［さらに気になる］JSONの守り方

JSON評価時の危険性 受け取ったJSON文字列を、JavaScriptのオブジェクトとして扱うためにevalを使うと説明しましたが、万が一JSONデータ内に、攻撃者の仕組んだスクリプト相当の文字列が含まれていた場合、evalを使うとJavaScriptとしてそのまま実行してしまうため、大変危険です。 例えば、以下のようなJSONが生成されたとします。太字部分が攻撃者の用意したデータです。 これをそのままevalで評価すると、alert(document.cookie)も動作してしまいます。 対策としてはJSONによるXSS同様、文字列内の半角英数字以外をすべて\uXXXXの形式でエスケープすることなのですが、後述するXMLHttpRequest Level 2などを用い、クロスドメインで他者の用意したJSONを読み込んだ場合には、正しくエスケープされていることが保証されません。そのため、

[y_guriko]

スマホ開発でaccess-control-allow-originを許可する件で

[teppeis]

XMLHttpRequest Level 2, XDomainRequest, Access-Control-Allow-Origin

[yuiseki]

};alert(document.cookie);//

[mooz]

.htaccess などを使い Access-Control-Allow-Origin:xxx というヘッダを追加することで xxx からのアクセスを許可できる.

[hirsato]

#infotalk

[totttte]

( ･∀･)つ〃∩ ﾍｪｰﾍｪｰﾍｪｰ

[a666666]

Access-Control-Allow-Origin などについて