aki77のブックマーク - はてなブックマーク

jQuery 1.9 の $.parseHTML とかその辺 - ほむらちゃほむほむ
まえがき 2013/01/15 に jQuery 1.9 と 2.0 ベータがリリースされて，サポートブラウザがどうとか互換性がどうとかいうお話がちらほら出る中，jQuery 1.6.3 から続く jQuery('セレクタだと思ったら要素生成でこんにちはこんにちは') 問題への対応に一応の終止符が打たれたのでいろいろ書いてみる． ver 1.6.2 以前 jQuery の 1.6.2 までは $(String) としたとき，「String になんか（ HTML の）タグが入ってるっぽいぞ」と判断すると要素を生成し，そうじゃなければ CSS 的なセレクタとして振る舞うという機能がありました．大抵の場合，大きな問題はなかったのですけども，ユーザ入力からセレクタを組み立てるときに問題になりました．とくに '#' を含んだ文字列で ID セレクタとして振舞わせようとするのが典型的で，なかでも
aki77 2013/01/25
jquery

security
リンク
本当のログインフォームと向き合え(て）ますか - ほむらちゃほむほむ
どのページからでも，ログインフォームがオーバーレイで表示されてログイン出来る UI は本当に必要なのかという疑問．専用ページの場合そのページ（とフォームの送信先）を SSL にするだけですむ XSS の心配も限られた要素だけですむそもそも JS 無しに出来てDOMXSS を気にしなくてすむ JS無し，CSS 無しの人でも使えるどこでもログインの場合フォームの送信先はもちろんのこと，ログインフォームを置くすべてのページで SSL 化すると面倒ページ表示用のあらゆる要素もXSS の心配する必要 JS 使いまくりの場合DOMXSSの心配も必要 JS 無し，CSS 無しの人でも使えるようにするのが面倒とデメリットのほうが先行してしまって，ログインのためのページ遷移の削減がそれほどメリットにならないなと．ところが，ユーザ側の視点からすると，そもそも別ページだろうとその場でだろうとフ
aki77 2012/08/13
security
リンク
XHR XSS の話． - ほむらちゃほむほむ
概要 CORS が「幾つかのブラウザの先行実装」の状況から「古いブラウザではサポートされない機能」に変わりつつある頃合いなので，XHR2 が XSS の起点になりますよってお話．そもそも XHR XSS って何よ簡単に言うとXHR2 による XSS のことのつもり．身近なところだと，jQuery Mobile がやらかしたり，大阪府警がやらかしたりした．具体例1 jQuery Mobile jQuery Mobile については，jQuery MobileのXSSについての解説で解説されるとおり．かいつまんで言うと，jQuery Mobile に location.hash の変更( hashchange イベント発火）時に，location.hash を URL とみなして読込んで，ページ内容を変更という機能があって，その読込先 URL にクロスドメインの制約がなかったので X
aki77 2012/03/16
javascript

security
リンク
swfobject.js がアレな話 - ほむらちゃほむほむ
もばいる全盛感のある世間的には今更，FLASH なんてどうでもいいし，swfobject.js 自体 2009年から更新されてないから，こんな古いものをと言われかねないような話ではあるものの，日本語での言及をあまり見てないし，つい先日もさる通信キャリアがトップページでやらかしてて多分知られてないんだろうなと思ったので書こうと思った次第． swfobject.js とは何かこの記事の対象読者にとっては説明するまでもない話とはおもうけど一応前置きとして説明しておくと，swfobject.js は FLASH を web ページに埋め込むための JavaScript のライブラリ．クロスブラウザ対応してたり，面倒な HTML-tag のお作法を覚えなくても良くなったりとでデファクトスタンダードな感じのモノ．2007年とちょい古いがリクルートMTL の SWFObject v2.0 ドキュメント
aki77 2012/01/12
flash

javascript

security
リンク
1