セット名：XOOPS Cube
ホスト名：xoopscube.jp
IP: 210.143.106.113

入力が終わったら、「ホスト追加」ボタンを押してホストを追加し、「終了」でフォームを閉じます。 閉じると、「セット名」にXOOPS Cubeが追加されていると思います。

最後に、「XOOPS Cube」の左にある、グレーのまるポチをクリックします。 すると、「1件の設定をホスツファイルへ反映しました」というポップアップが表示されます。

この状態で、http://xoopscube.jp を開いてみてください。今まで通り、xoopscube.jpのサイトが見れるはずです。

なお、xoopscube.jp が復活したときは、上で追加したXOOPS Cubeセットを削除するだけです。 またHosterが起動していないときは、xoopscube.jp から 210.143.106.113へのホスティングはされないので、 xoopscube.jpを見たいときはHosterを起動するようにします。

ちなみに、xoopscube.jpのドメイン有効期間は2011/08/31までなので、ドメイン自体がなくなったわけではなさそうです。

WeeklyCMS 6/24 マイクロソフト本社特番03

Check Secure Code (04:47〜)

$_POST/GETをforeach展開

foreach ( $_POST as $key => $value )
{
	$$key = $value;
}

「見かけたら即デリート」ということで、危険性と置き換え方がはしょられてる。時間の都合かなーと思いつつ…。

こういうコードの危険性としては、$_SERVERなどの変数を容易に乗っ取られてしまう点。置き換え方は、必要な変数だけ定義するようにすること。たとえば、下の例のように。

// title, text, posterだけがあればいいとき
$title  = $_POST['title'];
$text   = $_POST['text'];
$poster = $_POST['poster'];

intvalはエースケープ関数じゃない^^;

bluemoonさんによると、下の例がまずいらしい。

$hoge = isset($_GET['hoge']) ? $_GET['hoge'] : 0 ;

そして、整数を受け取る前提のものは、次のように書き換えるべきだとしてる

$hoge = isset($_GET['hoge']) ? intval($_GET['hoge']) : 0 ;

最初に整数にしといたほうが安全になるのは確か。HTMLに出すとき、SQLのクエリに入れるときのどちらにも対応できるから。でも、ユーザの入力を勝手に書き換えるのはあまりベストじゃない。だから、この場合は$_GETから取るときはintvalしないでおいて、HTMLに出すときにhtmlspecialchars($hoge, ENT_QUOTES, 'UTF-8')、SQLのクエリにするときにmysql_real_escape_string($hoge)しておくのがいいと思う。

htmlspecialchars()はHTMLに出す直前に

「文字列だったら、htmlspecialcharsで」とのこと。そしてそのサンプルがこれ。

$hoge = isset($_GET['hoge']) ? htmlspecialchars($_GET['hoge'], ENT_QUOTES) : "" ;

そのとおりなんだけど、$_GETから取った直後にhtmlspecialchars()をかけることはXOOPSのモジュールではほとんどない。Smartyに変数を渡す直前でやるのが通常かなと。なぜなら、リクエストをもとに何かデータをこねくり回す(DBを参照したり)ことが多いから。そのとき、HTMLエンコードされた文字列だといろいろ不便だから。なので、やっぱりこれもintval同様に$_GETから値をとった段階では生にしとく。

$hoge = isset($_GET['hoge']) ? $_GET['hoge'] : "" ;

// $hogeをもとにデータをこねくり回す処理

$hoge = htmlspecialchars($hoge, ENT_QUOTES, 'UTF-8');

$xoopsTpl->assign('hoge', $hoge); // smartyに$hogeを渡す

SQL Injection (6:01〜)

addslashes()じゃなくてmysql_real_escape_string()を使おう

録画の中でSQLインジェクションの対策として、addslashes()関数をつかうことを勧めてる。addslashes()でも、SQLのエスケープをうまくやってくれる。実際に、XOOPSのコードのいたるところにaddslashes()がある。でも、addslashes()はクエリエスケープ用の関数じゃないので、SQLインジェクション対策に使うのはちょっと意味が違う。やっぱり、ここはMySQL専用エスケープ関数のmysql_real_escape_string()を使おう。

Mac大好きなmikageさんが会場がMicrosoftなのに「PCじゃなくてMacです、PCというとWindowsです」と言っちゃってるとこを見て、ポカリふきそうになったｗ そのあと、Microsoftの武田さんが発表の前振りで「すいません、PCでっ」ってｗｗ6/24ほんとに行きたかったし、行けなくてもリアルタイムで放送見たかったよーT_T

@domifara (すごい活発な人)
@bluemooninc (weeklycmsの人)
@love_marijuana (デベロッパーズバイブルの人)
@umotti (うさできの人)
@nbuy (eguideの人)
@naaon (d3diaryの人)
@AXYZ_SAK (アクシズの人)
@naomi_xoops (テーマの人)
@kilica (XCL2.2コアの人)
@naopon (xpWikiの人)
@nunoluciano (XCL2.2コアの人)
@ohwada (OpenIDの人)
@tohokuaiki (D3ブログの人)
@RyujiAMANO (ryusの偉い人)

『XOOPS Cube Legacy デベロッパーズ・バイブル』

XOOPSで有名なMarijuanaさん、しゃのさんの著書です。XOOPS Cubeで実装された新機能、プリロード、デリゲートの利用方法、XOOPS Cube Legacyらしいモジュール開発手法、複製モジュールの開発方法などついて詳しく書いてあります。

『パーフェクトPHP』

PHPを体系的に学びたい方にオススメです。PHPの概要にはじまり、初心者がつまずきやすいクラスやオブジェクトなど基礎的な部分はもちろん、フレームワークを使った最近の実践的な開発手法、そして忘れてはいけないセキュリティにいたるまで、網羅的に学ぶことができます。最近出たばかりの本なので、最新情報にも詳しいです。著者もPHP業界で非常に活発な方たちである、sotarokさん、fivestrさん、そしてXOOPS業界でも有名なgusagiさんによって書かれています。

『PHP ポケットリファレンス』

やりたいことからPHPの関数を探すのに便利です。たとえば、「ファイル全体を安全に読み込みたい」というやりたいことから、関数を調べることができます。PHPのオンラインのマニュアルだとどうも分かりにくいという方にも、この本は簡潔にエッセンスだけを提示しているのでおすすめです。私も、この本はボロボロになるまで使いました。

『PHPサイバーテロの技法―攻撃と防御の実際』

XOOPSのモジュールは公開されてしまえば、常に攻撃の脅威にさらされることになります。モジュール開発者はそうした攻撃に強く脆弱性のないPHPの書き方についてよく知っておく必要があります。この本は、クラッカーがどのような攻撃をしてくるか説明した上で、その防御策を説明しているので理解しやすい内容になっています。著者はこれまたXOOPS業界で有名なGIJOEさんです。XOOPSってほんとにPHP業界でも著名な人が多いですね。

発表スライド

データベース (DBとのやりとりを減らす)

1. インストールしているモジュールを減らそう

2. メインメニューはマルチメニューに置き換えよう

3. カスタムブロックはキャッシュを使おう

4. テンプレート自動更新はOFFにしよう

5. 1ページあたりのブロックを減らそう

6. 軽いモジュールを使おう

インフラストラクチャー (サーバ・ネットワークを最適化する)

7. ハイスペックなサーバを使おう

8. OS・Apache・MySQL・PHPの設定を見なおそう

9. gzipをONにしよう

10. ページ分割を使おう

11. デフォルト表示件数は少なめに

12. 外部サービスを検討しよう

ブラウザ (ブラウザの負荷を減らす)

13. リダイレクト画面を改造しよう

14. ブログパーツには注意しよう

15. FCKエディターで大きい画像はサムネイルを用意しよう

その他

16. 悪質なクローラを排除しよう