妄想プログラミング道 続・ホワイトリストとブラックリスト

早速、大垣さんと徳丸さんから前回のエントリに対するフォローをいただきました。 ・ホワイトリストとブラックリスト - Proactiveセキュリティ対策 vs. Reactiveセキュリティ対策 ・今こそXSS対策についてまとめよう お二人ともお忙しい中ありがとうございます。 私の感じていた疑問については徳丸さんが冒頭ですっきりと解決して下さいました。 ワイルドカードや正規表現を使用したブラック(ホワイト)リスト作成については別件で色々と考えている事があるので、それはまた別の機会に。 それにしても、本当にセキュリティを意識したWebアプリケーションの作成は面倒ですね。 『個人的に使っているものだから…』という理由で手を抜く事が許されないのがつくづく厄介です。 どこにもURLをリンクしていなくても、アクセス制御してなければ公開状態のわけで、つまり攻撃対象になってしまう可能性があるのですから。

[ockeghem]

言及どうも。『単にそれだけの用途ならBasic(Digest)認証しておけば十分という話かもしれませんけど』<Basic認証掛っていてもXSSの影響はあり得ますけど、個人で使っているアプリでXSS攻撃食らったら間抜けな話ですかねwww