Attacking cgi.rb

2008-02-03

cgi.rb がいかに駄目なライブラリか、という話。

いろんなものがnilだったりするせいで、新たなメソッド「[]」が必要
short_open_tagsやらsafe_modeやらregister_globalsがonになってるかもしれない
一貫性のない名前(String#s,String#gs,StringIO#stringとか)
ブロック引数の種類がわかりにくい(String#gsubとかString#scanとか)
Array#deleteは「!」が付いていないが、deleteは破壊的メソッドである
cgi.rbで書かれたたくさんのアプリがあるがどれもHTMLとロジックが分離されてない(本当)
「cgi.rbは標準添付ですぐ使える」と言われる。確かにそうかもしれないが、おかげでどれだけのSQLインジェクションやらXSS脆弱性やら、ひどいコードが放置されていることか
グローバル。使うんじゃないってば。

もちろん、反論もあるだろう。たとえば「Defending PHP」とか。

でも、個人的にはやはり否定側の方が筋が通ってる印象かな。

特に「rubyは初心者に学びやすい(と言われていることが問題である)」という部分に共感する。 rubyは初心者に簡単かもしれないが、初心者による手を抜いたWeb アプリケーションは rubyが作られた当初はともかく、現代では害悪ではないだろうか。

cgi.rbならではの理由がないわけではないことはわかる。標準添付されているとか、デプロイが簡単とか。

でも、「標準添付」を一般公開されるWeb アプリケーションを開発するためのライブラリとしての利点にするのはもうやめようよ。

追記

「どのライブラリで書いてもおかしなコードを書く奴は書く」という指摘もあった。それは言うまでもない事実ではある。そこには反論しない。

が、本当に問題なのは、世の中には「おかしなコードを書くことを助長するライブラリ」もあるという点だ。で、そういうライブラリにはおおむね「標準添付」というラベルがついている。どういうわけだか。

たぶん、「初心者がおかしなコードを書くのをじゃましない」とかあるいは「初心者っぽいコードを積極的に支援する」から、「標準添付」って呼ばれるんだろう。もしくは「設計者がまだ初心者」とか。

そういうライブラリが存在しちゃいけないとは言わないけど(人に迷惑をかけない範囲で)、ここ半世紀のライブラリの進化をないがしろにするのはもったいないと思うな