Chrome で保存したパスワードをウェブサイト側から利用する | tech - 氾濫原

Aliexpress を利用しているとサインイン時に自動的にログインする仕組みが導入されていることに気付く。知らない人のために説明すると、以下のような挙動をする。 ログインページにいくと「Google Smart Lock で保存したアカウントを使ってログイン」というブラウザのUIが表示される そのまま「ログイン」ボタンを押すと自動的にサイトにログインしてページ遷移する セッション切れのときに My Orders などにアクセスしようとすると、一度ログインページに遷移した後、自動的にログインして My Orders ページに遷移しなおす (ログイン済みになって見れるようになる) あまり他のサイトだと見ない挙動なので最初は驚いたけど、便利。 仕組み これは Credential Management API という仕組みを使うと実現できる。現状では Chrome しか対応していないようだ。G

[typex2]

JavaScript側からパスワードが読めてしまうとは。セキュリティ的に非常に危険。。

[hirorock]

aliexpressみたいなログインの実装について

[coppieee]

XSS対策のためにログイン画面は別ページにしてJSを使わないという実装があるから、その場合JSからパスワード読めたらセキュリティリスクは上がるよ

[yarumato]

“現状ではChromeだけ対応してるCredential Management APIでidとpasswordをJavaScriptで自動取得・自動ログイン。JSで取得できるのは怖いが、自動フィルインされたパスワードはAPI関係なくそもそもinput.valueでJSから読める”

[progrhyme]

パスワードを「入力」する時点でサイトを信用してないと無理ってことだよな。フォーム「送信」以前に

[bottomzlife]

このエントリによる評価もわからんではない。ただ、このAPIって「サイトに複数のアカウントを開設している場合」などのユーザー側からの見え方が複雑で、そこに陥穽があるんじゃなかろうか。流行らなそう

[hakobe932]

へ〜便利！