なぜGoogleはJSONの先頭に while(1); をつけるのか - Qiita

while(1);[['u',[['smsSentFlag','false'],['hideInvitations','false'],['remindOnRespondedEventsOnly','true'],['hideInvitations_remindOnRespondedEventsOnly','false_true'],['Calendar ID stripped for privacy','false'],['smsVerifiedFlag','true']]]] これ以外にもGoogleのサービスでは &&&START&&& とか while(1); &&&START&&& てのが先頭に入ってたりするんだけど、これは一体何？ 解答 これはクロスサイト・リクエスト・フォージェリ対策。 例えばGoogleが gmail.com/json?action=inbox というURL

[teramako]

なるほど。とは思ったけど、どうみてもJSONじゃないねコレ（シングルクォートだし） // そもそもCookieだけでプライベートなJSONを吐き出し、あまつさえJSONP許可とかいうのが脆弱性の素なんじゃ...

[tuki0918]

なるほど、わからん

[sakuragaoka]

うーん。バッドノウハウぽいよ。

[t_43z]

合わせて読みたい http://d.hatena.ne.jp/hasegawayosuke/20130206/p1

[kenjou]

節子、これjsonと違う、ただの配列や。

[nanakoso]

例外投げさせるよりスクリプトフリーズさせた方が安全だとか？（まさか攻撃者へいやがらせ？）＞なぜ無限ループ

[cos31]

納得した

[typista]

ぽけったー なぜGoogleはJSONの先頭に while(1); をつけるのか / なぜGoogleはJSONの先頭に while(1); をつけるのか

[lepton9]

csrf

[machupicchubeta]

cross site request forgeries

[gabuchan]

へーーー

[iR3]

なるほど

[bigchu]

json / for(;;); while(1);

[OfficeRiverHead]

｜クロスサイト・リクエスト・フォージェリ対策｜

[valinst]

これバッドノウハウなんだ？

[cats_nukui]

へー

[kero_mi_chan]

へー

[TakayukiN627]

「CSRF対策」というよりは「JSON hijacking対策」という方が適切。

[elf]

ほうほう．なるほどー

[warriorking]

なぜGoogleはJSONの先頭に while(1); をつけるのか #JavaScript #HTML #Ajax #StackOverflow - Qiita

[miyanavi]

[セ

[hirata_yasuyuki]

Browsing: "なぜGoogleはJSONの先頭に while(1); をつけるのか #JavaScript #HTML #Ajax #StackOverflow - Qiita"

[naga_sawa]

scriptタグを使ったCSRF防止策として、エラーになる文字列を応答に追加しておく作戦

[norisuke3]

[json[

[nakunaru]

"「CSRF対策」というよりは「JSON hijacking対策」という方が適切。"

[hamichamp]

そうなんだ！

[shige0501]

深いなぁ。この辺の知識は実践がないと身につかないものだから、勉強になる。

[iww]

はーすごいなー

[mystandard_dev]

なるほど

[ofsilvers]

CSRF対策かー

[masa-wo]

CSRF対策だったのか。なるほど。

[craftone]

へ～

[niku_uchi]

CSRF対策。