OpenPNE 3

原因¶

#1816 でのコミット b6471e84 によって追加された以下の部分が正しくない．
具体的には，すべてのMemberが新規登録の場合，$this->validateAddress('pc_address', $value)がtrueになるため一回もcreatePre()が実行されずに現在ある$this->memberの一つを用いてmember_configへの記録が行われる．
また，$this->memberに既存のMemberオブジェクトを取得する処理が行われないため，すでに登録されているメンバのアドレスの前後に記載したアドレスに影響を与える可能性がある．
追記：validateAddress()内で$this->memberを更新する処理があるため，問題ないと考えられる．

apps/pc_backend/modules/member/lib/AdminInviteForm.class.php 76行目，87行目

 73 
 74     foreach ($this->getValue('pc') as $value)
 75     {
 76       if (!$this->validateAddress('pc_address', $value))
 77       {
 78         $this->member = Doctrine::getTable('Member')->createPre();
 79       }
 80       $this->saveConfig('pc_address', $value);
 81       $this->member->setConfig('register_auth_mode', $authMode);
 82       $this->member->setConfig('is_admin_invited', true);
 83     }
 84 
 85     foreach ($this->getValue('mobile') as $value)
 86     {
 87       if (!$this->validateAddress('mobile_address', $value))
 88       {
 89         $this->member = Doctrine::getTable('Member')->createPre();
 90       }
 91       $this->saveConfig('mobile_address', $value);
 92       $this->member->setConfig('register_auth_mode', $authMode);
 93       $this->member->setConfig('is_admin_invited', true);
 94     }
 95 

修正案¶

diff --git a/apps/pc_backend/modules/member/lib/AdminInviteForm.class.php b/apps/pc_backend/modules/member/lib/AdminInviteForm.class.php
index 4eda478..9e69235 100644
--- a/apps/pc_backend/modules/member/lib/AdminInviteForm.class.php
+++ b/apps/pc_backend/modules/member/lib/AdminInviteForm.class.php
@@ -71,26 +71,33 @@ class AdminInviteForm extends InviteForm
     $authMode = $authModes[$this->getValue('auth_mode')];
     $this->setOption('authMode', $authMode);

+    $memberConfigTable = Doctrine::getTable('MemberConfig');
     foreach ($this->getValue('pc') as $value)
     {
-      if (!$this->validateAddress('pc_address', $value))
+      if ($this->validateAddress('pc_address', $value))
       {
-        $this->member = Doctrine::getTable('Member')->createPre();
+        if (!$memberConfigTable->retrieveByNameAndValue('pc_address_pre', $value))
+        {
+          $this->member = Doctrine::getTable('Member')->createPre();
+        }
+        $this->saveConfig('pc_address', $value);
+        $this->member->setConfig('register_auth_mode', $authMode);
+        $this->member->setConfig('is_admin_invited', true);
       }
-      $this->saveConfig('pc_address', $value);
-      $this->member->setConfig('register_auth_mode', $authMode);
-      $this->member->setConfig('is_admin_invited', true);
     }

     foreach ($this->getValue('mobile') as $value)
     {
-      if (!$this->validateAddress('mobile_address', $value))
+      if ($this->validateAddress('mobile_address', $value))
       {
-        $this->member = Doctrine::getTable('Member')->createPre();
+        if (!$memberConfigTable->retrieveByNameAndValue('mobile_address_pre', $value))
+        {
+          $this->member = Doctrine::getTable('Member')->createPre();
+        }
+        $this->saveConfig('mobile_address', $value);
+        $this->member->setConfig('register_auth_mode', $authMode);
+        $this->member->setConfig('is_admin_invited', true);
       }
-      $this->saveConfig('mobile_address', $value);
-      $this->member->setConfig('register_auth_mode', $authMode);
-      $this->member->setConfig('is_admin_invited', true);
     }

     return true;

既にこの現象に遭遇している SNS において、画面からの操作によって妥当な状態にデータを変更する手段は存在しません。そのため、以下の SQL を実行することをアドバイスすることになると思います。

# 削除対象となる未登録メンバーを確認します (2020-01-01 00:00:00 は OpenPNE 3.6 にアップデートしてから、管理画面からの招待をおこなうまでの任意の日時に置き換えてください)
SELECT * FROM member WHERE id IN (SELECT member_id FROM member_config WHERE name = "is_admin_invited" AND value = "1" AND created_at > "2020-01-01 00:00:00") AND is_active = 0;

# 確認した未登録メンバーを削除します (2020-01-01 00:00:00 は OpenPNE 3.6 にアップデートしてから、管理画面からの招待をおこなうまでの任意の日時に置き換えてください)
DELETE FROM member WHERE id IN (SELECT member_id FROM member_config WHERE name = "is_admin_invited" AND value = "1" AND created_at > "2020-01-01 00:00:00") AND is_active = 0;

※登録済みメンバーの復旧方法は追って提示します

# 削除対象となるメールアドレスおよび登録用トークンを確認します (2020-01-01 00:00:00 は OpenPNE 3.6 にアップデートしてから、管理画面からの招待をおこなうまでの任意の日時に置き換えてください)
SELECT * FROM member_config WHERE name IN ("mobile_address_pre", "pc_address_pre", "mobile_address_token", "pc_address_token") AND member_id IN (SELECT member_id FROM member_config WHERE name = "is_admin_invited" AND value = "1" AND created_at > "2020-01-01 00:00:00");

# 確認したメールアドレスおよび登録用トークンを削除します (2020-01-01 00:00:00 は OpenPNE 3.6 にアップデートしてから、管理画面からの招待をおこなうまでの任意の日時に置き換えてください)
DELETE FROM member_config WHERE name IN ("mobile_address_pre", "pc_address_pre", "mobile_address_token", "pc_address_token") AND member_id IN (SELECT member_id FROM member_config WHERE name = "is_admin_invited" AND value = "1" AND created_at > "2020-01-01 00:00:00");

この操作をおこなうと、指定した日時以降に設定変更から「携帯メールアドレス登録」もしくは「PCメールアドレス登録」をおこなおうとしたメンバーのうち、管理者からの招待状を経由して登録した者による手続きがすべて無効になります。そのため、実施後は「携帯メールアドレス登録」もしくは「PCメールアドレス登録」をやり直すように利用者に対して告知をおこなってください。

この問題により生じうるリスクを以下にまとめます。

• このチケットで説明されているような「このため、最終行が携帯メールアドレスだった場合（もしくは、送信内容に携帯メールアドレスが含まれる場合？）、携帯で受け取ったメールアドレスを pc_frontend から登録すると、登録されるメールアドレスが他人のものになる。」という手順を踏まれてしまうことで、他人のメールアドレスによる登録がおこなわれてしまう
• 登録に使われなかったメールアドレスを本当に所有するユーザが、そのメールアドレスを使用して新規登録できなくなる

ここに示した以外のリスクは、確認した限りでは特に見つかりませんでした。

note-5 のSQLを（created_at の条件を削除して）実行してみましたが、エラーが発生してデータの削除に失敗しました。

DELETE文実行結果 （エラーが発生）¶

mysql> DELETE FROM member_config WHERE name IN ("mobile_address_pre", "pc_address_pre", "mobile_address_token", "pc_address_token") AND member_id IN (SELECT member_id FROM member_config WHERE name = "is_admin_invited" AND value = "1");
ERROR 1093 (HY000): You can't specify target table 'member_config' for update in FROM clause

SELECT文実行結果 （問題ない）¶

mysql> SELECT * FROM member_config WHERE name IN ("mobile_address_pre", "pc_address_pre", "mobile_address_token", "pc_address_token") AND member_id IN (SELECT member_id FROM member_config WHERE name = "is_admin_invited" AND value = "1");
+----+-----------+----------------------+----------------------------------+----------------+----------------------------------+---------------------+---------------------+
| id | member_id | name                 | value                            | value_datetime | name_value_hash                  | created_at          | updated_at          |
+----+-----------+----------------------+----------------------------------+----------------+----------------------------------+---------------------+---------------------+
| 27 |         5 | mobile_address_pre   | senpai.so903@docomo.ne.jp        | NULL           | 7c59d17726cd5398a8a00be873b7cd11 | 2011-10-21 16:26:16 | 2011-10-21 16:26:16 |
| 28 |         5 | mobile_address_token | c3a9264f890aa76aef1c9437329912b5 | NULL           | 2bdf6295e3b87b7add018385a655ab6b | 2011-10-21 16:26:16 | 2011-10-21 16:39:32 |
| 29 |         5 | mobile_address_pre   | kiw1540mm@docomo.ne.jp           | NULL           | 7bcacac9ecdb4e0c0021941afcd4f0ba | 2011-10-21 16:26:18 | 2011-10-21 16:26:18 |
+----+-----------+----------------------+----------------------------------+----------------+----------------------------------+---------------------+---------------------+
3 rows in set (0.00 sec)

note-7 についてですが、

mysql> DELETE FROM member_config WHERE name IN ("mobile_address_pre", "pc_address_pre", "mobile_address_token", "pc_address_token")
 AND member_id IN (SELECT member_id FROM member_config WHERE name = "is_admin_invited" AND value = "1");

ERROR 1093 (HY000): You can't specify target table 'member_config' for update in FROM clause

このエラーは「サブクエリ内の不正使用されたテーブル」の項に示されています。 http://dev.mysql.com/doc/refman/5.1/ja/subquery-errors.html

また、このエラーの概要と回避策については http://www.mysqlfaqs.net/mysql-faqs/Errors/1093-You-can-not-specify-target-table-comments-for-update-in-FROM-clause で次のように示されています。

「 UPDATE や DELETE 文では、対象とするテーブルと同一のテーブルをサブクエリー内で同時に参照することは MySQL ではできないので、そのようなことをしたい場合は、サブクエリーの中でもう一つサブクエリーをラップして temporary table として扱われるようにします」

つまり、 note-7 で示されている DELETE 文は、次のように書き換えることで実行できます。

DELETE FROM member_config WHERE name IN ("mobile_address_pre", "pc_address_pre", "mobile_address_token", "pc_address_token")
 AND member_id IN (SELECT member_id FROM (SELECT * FROM member_config WHERE name = "is_admin_invited" AND value = "1") AS tmp_member_config);

note-3 の修正ですが、軽く基本的な動作を確認した限りでは問題なさそうでした。正式の動作テストの参考になればと思います。

確認内容¶

確認バージョン: OpenPNE 3.6RC2

• PCメールアドレス・携帯メールアドレスが混在する招待
  • PCメールアドレス・携帯メールアドレスで別々のメンバーを登録することができる
• 携帯メールアドレスの招待URLをPCでひらく
  • 「この登録用URLは携帯電話専用です。」エラーメッセージが表示される
• PCメールアドレスの招待URLを携帯でひらく
  • 「この登録用URLはPC専用です。」エラーメッセージが表示される
• 招待メールアドレスのなかに既に登録されているメールアドレスが含まれる
  • エラーにならず、登録済みのメールアドレスが無視される
• 招待メールアドレスのリストのなかに pre に登録されているメールアドレスが含まれる
  • pre に登録されているメールアドレスも無視される
• 招待メールアドレスのリストのなかに空行が含まれる
  • エラーにならず、全てのメールアドレスあてにメールがおくられる
• 招待メールアドレスのなかにメールアドレスではない文字列が含まれる
  • エラーにはならず、全ての（正しい）メールアドレス宛にメールが送られる
• 400メールアドレスを一気に入力し、招待メールを送信する
  • 30秒程度でタイムアウトになり、60件程度までしかメールを送れない

（具体的な入力値については記録していませんでした）

「 UPDATE や DELETE 文では、対象とするテーブルと同一のテーブルをサブクエリー内で同時に参照することは MySQL ではできないので、そのようなことをしたい場合は、サブクエリーの中でもう一つサブクエリーをラップして temporary table として扱われるようにします」

対象とするテーブルと同一のテーブルをサブクエリー内で同時に参照することは
録されているメールアドレスも無視される