川o´-｀）＜jknd life - Re: 「Ajax + PHP」でRSSリーダーを作る : きまぐれ日記2『オンとオフの狭間』

GIGAZINEの記事経由で知った記事。RSSリーダ作成には興味があったため読んでみました。その内容については・・・よろしくないことが普通にかかれています。 件の記事で作ろうとしているものはRSSリーダーですが、Ajax―つまりWebブラウザ側―でRSSをどうにかする式のものです。 このたった一言で読者の50%には何となくイヤな予感がよぎっているのではないかと思ったりもします。 さて、先に書いたとおり記事にあるRSSリーダーはAjaxでサーバからRSSをとってくる仕組みです。しかしながら一般的にAjaxと呼ばれる技術で使うXMLHttpRequestなどは異なるドメインにアクセスすることをセキュリティ上の観点から許可していません。そうなるとWebブラウザベースのRSSリーダーとしては大変困るわけです。RSSを読みたいのに他のドメインのものを取得できないのでは。それではこういった場合どうする

[kiyo_hiko]

「$filename = $_GET['u'];」→「何がダメなのかわからないアナタは u パラメータに /etc/passwd とか ./rss-sample0.php とか指定してみればよいでしょう」

[pmint]

「世界の破滅」というのがすごいな。昔はこんな人がIT技術系には多かった。プログラムが止まる程度のバグで「危険なプログラム」と表現したり。それを読んで「確かに危険ですね」とか。さすがにもう無いだろうけど。

[ghostbass]

file()にurlパラメータそのまま使うなって話

[denken]

AjaxにはAjaxの活躍できる分野があり、専門外のことを無理やりやろうとすると悲劇が待っているという話につながる。

[kno]

関連

[twainy]

これはやばい

[yugui]

当然の如く/etc/passwdを読まれた話。

[tsupo]

一つのエントリとなっている以上誰かが参考にして似たようなスクリプトが量産 → してそうですね