aki77のブックマーク - はてなブックマーク

aki77 id:aki77

ブックマーク / rubricks.hatenadiary.org (2)

AJAXリクエストでもCSRF対策のトークンを自動送信する方法 - Rubricks Project
前回の続きで、「request_forgery_protection」の問題点について。 GETリクエストをスルーしているため根本的にCSRF対策になっていない宣言したアクションだけにしか適用されないので開発者の宣言漏れの可能性がつきまとう FORMタグを使う部分は問題ないが、JavaScriptでAJAXリクエストを発行する時は自前でトークンを付け加えてあげないといけない２に関しては、所謂ブラックリスト方式かホワイトリスト方式かといった問題。 FWとして「CSRF対策済」と謳う以上はホワイトリスト形式にすべきなのではないかと思う。３は結構ネット上でも対応方法を記載されている方がちらほら見受けられる。具体的にどのような場面で問題になるかというと、 JavaScriptで直接 new Ajax.Updater() や new Ajax.Requext()を実行 InPlaceEdit
aki77 2008/08/06
prototype.js

ajax

security
リンク
autoRuby.jsをDISってみる - Rubricks Project
http://ceo.sourcelab.jp/archives/97 ちょうどRubricksのユーザやグループの読み仮名の仕様を見直している際にこの記事がホッテントリにあったので興味を持った。着眼点はとても素晴らしい。ギミックはありがちと謙遜されているが、自分は今までWEBアプリでは見たことがなかった。しかし、導入も視野に入れてコードを読んでみたらこれが実にいただけない。 1. 編集候補の切換時、平仮名を含む候補が出る度にカナが追加されていく 2. 名前用、カナ用のテキストボックスを各1つしか指定できないため複数設置が不可能 3. 設定のためにJSファイルを編集しなければならない 4. ライセンスが記述されていないので開発者としては使いにくい 5. グローバル領域の関数・変数で構成されているので変数名衝突の可能性が高い 6. タイマー流しっぱなし(その割にsetIntervalじゃなく
aki77 2008/07/07
javascript

library

form
リンク
1