JSONのエスケープをどこまでやるか問題 - 葉っぱ日記
Ajaxなアプリケーションにおいて、サーバからJSONを返す場合に、JSON自体はvalidであるにも関わらず、(IEの都合で)エスケープが不足していて脆弱性につながってる場合があるので、書いておきます。 発生するかもしれない脆弱性 JSONのエスケープが不足している場合に発生する可能性のある脆弱性は以下の通りです。 JSON内に含まれる機密情報の漏えい XSS それぞれの詳細については後述します。 開発側でやるべきこと 文字列中のUnicode文字は "\uXXXX" な形式にエスケープするとともに、ASCIIな範囲であっても「/」「<」「>」「+」も同様にエスケープすることにより、前述の脆弱性を防ぐことができます。 Perlであれば、以下のような感じになります。JSON->ascii(1) に続けて、JSON文字列を正規表現で置換しているあたりがキモになります。 use utf8; u
こてさきAjax:WebSocketがデフォルトdisableとなった件 - livedoor Blog（ブログ）
拙著（「徹底解説 HTML5 APIガイドブック コミュニケーション系API編」）の補足・修正POSTです。 p.24にWebSocketをサポートしているブラウザが記載されていますが、周知の通り、以下のブラウザでデフォルトdisableになりました。 FireFox4 Opera11 ちなみに、執筆以降サポートを開始した iOS4.2.1のsafari は、現状使える状態です。 disableとなった理由は、現状実装されているバージョン（Draft76）にセキュリティ上の脆弱性が見つかったため。脆弱性がFixされた仕様がIETFで固まれば、マイナーバージョンであっても再び対応するとのこと。 http://hacks.mozilla.org/2010/12/websockets-disabled-in-firefox-4/ 脆弱性の詳細は、Adamさんのレポートで述べられています。 ただし
can I use... Support tables for HTML5, CSS3, etc
Test a feature Our partnership with BrowserStack now lets you test your website for compatibility across 2,000+ real browsers and devices. Test on: Did you know? Next If a feature you're looking for is not available on the site, you can vote to have it included. Better yet, if you've done the research you can even submit it yourself! You can import usage data from your Google Analytics account and
Samy Kamkar - evercookie - virtually irrevocable persistent cookies
October 11, 2010: Reported on the front page of the New York Times Find the latest details, code, and implementations on github @ https://github.com/samyk/evercookie DESCRIPTION evercookie is a javascript API available that produces extremely persistent cookies in a browser. Its goal is to identify a client even after they've removed standard cookies, Flash cookies (Local Shared Objects or LSOs),
JavascriptのMath.random()でユーザートラッキングができるという話 - kogelab::memo
表題の件について。 地味な話ですが、javascript（というかECMAの仕様）にあるMath.random()には、乱数のシードを与える方法が無いようです。 そんなわけで、われわれ一般市民は各ブラウザが独自に実装している、謎のシードで初期化された謎のアルゴリズムで作られた乱数を通常使うわけですが。 Mozillaからこんなの出てた。 曰く、Math.random()のシードによる初期化は、ブラウジングセッションごとに1度しか行われないと。 で、シードはまあ、かぶる率そんなに高くなさそうなので、そのシードをUSERの（擬似的な）ID代わりにしてしまえば、ユーザーのトラッキングができるよーん、とのこと。 はじめ読んだとき、「おおー、かっけー！」と思ったんですが、ちょっと待て。 シードって外から取れんのか。 というわけで、色々調べたところ、各ブラウザは（多分IEも）線形合同法による擬似乱数を
jQuery File Upload Demo
jQuery File Upload Demo File Upload widget with multiple file selection, drag&drop support, progress bars, validation and preview images, audio and video for jQuery. Supports cross-domain, chunked and resumable file uploads and client-side image resizing. Works with any server-side platform (PHP, Python, Ruby on Rails, Java, Node.js, Go etc.) that supports standard HTML form file uploads. Pintura
Khronos Press Releases - Khronos Details WebGL Initiative to Bring Hardware-Accelerated 3D Graphics to the Internet
Quick Links Japanese Translation (PDF) Media Contacts: For more information: Jonathan Hirshon, Principal, Horizon PR Email: .(JavaScript must be enabled to view this email address) Phone: +1 (408) 393-4900 JavaScript Binding to OpenGL ES 2.0 for Rich 3D Web Graphics without Browser Plugins; Wide industry Support from Major Browser Vendors including Google, Mozilla and Opera; Specification wil
米ヤフー、BrowserPlusを発表--グーグルの「Gears」に対抗
Googleが「Gears」プロジェクトを発表したのは1年前になる。米Yahooもまた、ブラウザ環境を改善したい意向だ。 Yahooは、「BrowserPlus」というソフトウェアを発表した。これは、ウェブアプリケーションをPC上でネイティブに稼動するプログラムに対するより良い代替物とすることを可能にする拡張という点ではGearsと同じような考え方である。現在、BrowserPlusは同社が運営するウェブサイトの一部でのみ利用することができる。 Yahooは、BrowserPlus向けのFAQページで「BrowserPlusは『ウェブを広げる』ことを意図したテクノロジである。開発者は、より刺激的なウェブアプリケーションを開発することができ、エンドユーザーはウェブブラウザ内でより多くのことができるようになる」と述べている。 「さまざまなウェブサイトがBrowserPlusを使い、デスクトップ
Two Hidden Features New in Firefox 3 — SitePoint
Firefox 3 Release Candidate 1 was revealed to the world last week, which means the final release is only about a month away. If you haven’t yet checked that your site works smoothly in the new browser, now’s the time! A few (understandably) angry Linux users aside, the consensus seems to be that Firefox 3 represents a huge leap forward for end-users. The browser is much faster, better looking, and
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
%26utm_content%3DGoogle%2BReader)
Redirecting…
IEに依存した Webアプリケーション セキュリティ