http://www.yuriko.net ジェンダー・セクシャリティー・携帯電話・ソフトウェア開発・WordPress ハックなど Sun, 20 Jul 2008 08:20:02 +0000 http://backend.userland.com/rss092 ja サーバートラブルにより、7月19日あさ8時20分ごろから7月20日15時30分ごろまで当サイトが見えない状態でした。7月19日ひる12時ごろには仮サイトを設定しましたが、DNS 伝播の状況が悪くて携帯電話からは仮サイトがなかなか見えなかったようです。逆に、復旧後に通常サイトが見えにくいようです……。みなさまにはご迷惑をおかけいたしました。 なお、トラブルはハードウェアが原因であって、クラッカーに狙われたとかではなさそうです。ということで、これから Ktai Style 1.43, Ktai Entry 0.8.6 のリリース準備をすすめます。 ところで、今回初めてココログを使った仮サイトを運営してみましたが、モブログの写真はサムネールが作られずにそのままのサイズで掲載されるわ、携帯閲覧の表示がしょぼいわで、WordPress + Ktai Entry + Ktai Style よりも低機能に感じてしまいました ;-) Movable Type 系のブログサービスってこんな品質なんでしょうか……。なんかがっかり。 http://www.yuriko.net/arc/2008/07/20/recover/ かつて、WordPress 向けに有用なプラグインを提供されていた SOMY さんですが、SOMY さんが制作したプラグインすべてに、セキュリティー欠陥があることが分かりました。それは「プラグインの PHP ファイルに script 要素が埋め込まれていて、WordPress 2.0.x 以前 (2.0 を含む) で、管理画面のプラグイン一覧でリストされたときに実行されてしまう。」というものです 。プラグインをインストールするだけで発生し、停止していても script が実行されます。 画面のバージョン数字の部分に script 要素があって、XHTML ソースは次の通りです。 <td class='vers'>1.0<script src="http://wp.somy.jp/up_check/?f=logined-publish&v=1.0"></script></td> この script 要素は、おそらくバージョン確認が目的だと思われます。今のところ、サーバー側 API が停止しており、何の反応もありませんが、将来 wp.somy.jp がクラックされたり、SOMY.JP ドメインが失効して他人に渡ったりして、悪意あるコードが設置された場合は非常に危険です。なお、WordPress 2.1 以降では、script 要素が削除されてから管理画面に表示されるので安全です。 対象プラグインは以下の通りです。 SOMY IMG Collect SOMY Logined Publish SOMY SpamBlock JP スパム対策プラグイン [このセクション追加] WordPress 2.0 以前で当該プラグインを使用している場合は、WordPress の管理画面を ... http://www.yuriko.net/arc/2008/07/17/somy/ 先日リリースした Ktai Style 1.42 ですが、WordPress 2.6 対応が不十分だったことが分かりました。それは、複数プラグインの有効化・無効化に対応していないという問題です。Ktai Style を有効にしたとき、ログインセッション保存用のテーブルを作成し、無効にしたときテーブルを削除するのですが、複数有効化・無効化を検知していないのです。このため、Ktai Style を1つだけ無効にし、その後、他のプラグインとまとめて有効にしようとすると、携帯電話からログインできなくなってしまいます。 WP_CONTENT_DIR を移設したときの対策も思いつきましたので、それらを含めた 1.43 を WordPress 2.6 日本語版が出てからリリースすることにしましょう。Ktai Style の日本語表示は、WordPress 自体の日本語表示に一部頼っていますので、WordPress 2.6 の日本語リソースの出来具合をみないことには、Ktai Style の日本語リソースを調整できないのです……。 http://www.yuriko.net/arc/2008/07/16/activate-multi/ 昨日、阪神タイガースがスワローズに勝てば優勝マジックが点灯するはずだったのですが、残念ながら 0-6 で負けてしまいました。マジック点灯すれば、2005年みたいに当サイトでカウントダウンをしようと思っていましたが、まだ準備ができてないので、マジック点灯が先になったのは渡りに船でした ;-) 2005年は、手書き HTML でやっていましたが、今回はプラグインまたはウィジェットを作ろうと思っています。本当は、阪神タイガース公式サイトにアクセスして、成績から優勝マジックを自動計算したいところですが、各チームごとの残り試合数を「試合日程」から算出しなければならず、なかなか骨が折れます。ということで、とりあえずはマジックナンバーを手動入力させる方向で考えています。 今回は番号が50個ぐらい必要なので、数字ロゴは大量生産かなーー。 http://www.yuriko.net/arc/2008/07/16/tigers-no-magic/ フィードから del 要素を除去するプラグイン Delete Del というものを作ってみました。当サイトでは、記述の修正に del 要素を多用するんですが、RSS や ATOM では XHTML タグだけ削除されてしまい、意味不明になってしまいます。del 要素の意味を考えると、フィードでは del 要素を削除する方が自然です。 マークアップ この業者「あどあど」<del>は未だに同じことを続けているようです……</del>が手掛けたサイトでまだ URLGATE オンのサイトがありました。 従来のフィード この業者「あどあど」は未だに同じことを続けているようです……が手掛けたサイトでまだ URLGATE オンのサイトがありました。 改良したフィード この業者「あどあど」が手掛けたサイトでまだ URLGATE オンのサイトがありました。 独自ウェブログシステムだった時代は、そういう動作をしていましたが、WordPress に移行してから、その挙動がなくなっていました。なお、Ktai Style では既定の動作となっています。 ダウンロード: delete_del090.zip (1KB) 圧縮ファイルを展開して、PHP ファイルをプラグインディレクトリーに入れて、有効化するだけで OK です。なお、WP-Multibyte-Patch が提供する excerpt 系関数を有効にしている場合は、del 要素の削除が効きません。これは WordPress コアの問題のため、改善はほぼ不可能です。 http://www.yuriko.net/arc/2008/07/15/delete_del/ さきほど、WordPress 2.6 がリリースされたようです。まだ trac にチケットが多数残っていたはずなのに、リリース予定日を優先したようですね。少なくとも、WP_CONTENT_DIR, WP_PLUGIN_DIR 定数の変更によるディレクトリー変更機能はまだ使いものにならないと思います ;-) 日本語版は数日かかるでしょうから、それが出てからテストサイトに入れて拙作プラグインの確認を行い、当サイトに適用するか検討してみます。 [追記] 残っていた 760件のチケットはすべて 2.9 (!) に延期されていました。これは報告者が各自重要度に応じて 2.7 とかに戻せということですよね? (Y/y) http://www.yuriko.net/arc/2008/07/15/wordpress260/ 以前、「子供向けサイト構築に Mobile Eye+ を使ってしまう業者」がいることを取り上げましたが、この業者「あどあど」が手掛けたサイトでまだ URLGATE オンのサイトがありました。「次世代教育研究会」のサイトは主に固定ページで構成されていますが、こちらも Mobile Eye+ が URLGATE オンで使用されています。「次世代の教育環境を整える」ことを研究されている方が、アダルト広告が容易に出る状態を放置しているのはいかがなものかと思います。固定ページが主だと Mobile Eye+ でのナビゲートは困難なので、携帯サイト自体を停止した方がいいでしょう。 少し話が変わりますが、「メンバー登録」で性別欄が必須というのもダメですよね ;-) 性別が不詳な人／男女の枠に入らない人は多様性の一例であり「次世代の教育を考える」のに必要だと思われるのに、そういう人を排除しているようでは、まだまだです。 「つくばオールスターチア」のウェブサイトも WordPress を使ってリニューアルしたようです。ご多分に漏れず Mobile Eye+ が URLGATE オンで設定されています。チアのメンバーには小学生も含まれるため、これはまずいですよね……。また、URL が少し変です。本来 http://www.cheerspirit.jp/allster/ のはずが、こちらには旧サイトが残っており、新サイトが http://www.cheerspirit.jp/allster/allster/ となってしまっています (たぶん製作者のミス)。こちらは例の業者の仕事かどうか不明ですが「筑波近郊」「Mobile Eye+使用」という面から、たぶんそうだと推測できます。 (さっさと Ktai Style を使えばいいのに〜〜) とりあえず、ここで叩いても仕方がないので、「問い合わせフォーム」から「Mobile Eye+ を使うなら URLGATE をオフにしてよ」という提案をしておきました。さて、どんな返事がくるやら。 [追記] さっそく返事がありました。「事象については把握しており、弊社が携帯対応した場合はアダルト広告が出ないように設定している。お客さんが後からインストールされる場合にそうなっていると思わます」という内容でした。ということで、「アダルトサイト増産業者」というくだりは撤回いたします。大変失礼いたしました。「ヘボ業者」タグも削除しておきます。今後は、PHP5 対応サーバーを提案して Ktai Style を使って頂きますようお願いいたします。Ktai Style が使えれば、Mobile Eye+ を使う必要もなく、アダルト広告問題も発生しませんから。 なお、次世代教育研究会およびつくばオールスターチアへも、すでに個別に問い合わせを送信しています。ユーザーが自身で Mobile Eye+ を入れたとすると、こちらからの返事が重要になってきますね。 http://www.yuriko.net/arc/2008/07/15/adad/ トラックバック企画「WP2.5に入れるプラグイン10選」ですが、中間集計が始まったようなので、「使うべきでないプラグイン10選」を挙げてみたいと思います ;-) (追記: ヤバいものが増えてしまい、12選になりました) Masayan さんはこういうリストアップを好まないと思いますが、「やばいものは避けよう」という注意喚起としてあえて出してみます。もし、自身で使っているプラグインが該当していると不快になるかもしれませんが、セキュリティー向上のための情報ですので、気を悪くされないようにお願いします。 危険なプラグイン 以下のプラグインは、セキュリティーホールがある／ありそうなため、即座に使用停止した方がいいものです。 WP MOBILE デジタルスタジオ製のモバイル対応プラグインです。当サイトでは度々危険性を告知しています。当初発見された脆弱性は塞がれていますが、まだ突破口があるのでないかと思われます。また、WordPress 2.3 以降には未対応なこと、IE, Firefox, Opera 以外の PC 向けブラウザー (Safari など) では閲覧できない、という重大な問題があります。(Safari ユーザーお断りサイトができてしまう ;-) Plug 'n' Play Google Map Lightweight Google Maps の前身である Google 地図対応プラグインです。XSS 脆弱性があること (作者に報告しても梨のつぶて)、位置情報が多くなると PHP およびブラウザーのメモリエラーになること (16MB だと 1000個が厳しい) などの問題があります。 新しい WordPress に対応していないもの 以下のプラグインは最近の WordPress に対応していないものです。また、作者が開発を中止した／新バージョンが今後出ないと思われるものです。コードを自分でいじれる人ならば、改造して使ってもいいですが、プログラミングの知識がないならば、避ける方が無難です。 SOMY Mobile Gate SOMY さんのメール投稿ツールです (厳密にはプラグインではありません)。残念ながら 2006 年秋頃に開発を中止されてしまいました。そのため、WordPress 2.3 以降の新しいカテゴリーテーブルには未対応となっています。後継の MobG を使いましょう。こちらはメンテされています。 SOMY ... http://www.yuriko.net/arc/2008/07/15/plugins-not-recommended/ WordPress 公式サイトでは、「WordPress という商標を守るため、WordPress に関するサイトを始める場合は、ドメイン名に『WordPress』をという文字を含めないでほしい」というお願いがされています。かわりに「wp」という文字列が推奨されています。ただし、サブドメインに「WordPress」を含む場合は許可されています。 さて、JP ドメインの場合は、以下の3つが存在します。AC.JP, AD.JP, ED.JP, GO.JP, GR.JP, LG.JP, OR.JP は空いています。 WORDPRESS.JP WORDPRESS.NE.JP WORDPRESS.CO.JP WORDPRESS.JP はどうやら Otsukare さんが所有されているようです。今のところ A レコードの割り当てはないようで、ウェブサイトもありません。むしろ「悪意ある他人に取られないための防衛策として保有」されているような状況ですね。これは問題なさそうです。 WORDPRESS.NE.JP はデジタルスタジオのブログサービス Press9 で使えるドメインの1つです。すなわち、モロ「WordPress に関するサイト」です。サービス内容も WordPress.com とかぶるため、完全に商標侵害と思われます。 WORDPRESS.CO.JP は株式会社デジタルキューブのドメイン名です。オープンソースを利用したウェブ構築ソリューションの提供などをされているようで、業務素材として WordPress を使っているようです。それだけだと問題は少なそうなのですが、サイト名が「ビジネスワードプレス」というのはヤバそうです……。また、「WordPress を含むドメイン名を取るな」という声明が出た後 (2006年10月以降) にドメイン取得しているという点は悪質だと思われます。 後者2社を Automattic にチクったら、おそらく訴訟問題に発展するでしょう。特に、デジタルスタジオの方 (wordpress.ne.jp ドメイン) は確実に潰せそうです ;-);-) 個人的にはそれはそれでよいことだと思うんですが、wordpress.ne.jp ドメインでウェブログを公開している人がかわいそうなんですよね……。うーん。 http://www.yuriko.net/arc/2008/07/14/wordpress-jp-domain/ トラックバック企画「WP2.5に入れるプラグイン10選」は順調に反応が増えているようです。わたしも投稿していますが、他の人の10選を見ると、なかなか興味深いものがあります。特に、常用しているプラグインが多い人の場合、「どれを落として何を残すか」という選択において、重視しているポイントが見えてくるんですよね。 注目すべきは、Akismet 以外のスパム対策プラグインも利用されている人がほとんどという点でしょう。Akismet はスパム対策という点では最強の部類に属するのですが、残念ながら多言語環境において誤認識が多いため、日本語ウェブログでは「Akismet だけに頼る」というのは困難なものがあります。 また、Ktai Style, Ktai Entry を初めとする携帯関連プラグインも利用者が多いです。さすがに Masayan さんところにトラックバックする方は圧倒的に Ktai Style の利用者が多いですが、いくつか Mobile Eye+ の方がおられます。サーバーが PHP5 未対応というかわいそうな人なのでしょう ;-) メール投稿系では MobG が出ていませんが、これは「プラグインではなくアドオンツール」という形態なので、リストアップされていないのだと思われます。 その他は、アクセス解析系が多く、カテゴリーやタグいじる系、画像系なども人気がありますね。runPHP, ExecPHP 系も利用者が多いのですが、不具合やセキュリティーホールの元になりますし、これに頼るのは実はスキルが低い証拠なので、早い目にやめることをおすすめします。WordPress に手慣れた人ならページテンプレートを作ったり、テーマの functions.php に自作関数を入れるか自作プラグインを作るでしょう。WordPress 2.5 以降なら自作ショートコードという手もあります。(追記: 意外とWP-PageNavi は利用者が少ないですね。←WordPress 2.5 対応版は DB クエリーは増えません) わたしの場合、使っているプラグインがもともと少なく、自作ものは優先度が高いものが多いため、必然的にそれが残ります。他人のプラグインで落選したものは「Simple Tags」で、これは普段はオフにしていて、過去記事に大量にタグ付けするときだけ有効にする、という使い方をしているためです。 [追記 2008-07-15] トラバ受付が7月末まで延長され、中間集計が出ていました。基本的にはかなりバラけていますが、Google XML Sitemaps, Ktai Style, Simple Tags, wp-tegaki は5票以上獲得と人気があります。「使うべきでないプラグイン」を挙げられた方もおられますが、利便性とリスクを天秤にかけての判断なのでしょう。あくまで「自分にとって必要なプラグイン10選」であって、「おすすめプラグイン10選」じゃないので、それはそれでいいですよね。これが「おすすめプラグイン10選」であるならば、「使うべきでない……」をリストアップされると難儀なわけですが……。 http://www.yuriko.net/arc/2008/07/13/plugins-others/ WordPress 用 Google Maps プラグイン「Lightweight Google Maps」のバージョン 1.30 をリリースします。変更点は以下の通りです。 固定ページの地図で、キーワードタグでの絞り込みに対応しました (WordPress 2.3 以降が必要)。 携帯電話向け地図を出す機能は Ktai Style 1.42 以降が必要となりました (Ktai Style 1.41 以前では地図が出ません)。 WordPress 2.6 ベータ版への対応を盛り込みました。 各エントリーの地図を「固定ページへのリンク」にしている場合、「この位置を大きい地図で見る」リンクが出力されない不具合を修正しました (バージョン 1.20 で発生した不具合)。 ダウンロード: lw-google-maps130.tar.bz2 (23.9KB) 今回は、Ktai Style バージョン 1.41 で地図が出なくなった問題の対応、WordPress 2.6 ベータ版への対応がメインです。おまけとしてキーワードタグでの絞り込みにも対応しています。 [追記] 固定ページの大きい地図で出てくるマーカーは、投稿に付与した Lat_Long フィールドのものに限られてしまうという制約はそのままです。(地図表示以外の) 固定ページで Lat_Long フィールドを入れた場合、そのページで小さい地図は出ますが、地図ページではその地点のマーカーが出てきません。これはちょっと不可思議な動作になってしまうので、今後のバージョンでは直す予定です。 http://www.yuriko.net/arc/2008/07/12/lwgooglemaps130/ 絵文字対応の WordPress 携帯対応プラグイン「Ktai Style」の安定版バージョン 1.42 をリリースいたしました。1.41 からの変更点は次の通りです。 a 要素に href 属性がない場合はリンクとみなさないようにしました (従来は <a name="foo"></a> のような場合も外部リンクとして中継ページを出してしまっていました)。 リンク先に Mobile Link Discovery があるかの確認で、モバイル版ページの URL を確実にできるよう改善しました。(Ktai Style 1.41 でも抽出できない場合があったので、さらに改良) is_ktai() 関数の引数に 'flat_rate' を与えると、定額パケット通信に対応しているかどうかを返すようにしました (ks_is_flat_rate() と同じ返り値)。 wp-content/ktai-themes/ ディレクトリーに格納したテーマを設定できない不具合を修正しました。(Ktai Style 1.41 で発生したバグ) 画像のファイル名が thumbnail.jpg や 160x120.png のような形式 *ではない* 場合 (image.jpg, sample.gif ... http://www.yuriko.net/arc/2008/07/10/ktaistyle142/ Masayan さんところで「もし今、WordPressのプラグインフォルダに10個のプラグインしか追加できないとしたら、最低限何を入れますか?」というトラックバック企画が行なわれていますので、乗っかってみましょう。当サイトで使用しているプラグインは、一応自己紹介に書いてある通りならば「7つ」(Akismet, WP-Multibyte-Patch 除く) ですが、実はそこから微妙に増えていて12個になってしまいました。 ということで、そこから優先度の低いものを削ると以下の通りでしょうか。 Edit Comments XT (Wöhrer 氏作) 非ログインユーザーがコメント投稿した場合でも、ユーザー自身が一定時間だけ編集可能とする。 EventCal (自作・未公開) サイドバーのイベントカレンダー。日本の祝日対応 Force Wave Dash (自作) Windows 環境で入力した「全角チルダ」を「波ダッシュ」に補正。 Ktai Entry (自作) メール投稿 (モブログ) Ktai Style (自作) 携帯電話対応。軽量なページを表示・簡易的な管理機構を提供。 Reject Short Comments (自作) スパムコメント／トラックバック対策。短いコメントやトラックバックを拒否。 Weather Journal (自作) 日付の横に自分で入力したお天気を表示。 WordPress.com Stats (Skelton 氏作) WordPress.com のアクセス統計機能を自分のサイトで使えるようにする。 Ynet Permalink (自作・未公開) 以前の Yuriko.Net におけるパーマリンク体系 (/arc/YYYY/mm/ddX) を実現。 旅行記の方では位置情報と地図が必須なので、拙作のKtai Location および Lightweight Google Maps が追加になります。そのかわり、Ynet Permalink は不要になるため、都合10個に収まります。 同じく拙作の JSeries Notifier ですが、自サイトでは常に最新版が入っているので使う必要がありません。また、サイドバーでアーカイブを年ごとに折り畳む処理は、テーマファイルの functions.php で自作関数 (未公開) を書いているため「プラグインの個数」の制約にはひっかかりません ;-) ... http://www.yuriko.net/arc/2008/07/09/plugins/ 先日ソフトバンクからPDCサービス終了時期についてアナウンスがありましたが、ユーザーへの個別連絡も始まりました。まずは、3Gに機種変更したら1万円の商品券が提供されるようです。 しかし、条件として、新スーパーボーナス加入が必須になっているのは考え物です。スパボに入ってしまうと、J-PHONE時代から提供されているアフターサービス(月額315円)が解除されてしまい、高価な安心保証パック(498円)しか入れなくなるからです。また、スパボに入れるのは、1契約者当たり2回線という制限があるので、すでに複数回線持っている人(世帯主が家族全員の回線も持ってるなど)はスパボに入れず、結果として商品券も貰えません。大体、機種変更価格を1万円引きとしないで、商品券を出す時点でふざけてますよね。関西や東海地方では、これに応える人は少なそうです まあ、こういう巻き取り施策は待てば待つほど条件が良くなるのが基本ですから、みなさん粘りましょう!! でもケチなソフトバンクモバイルなので、あまり特典が良くならない気もする……。最終的には「iPhoneに無料で機種変」出来ることを期待してるんですが http://www.yuriko.net/arc/2008/07/09/110350/ 先日リリースした Ktai Style 1.41 ですが、拙作のLightweight Google Maps (LWGM) と互換性がなく、携帯電話表示で地図が出ないという問題があることが分かりました。「mobile_same_url 用のフィルター関数を携帯テーマの functions.php に書ける」ようにするため、携帯テーマ用関数を定義する tags.php を読み込ませるタイミングを遅らせたのですが、LWGM の初期化段階で tags.php の関数を使っていたたため、結果として LWGM が Ktai Style を認識できなくなり、地図を出さなくなっていたのでした。 WordPress 2.6 対応のため LWGM のアップデートが必要だったのですが、これでは急いで直す必要があります。さほど大きい変更ではないはずなので、簡単にテストして今週中には出すようにしましょう。 [追記] バージョン 1.30 にて修正いたしました。なお、Ktai Style もバージョン 1.42 以降にアップデートすることが必要です。 http://www.yuriko.net/arc/2008/07/08/no-gmap-ktaistyle141/ WordPress プラグインコンペ用に作っていたプラグインを公開します。名称は「Nonce! Please」をそのまま採用し、説明を「スパム軽減プラグイン」としました。コンペの趣旨に乗っ取り、説明ページを英文の固定ページで作っています。 動作は、コメント／トラックバック受け付け URL に nonce (ランダム文字列) を必須とする、ものです。nonce は12時間ごとに変化するため、スパマーがトラックバック URL を蒐集しても、送信時には無効になっていることが期待されます。コメントも、コメントフォームを使わずに直接 wp-comments-post.php に送信してくるようなものは拒否されるわけです。 ダウンロード: nonce_please100.zip (2.5KB) リリースに時間がかかったのは単にドキュメントが書けてなかっただけです。今回、えいやっで英作文しまして、とりあえず形にしました。めちゃめちゃ稚拙な英文で恥しいですが、non-native が書く技術文書であれば、うまい／へたはあまり関係ないでしょうし……。 あとは、固定ページの体裁をもうちょっと整えて、コンペに参加するだけですね〜〜。実はもう1本ネタがあるので、これもさっさとでっち上げる予定です。 [追記 22:05] 固定ページは作ってあったものの「非公開」のままでした……。さきほど公開しました。せっかくなので、ダウンロードリンクをこの記事に入れておきます。 http://www.yuriko.net/arc/2008/07/07/nonceplease100/