Kazuho@Cybozu Labs: クロスサイトのセキュリティモデル

« Japanize - IE 系の User JavaScript エンジンに対応しました | メイン | 安全な JSON, 危険な JSON (Cross-site Including?) » 2007年01月04日 クロスサイトのセキュリティモデル あけましておめでとうございます。 昨年、社内で「XMLHttpRequest は何故クロスサイトで使えないのか。画像や SCRIPT タグは使えるのに」という疑問 (というより試問) を耳にしました。おもしろい話なのでブログネタにしようと思っていたのですが、新年早々 GMAIL の事例がスラッシュドットされていたので、自分の現時点での理解をまとめてみることにしました。文書を確認して書いているわけではないので、間違いがあれば指摘してください。また、よい参考文献をご存知の方がいらっしゃいましたら、教えていただければ幸いです。 ウェブブラウザ

[takami_hiroki]

XMLHttpRequest ではサーバの任意のデータをスクリプトで処理できるので、クロスサイトのアクセス制限が必要である。

[proto_jp]

XMLHttpRequest ではサーバの任意のデータをスクリプトで処理できるので、クロスサイトのアクセス制限が必要である。IMG タグについては、スクリプトから画像データにアクセスできないため、クロスサイトでの参照を許可す

[webmarksjp]

ajax

[GegegeMokeke]

これがブラウザの限界

[shinichitomita]

「JSON については、JavaScript として文法違反であるがゆえに、秘密情報を含むデータフォーマットとして使用することができるのです」

[kmachu]

「質問への答え」の要約が素晴らしい。

[nilab]

Kazuho@Cybozu Labs: クロスサイトのセキュリティモデル

[miya2000]

わかってる人にしかわからない文章に見える。「それUNI」みたいに脆弱性(禁止されないとどうなるか)の具体例があるとわかりやすいかも。/JSONPでなくJSONなら<script src=..しても変数に入れられないからデータ見れない、か。

[infohack]

クロスサイトのアクセス制限

[koyhoge]

セキュリティを考慮すれば、クロスサイトのスクリプトからはDOMをread onlyにするべきだと思う。

[kazuhooku]

↓ごめんなさい修正しました。正解は、 s/文法違反である/副作用をもたない/ ということでいいでしょうか？

[tsupo]

JSON については、JavaScript として文法違反であるがゆえに、秘密情報を含むデータフォーマットとして使用することができる ← これはうそだと思う

[wacky]

Webアプリケーションがクライアントへ返す内容に秘密情報を含めても良い場所／悪い場所。

[hiro_y]

XMLHttpRequest は何故クロスサイトで使えないのか。

[amachang]

クロスサイトのセキュリティ

[teahut]

>FRAME/IFRAME: クロスサイトDOM操作を禁止, IMG: スクリプトから画像データにアクセスできない(幅と高さは例外), CSS/SCRIPT: 制限なし, XMLHttpRequest: クロスサイトのリクエストを発行できない. CSS/SCRIPTに秘密情報を含めてはならない