ほんとにあった怖い話「slimに棲むもの」

ほんとに怖い話あつた Kaigi on Rails 2023 (非公式)
前夜祭 2023年10月25日 (水) 高田雄大（本名）発表者

ɾ Name: Yudai Takada ɾ GitHub: @ydah / X: @ydah_
ɾ Software Engineer at ANDPAD, Inc. ɾ Member of RuboCop RSpec team ɾ Member of Ruby Kansai ɾ Loves beer and heavy metal/hardcore self.inspect

ݐஙɾݐઃۀʹಛԽͨ͠Ϋϥ΢υαʔϏε ఏڙ

ほんとに怖い話あつた Slimに棲むもの総集編2023秋

これはアンドパッドの人が体験した実話を元に再現したものです

4MJNJTBGBTU MJHIUXFJHIUUFNQMBUJOH FOHJOFXJUITVQQPSUGPS3BJMTBOE MBUFS*UIBTCFFOIFBWJMZUFTUFEPOBMM NBKPSSVCZJNQMFNFOUBUJPOT8FVTF DPOUJOVPVTJOUFHSBUJPO HJUIVCBDUJPOT

doctype html html head title My Slim Template body ruby:
message = "Slim!" h1 Welcome to # { message} p This is a simple example.

消えない注記 Wanna be沢慎吾（仮名）体験者きちゅうき

body p / This line won't get displayed. Neither does
this line. /! But this one will displayed.

body h1 Welcome to Slim! javascript: // JavaScript comment here
alert("Hello, World!”); css: /* CSS comment here */ h1 { color: red; }

Aさん「ここに…コメント書いちゃだめ…すぐに消して！！！！」

<body> <h1>Welcome to Slim! < / h1> </ body> <script>
/ / JavaScript comment here alert("Hello, World!"); </ script> <style> / * CSS comment here * / h1 { color: red; } </ style>

໰୊ͱͳΔίϝϯτ͸ͳ͔͕ͬͨɺࠓޙॻ͍ͯ ͠·͏ϦεΫ͸ແ͍ͨ͘͠ɻ

%BOHFS΍4FNHSFQͰݕ஌ͯ͠ܯࠂ͢Δʁ ܯࠂͩͱϧʔϧ͕૿͑Δ౓ʹຒ΋Εͯ͠·͏ ίϝϯτॻ͍ͯ·Ͱ఻͍͑ͨࣄͳͷͰ͸ʁ

ZEBITMJNFNCFEEFENJOJGZ

body h1 Welcome to Slim! javascript: / / JavaScript comment
here alert("Hello, World!”); <body> <h1>Welcome to Slim! </ h1> </ body> <script> / / JavaScript comment here alert("Hello, World!"); </ script> slim HTML Compile

body h1 Welcome to Slim! javascript: / / JavaScript comment
here alert("Hello, World!”); <body> <h1>Welcome to Slim! < / h1> < / body> <script> alert("Hello, World!"); < / script> slim HTML slim - embedded - minify Compile

module Slim class Embedded < Filter class TagEngine < Engine
prepend Minify::Tag end class JavaScriptEngine < TagEngine prepend Minify::Javascript end ennd

module Slim class Embedded < Filter module Minify module Javascript
include Tag def on_slim_embedded(engine, body, attrs) mini fi ed_body = minify(body) super(engine, mini fi ed_body, attrs) end ennnnd

ίϝϯτΛ҆શʹࣗ༝ʹॻ͚Δ ಋೖ࡟আ࣌ʹϓϩμΫτଆͷมߋෆཁ ίϯύΠϧ݁ՌΛൺֱͯ͠ίϝϯτͷΈ͕ ফ͍͑ͯΔ͔ʹΑͬͯ֬ೝՄ

それ以来、コメントが姿を現すことはなくなりました。

それを消してはいけません Debian・スー（仮名）体験者け

ruby: def calc_sugoi_keisan(a, b) a + b end

まさかあんなことになるとは、この時は思っていませんでした。

ruby: def calc_sugoi_keisan(a, b) a + b end

とあるslimファイル表示時に計算結果がおかしい計算結果がおかしくなったりならなかったりするエラーも発生していない

h1 #{ calc_sugoi_keisan(3, 4)} h1 #{ calc_sugoi_keisan(1, 2)} ruby: def
calc_sugoi_keisan(a, b) a + b end index.slim show.slim ᶃ ᶄ

h1 #{ calc_sugoi_keisan(3, 4)} h1 #{ calc_sugoi_keisan(1, 2)} ruby: def
calc_sugoi_keisan(a, b) a + b end index.slim show.slim ᶃ ᶄ NoMethodError ✅

h1 #{ calc_sugoi_keisan(1, 2)} ruby: def calc_sugoi_keisan(a, b) a +
b end h1 #{ calc_sugoi_keisan(3, 4)} index.slim show.slim ᶃ ᶄ

h1 #{ calc_sugoi_keisan(1, 2)} ruby: def calc_sugoi_keisan(a, b) a +
b end h1 #{ calc_sugoi_keisan(3, 4)} index.slim show.slim ᶃ ᶄ ✅ ✅

おわかりいただけただろうか

他のslimファイルからでもメソッドが呼び出せてしまう…

これだけではなかった…

h1 #{ calc_sugoi_keisan(1, 2) rescue 0} ruby: def calc_sugoi_keisan(a, b)
a + b end

おわかりいただけただろうか

REPLAY

h1 #{ calc_sugoi_keisan(1, 2) rescue 0} ruby: def calc_sugoi_keisan(a, b)
a + b end

NoMethodErrorがにぎりつぶされていた…

ಉ༷ͷ໰୊͕ൃੜ͢ΔͱݪҼͷಛఆ΋೉͘͠ɺ λΠϛϯά࣍ୈͰ͸໰୊ͳ͍Α͏ʹৼΔ෣͏ͷ ͰԿͱ͔͍ͨ͠

spec/f i xtures/dummy.slim:1 : 5 : F : Lint/Syntax: unexpected
token tCOLON (Using Ruby 2.7 parser; conf i gure using TargetRubyVersion parameter, under AllCops) ruby: ^ 4MJN͸3VCZͰ͸ͳ͍ͷͰɺ3VCP$PQͰ͸ղ ੳෆՄɻ4ZOUBY&SSPSʹͳΔɻ ͦΕ͸ͦ͏

r7kamura/slimcop r7kamura/rubocop - slim ຒΊࠐΜͰ͍ΔRubyίʔυͷղੳ͸ඇରԠ sds/slim - lint ຒΊࠐΜͰ͍ΔRubyίʔυͷղੳʹରԠ͍ͯ͠ Δ͕autocorrectඇରԠ

ZEBITMJNFNCFEDPQ

html ruby: if File.exists?("foo.txt") message = "Yay!" else message =
"Nooo!" end h1 #{ message} ੾Γग़ͯ͠3VCP$PQʹ౉ͯ͠ ղੳͯ͠΋Β͏

html ruby: if File.exists?("foo.txt") message = "Yay!" else message =
"Nooo!" end h1 # { message} if File.exists?("foo.txt") message = "Yay!" else message = "Nooo!" end Extract & Calc offset Slim Code Offset

❯ slimembedcop dummy.slim Inspecting 1 f i le W Offenses:
dummy.slim:3 : 8 : W : [Correctable] Lint/ DeprecatedClassMethods: File.exists? is deprecated in favor of File.exist ?. if File.exists?("foo.txt") ^^^^^^^^^^^^

w 3VCP$PQͷطଘͷDPQΛ࢖͑Δ w ࣗಈमਖ਼ʹରԠ͍ͯ͠Δ w DPQͷ࡞Γํ͕෼͔Ε͹ɺTMJNFNCFEDPQ ͷDPQΛ࡞Δ͜ͱ͕Ͱ͖Δ

それ以来、危険なコードが姿を現すことはなくなりました。

あなたのふだん使っているものにも、もしかすると「何か」がいるかもしれません…

弱気退散! 喝！

ほんとにあった怖い話「slimに棲むもの」

ほんとにあった怖い話「slimに棲むもの」

More Decks by ANDPAD inc

Other Decks in Technology

Featured

Transcript