ssig33.com - turbolinks で実際に攻撃する為に必要な事まだ厳密に検証した訳じゃない。 -> それなりにマジメに検証した & 背景をちょっとだけ勉強した 攻撃が成立する条件 オープンリダイレクタが設置されてる サイト内にユーザーが自由にリンク記述できる ブラウザーが IE IE 以外では same origin から cross origin へのリダイレクトが XHR 内で起きるとエラーになる どうもこの辺りの仕様がはっきりしていないので実装依存、という理解。 有用な参考文献 (1 年前の文献) 今日の Firefox では same origin から cross origin へのリダイレクトはプリフライト必要な場合にエラー Firefox にしろ Chrome にしろ Safari にしろ何もメッセージを言わずにエラーだけ吐きやがる リリース版 IE10 ではエラー起きません 正直 XHR 中で same origin から cross
