Knowledge for WordPress

2017年4月30日日曜日

WordCamp Kyoto 2017 の参加登録が開始されてるよ！ #wckyoto2017

WordCamp Kyoto 2017 の参加登録が始まっているよ！

登録サイト：https://2017.kyoto.wordcamp.org/tickets/
参加者一覧

是非参加登録して、京都へ行くぜ〜って表明してみてはいかがでしょうか。
２日目はコントリビューター Dayということで、テーマやプラグイン、翻訳や WordPress本体のコアコントリビューションなど、普段体験したことのない何かを会得するにはとてもよい機会が設けられていると思います。

コントリビュートすることで得られる物

筆者はプラグインの作成方法を知ったことで、ちょっとした機能を WordPress に追加するのにプラグインを作成できることでとっても楽になりました。何か外注するときにもプラグインは筆者自身が開発したり、あるいは開発してもらうにしてもいろいろ外注先と技術的なやり取りもできるようになりました。

筆者自身英語が苦手ですが、それでも翻訳することはおすすめです。翻訳によって翻訳対象にどういった機能があるのかより詳しく知ることが出来ました。よく使うプラグインやテーマ、ドキュメントの翻訳にチャレンジしてみてはと思います。

コントリビュートときくと何かちゃんと貢献しないといけない！そんなのは敷居が高すぎる！って思われるかもしれません。でも、恐れることはありません。気軽に参加して WordPress に関心のある方々とコミュニケーションしてみませんか。分からないなら聞けばいいのです。参加してみる、、、それだけでもきっと何かの役立つと思います！

2017年4月30日 @kimipooh

2017年4月12日水曜日

Welcome to WordCamp Kyoto 2017!! #wck2017

Let's go to Kyoto!!

WordCamp Kyoto 2017 will be held on 24-25 June, 2017 at Kyoto University, Japan. It's free for join! The website was opened to the public today!! I'm looking forward to enjoy for sharing various knowledge with attenders!

12th April, 2017
@kimipooh

2017年4月9日日曜日

【プラグイン公開】Google Calendar List View - 公開Googleカレンダーの一覧表示ショートコードプラグイン

ちょっと探したけどなかったので自前で開発して、WordPress公式プラグインとして公開しちゃいました。ブログを読み返していて気づきましたが、2014年の時点で、WordBench大阪で若干開発していたのですね。こちらは複数のカレンダーをマージして一覧表示するものだったようです。これのソースは消しちゃったかもですね。。。まぁいつでも作成できるのでもういいんですけど..

日本語翻訳も作ったのですが、「#2750 Plugin Directory: Changelogs not updating on Rosetta plugin directories」でチケット化されましたが、 WordPress Translate がおかしいため、完全に翻訳されなかったりプラグインサイトの翻訳がおかしかったりしますねぇ。なのでここで詳細を説明します。また公式プラグインについては、下記の英語版が最新なのでこちらをみてください。

https://wordpress.org/plugins/list-view-google-calendar/

利用の仕方

2017年6月25日　マニュアルの英語版も用意して、場所変更 @kimipooh

2017年3月7日火曜日

【備忘録】WordPress 4.7.3 で修正されたメディアアップロードの中身

【備忘録】WordPress 4.7.1 よりメディアアップロード時のMIMEチェックにファイル本体のチェック機能が付与されていた・・・で finfo_open 関数の問題でアップロードできないファイルが出てきた問題について、

https://core.trac.wordpress.org/ticket/39550

にて、WordPress 4.7.3で修正されるよ〜という情報があったわけですが、実際にはどうなったのでしょうか。

WordPress 4.7.3 セキュリティ・メンテナンスリリース (WordPress.org 日本語版）

をみても、原文にも書かれてません。

ならばとコードをチェックしてみました。

wp-include/functions.php

2316行〜2334行 ( wp_check_filetype_and_ext 関数内）

の部分ですね。

そして今回変更があったのは、 2322〜2333行でした。

変更前

If ($real_mime !== $type) {

$type = ext = false;
}

finfo_open でアップロードされたファイルのコンテンツをチェックした上でのMIMEタイプ（$real_mime）と、アップロードされたファイルの拡張子に割り当てられたMIMEタイプ（$type）とが一致しなければ、セキュリティを理由のブロックしていました。

変更後

if ( $real_mime && ( $real_mime !== $type ) && ( 0 === strpos( $real_mime, 'application' ) ) ) {

$allowed = get_allowed_mime_types();

if ( ! in_array( $real_mime, $allowed ) ) {

$type = $ext = false;

}

finfo_open でアップロードされたファイルの中身をチェックし、MIMEタイプデータ（$real_mime）がある。
「１」のMIMEタイプ（$real_mime）とアップロードされたファイルの拡張子に割り当てられたMIMEタイプ（$type）と一致しない
「１」のMIMEタイプ（$real_mime）データが「application」から始まる場合
「１」のMIMEタイプ（$real_mime）が、WordPress のMIMEタイプ（$allowed）に登録されていない

この４つの条件を「すべて」満たす場合のみ、セキュリティを理由にブロックする。

と変更されていますね。
つまり変更後は、このMIMEチェックがかなり限定されてますね。

アップロードしたファイルの中身と拡張子が一致しない場合、中身チェックのMIMEが application の時のみ、WordPressに登録されたMIMEかどうかチェックする

具体例

テキストデータ（sample.txt）の拡張子だけ pdfに変更（sample.pdf）し、これをアップロードしてみました。

finfo_open でのMIMEタイプは「text/plain」($real_mime）
アップロードファイルの拡張子に割り当てられたMIMEタイプは「application/pdf」（$type）

となります。このケースでは、変更後にはアップロードできちゃいます。
なぜなら、「３」の条件に当てはまらないから（finfo_open でチェックしたMIMEタイプが application で始まってないから）。

もちろん、今回紹介したチェックは finfo_open を使ったチャックの部分であり、それ以前に、WordPressに登録されたMIMEの拡張子以外はアップロードできないようチェックがあります。
なので、sample.jpeg2002 とか適当な拡張子にしてもアップロードはできませぬ。
まぁただ、 sample.png を sample.txt にしてもアップロードできちゃいますけどね、、、このあたりは WordPress 4.7.1以前に戻ったよ〜って感じでしょうね。

2017年3月7日 @kimipooh

2017年2月27日月曜日

９年ぶり！京都で WordCamp Kyoto 2017 が開催！

WordCamp Kyoto 2017 が 6月24日、25日に京都大学で開催されることが公開されました！当時にセッション登壇者の募集も始まりました。もちろん運営メンバー（実行委員）も募集されています。

開催日：2017年6月24日（土）、25日（日）
場所：京都大学国際科学イノベーション棟（時計台の近く）

WordCamp は WordPress 公式イベントであり、様々な方々がイベントに集まってきます。是非この機会に自らの裾野を広げてみては？と思います。

2017年2月14日火曜日

【備忘録】JetPackプラグインの「タイルギャラリー」の落とし穴に注意！

WordPress の JetPackプラグイン内にある「タイルギャラリー」について、ちょっと特殊な問題が起こって解決したのでメモっておきます。

制限サイトではギャラリーが表示できない

制限サイトとは、IPアドレス制限やパスワード制限されたサイトのことです。
よく準備中のサイトって一部メンバーのみチェックのために、そういった設定にしていることはありませんか。

どうやらその場合には、タイルギャラリーのギャラリーデータの画像が表示できないようです。このタイルギャラリーは、WordPress.com の CDNを通じて提供されており、画像としては ***.wp.com で生成された画像を表示することになります。制限されたサイトでは、生成された画像が GETできない（400エラー）となります。制限を解除して、キャッシュ系プラグインやシステムがあるなら、キャッシュをクリアすると問題なくでます。

以上から、WordPress.com 側がサイトの画像から直接データを取得してコンバートして CDN として提供しているのじゃないかなーと思います。なので、サイトへのアクセスが制限されていると画像が取得できなくて生成できないのかなぁと。

ただ一度サイトのアクセス制限を解除してタイルギャラリーができあがれば、再度サイトのアクセス制限をしてもギャラリーは残ります。

でも毎回やるの面倒だよ〜

その場合には、WordPress.com からのサイトへのアクセスを許可すればいけました。IPアドレスの細かい範囲は分からないので、パスワード保護されたWordPressを WordPress.com で管理するためにはで以前調べた Automattic社の IPアドレス群をまるごと許可しました。

192.0.64.0/18

ですね。実際に CDNは、 i0.wp.com とか i1.wp.com とかいくつかあるようで、それらはカバーしてそうです。BASIC認証をしているなら

Nginx

satisfy any;

auth_basic "Hogehoge---";

auth_basic_user_file /hogegegege/.htpasswd;

allow 192.0.64.0/18;

Apache

Order Deny,Allow

Deny from all

Allow from 192.0.64.0/18;

AutoType Basic

AutoUserFile /hogegege/.htpasswd

require valid-user

Satisfy Any;

のように、Satisfy Any で OR条件にした上で、IPアドレス許可を追加すればいけまーす。

2017年2月14日 @kimipooh

2017年2月9日木曜日

【備忘録】WordPress の古いバージョンもセキュリティメンテナンスリリースされているけど、安全なのか

ちょっと内輪で質問されたことを受けて、調べてみても情報がなかなか見つからなかったので、フォーラムで質問してみました。皆さんからいろいろ回答頂いてやりとりしていたのですが、調べていくうちに、Make WordPress Core の Handbook に回答を見つけました。忘れない内にメモっておきます。