brakeman を試してみるのはいいと思う

いろんな背景は置いておいて、brakeman をまず使ってみるとよいパターンというのはあるのではないか。

https://github.com/presidentbeef/brakeman

最近自分が関わるのは大概 Rails プロジェクトだ。こんな風に使える。

gem install breakman
breakman -o output

すると、output ファイルに結果が出力されている。超簡単だ。 結果ファイルでは、コードのどこがどういかんのか。というのが分かるようになっている。 超やさしい。ありがたい。

もうひとつ breakman は賢くて

breakman -o output -o output.html -o output.json

とか、それぞれの形式で出力してくれたりする。csv もできるらしい。

結果ファイルからは学びが多かったりするし、実行はお手軽なのでコスパもいいと思っている。

あと、別に breakman 使えと言うわけではないけれど、何も考えず、指定されたものだからとか、 お客さんに言われているからとか言うだけで、検査対象は何なのか、目的は何なのかも理解せずに 数十万とか見知らぬセキュリティ会社、ツールにつっこむのやめろよって思う。 目的がふわふわしていると、着地するのがすごく大変になる。 いろいろ関わってきて思うところなんかがあって、でも吐き出す場所がなくてこんな記事を書いたわけ。