https://labs.cybozu.co.jp/blog/kazuho/archives/2007/01/jsonp-security.php

[oppara]

はせがわ

[takimo]

1. padding に使用できる文字を制限する 注1 2. json コンテンツ内の < をエスケープする 3. レスポンスヘッダで charset を指定する

[convivial]

jsonp提供者側のxss対策

[webmarksjp]

JavaScript

[hasegawayosuke]

application/jsonだけでなくapplication/atom+xmlもIEが認識できないのでPATH_INFO使ってHTMLと解釈させることが可。content-disposition:inline;filename="a.js"で防げる?

[ockeghem]

後で読む

[k2ca3]

よく考えないと危険

[s-e-i]

自動判定を利用してのXSSを防ぐ

[kmachu]

「JSONP のデータを HTML として解釈させ、その中にスクリプトを埋め込む XSS 」

[shinichitomita]

確かに

[nilab]

Kazuho@Cybozu Labs: JSONP - データ提供者側のセキュリティについて :

[tsupo]

インクルードされる側のリスク

[hiro_y]

データ提供者側が行うべきセキュリティ対策。

[wacky]

JSONPサービスの提供側が行うべきセキュリティ上の処理。コールバック関数名の制限、charsetの指定など。