JavaScript のリテラルに任意の文字列を出力してみる | 水無月ばけらのえび日記
更新: 2008年1月27日 Web アプリケーションのセキュリティガイドラインには、たいていの場合「スクリプト内に動的生成の文字列などを出力してはならない」という掟があったりするのですが、それにあえて背く場合のお話。 こんな感じの HTML 断片があったとします。 <script type="text/javascript"> <!-- foo.bar = <%= value %>; //--> </script> そして、この「<%= value %>」の部分に、ユーザが検索文字列として入力した任意の値を入れるというのが課題です。もちろん、そのまま出力すると XSS であっさり死亡するので、何らかの処理をしてから出力する必要があります。ちなみに、ユーザが何を入力したのか正確に知りたいので、任意の文字を削除したりすることはできない (削除してしまうと仕様を満たせない) と考えてください。
Rails/Ajax高速化関係メモ - Rubricks Project
RubyKaigiでも発表させてもらったのですが、Rubricks0.6リリースに向けてパフォーマンスをがんばって上げております。 以下、つらつらと。 render_componentが遅い render_componentはrequest.dupしてコントローラに投げなおすようなつくりになってて無駄が多い。 シンプルなsimple_render_componentを自作して解決。 →コントローラの処理時間がに5倍近く高速化 IEはDOM操作を行うと重い 一般的にDOM操作よりもinnerHTMLの方が速い。 SpinelzをDOM操作ではなく極力innerHTMLで操作するように改良 →IEで約3倍の高速化 毎回JSライブラリを読み直しは重い 数百kbyteのJSライブラリを読み直すのに時間がかかっている。 ほとんどのJSをログイン時に先読みし、画面更新を全てAjaxベースで実施するよう
川o・-・）＜2nd life - JavaScript や CSS の query に自動で最終更新時間をつける Rails Plugin
最近いろいろなサイトで <script src="/javascripts/foo.js?1142509269" type="text/javascript"></script>や <script src="/javascripts/bar.js?v=2.3" type="text/javascript"></script>の記述を見るようになってきました。また CSS でも <link href="/stylesheets/foo.css?1142509300" media="screen" rel="Stylesheet" type="text/css" />といった記述もちらほら見かけます。 これは JavaScript や CSS を更新しても、ブラウザキャッシュが読み込まれているため、更新された JS ファイルなどがロードされない場合への対策です。上記のような最終更新時刻やバージ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
