明日はダメなサーバスクリプトを見せよう

都合により，今日は明日のことを，明日は今日(明日から見て昨日)のことを書きます．
明日の情報セキュリティの授業，テーマは「サーバのセキュリティserver-side security」です．
内容は，去年のほぼそのまま．WebサーバのセキュリティはSSLだけじゃないとか，ユーザ認証の方法とか，不正な入力とその対処法(ディレクトリトラバーサル，SQLインジェクション，クロスサイトスクリプティング，バッファオーバーラン)とか，ファイアウォールとか，セキュアOSとかです．雑多です．後あとのスケジュールを考えると，これを1コマに詰め込みまして，広く浅く解説せざるを得ません．
といっても，もう少し，興味深いサンプルを示したい．…．レポート課題で自作した，CGIのRubyスクリプトを公開することにしました．
ポイントは，

• CGIプログラムの中に，秘密の値を保持しない*1．
• 秘密の値やログなどのファイルを，Webリソース上に置かない．

なのですが，学生はRubyを教わっていないほか，時間との兼ね合いもあって，うまく解説できるかどうか．

*1:サーバの設定ミスなどで，ファイルがCGIプログラムと認識できなかったときに，ファイルがそのまま見えてしまいます．Rubyなどのスクリプトファイルなら，値が直接見えてしまいますし，Cなどをコンパイルした実行ファイルであっても，そのバイナリファイルを解析することで，埋め込まれている情報が知られてしまうのはいけません．