煤 - Note : Creammonkey でJSONP を使ってドメインを越えてみる
■ Creammonkey でJSONP を使ってドメインを越えてみる Sun, 11 Feb 2007 23:30 @645 /coding del.icio.us hatena clap! Safari 版GM であるCreammonkey にはGM_xmlhttpRequest 相当のメソッドがありません（XHR は使えるけどドメイン越えできない）。デバッグ中にそのことを思い出して、試しにJSONP で代用してみることに。普通に行けた。 作ったやつを置いときます。前作ったassociate this をSafari で動くように作り直しました。Safari 2.0.4 + CM 0.8、Fx + GM 0.6.7.20070131.0 で確認。そのまま使うと僕がログ取れちゃったりするので、テスト以外で使う場合は自分でその辺どうにかした方がいいよ。 ちなみにいじってて気付いたのですが、
クロスドメインでのデータ読み込みを防止するJavaScript ? - snippets from shinichitomita’s journal
GMailのコンタクトリスト漏洩のエントリのついでに。 JSONデータをscriptタグにのせて配信するサービス（JSONPなど）で、限られたサイトのみにしかそのデータを配信しないようにするためには、クライアントが送出してくるリファラ情報を使ってサービスコンシューマとなっているサイトを特定してアクセス制御する方法がある。 この方法はおそらく大部分のクライアント（ブラウザ）に対しては有効で、例えば実際にGoogle MapsなどもそれとAppKeyを組み合わせてサイトを判別しているっぽいのだけど、意図的にリファラ送出を切っているブラウザであったり、あるいはプロキシプログラムなどが自動的にリファラヘッダを除去してしまうようなクライアント環境に対しては無効になってしまう。 ということで、そんなクライアントでもなんとかならないだろうかと考えていたときにちょっと思いついた、もしかしたらこの方法なら許
TAKESAKO @ Yet another Cybozu Labs: Web2.0時代のAjax Binary Hacks
※公開用にいくつか手を加えてあります 前フリが長いとのツッコミがありましたので、今回の発表内容を少し要約してみたいと思います。 1. GIF Format Hacks (Server side) まずは、任意のpixelサイズ（幅・高さ）を持った画像ファイルを固定長の35byteで出力する方法 #!/usr/bin/perl use strict; use warnings; sub create_gif { my $size = pack "S2", @_; return "GIF89a$size\xf0\x00\x00\x00\x00\x00\xff\xff\xff," . "\x00\x00\x00\x00\x01\x00\x01\x00\x00\x02\x02L\x01\x00;"; } print "Content-Length: 35\n"; print "Content-Ty
非dojo環境でXhrIframeProxyをしてみる - snippets from shinichitomita’s journal
http://d.hatena.ne.jp/shinichitomita/20061025/1161776282 の続き。 結局dojoのXhrIframeProxyで参考にすべきところは、fragmentIdentifierを使ってフレーム間でメッセージのやり取りをしているところ。つまり、同梱の xip_server.html とxip_client.htmlが偉いのであって、そこにおいて dojo.* のパッケージが何かしてくれているというわけではない。 そのフレーム間やりとりのプロトコル実装はdojoのを流用して、その値を取り出してオブジェクトとして受け渡すところのスタブとなるオブジェクトはdojoに頼らずこっちで書いてしまってもよい。そうすればクライアントは別にdojoでなくてもつかえるはず。 ということで、非dojoバージョンのXhrIframeRequestを作ってみた。サーバ
dojoのIFrameProxyでクロスドメインでのXML取得 - snippets from shinichitomita’s journal
これおもしろいな。 http://dojotoolkit.org/~jburke/XHRIFrameProxy.html XMLHttpRequestがドメインの壁を越えられないのは悲しい事実。すべてのブラウザで改善されるのを待つのはひどく気の長い話だし、そもそもそうなってるのにはそれなりの理由（セキュリティ関連）があったわけで、うまく要求が通るとも思えない。 そこで、既存の枠組みでクロスドメインの壁を越えられる動的スクリプトロードでのJSONコールみたいなテクニックが出てきてるわけだけど、データソースとなるサーバ側でデータをJSON形式で用意しなきゃいけなかったり、結局JavaScriptロードに頼るので信頼できないサイトからは気軽にデータを取って来れない（⇒任意のJavaScriptコードが実行されてしまう危険性がある）などの問題があった。 IframeProxyはこれを回避する。IF
dojoのXhrIframeProxyでプロキシサービスを使わずにクロスドメインXML取得 - snippets from shinichitomita’s journal
以前にここで触れた http://d.hatena.ne.jp/shinichitomita/20060803/1154609128 について、最近0.4.0でパッケージに正式に含まれたらしいので、ちょっと試してみる。 テスト内容 http://stomita.web.fc2.com/xip_test.html から、サイトの外にある http://www.geocities.jp/stormriders999/fruits.xml のデータを取得し、表示 セットアップ dojo 0.4.0をダウンロード http://download.dojotoolkit.org/release-0.4.0/dojo-0.4.0-ajax.zip 圧縮ファイルを展開し、dojo-0.4.0/src/io/xip_server.html を http://www.geocities.jp/stormri
XMLHttpRequestをクロスドメインで行う方法(Firefox) - -
追記: 以下の方法はFirefoxでXMLHttpRequestのクロスドメインのセキュリティ制限を回避する（無視する）方法ですが、Firefoxでしか使えずかつJSのコードに変なものを書かないといけないので、単純なデバッグ・実験用途にしか使えないです。それに、サービス側がJSONPに対応していればそれを使うし、JSをロードするドメインのサーバに簡単なリバースプロキシを用意するとクロスドメインではなくすることがすぐ可能なので、FirefoxでPriviledgeManagerをごにょごにょするより、最初からFirefox以外でも通用する方法をとった方が、二度手間にならなくて楽だと思います。 Livedoor Readerをちょっといじいじしてみようと思いつきで始めた。（Ajax初心者） トップのHTMLと、そこからロードされるたくさんの*.jsを wget (-k でざっくりリンク変換しつ
クロスドメイン読み込みについての記事 - snippets from shinichitomita’s journal
http://d.hatena.ne.jp/dufresne/20060802#1154514674 他ドメインとデータをやりとりしたい場合はJSONPが一般的かなという感じがします。FireFox限定で構わなければgreasemonkeyを使うという手もありますし、Flashならcrossdomain.xmlで対処するのが通例かと思います。 JSONPが一般的、ってとこにちょっとだけびっくり＾＾； ＃最近はやってるの？ ですが、JSONPのようにクライアント側のスクリプトで対処する場合にはセキュリティ上の不安もありますし、ブラウザがバージョンアップしてJavaScriptの実行に関するセキュリティを強くした場合に動作しなくなるという心配もあります。 こう指摘されたとき、JSONPがブラウザのバージョンアップで動かなくなるパターンって、どんなときだろうと考えてしまう。そもそも他サイトからの
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
https://labs.cybozu.co.jp/blog/kazuho/archives/2007/01/crosssite_security.php