ウェブサービスAPIにおける『成りすまし問題』に関する一考察

先週の末に、はてなのウェブ・サービスAPIを使ったMash-upアプリをFlash上で作り始めていきなりつまずいたのが、Cross-Domainセキュリティ。satoshi.blogs.comから取得したswfファイル上のActionScriptからb.hatena.ne.jp下にあるRSSフィードだとかXML-RPCにアクセスができないのだ。 「確か方法があったはず」と調べてみると、はてな側がサーバーにcrossdomain.xmlというファイルを置いて明示的にCross-Domainアクセスを許可していなければならない、という。そこで見つけたのが、「Flashから各APIの操作、データのロードができるよう、サーバ上に「crossdomain.xml」というポリシーファイルの設置をお願いしたい。」というはてなアイデアへのリクエスト。2006年の2月にリクエストが出されているのだが、11月

[webmarksjp]

security

[dealforest]

クロスドメインについて

[abe_hn]

ウェブサービスAPIは、サービスと別ドメインで提供すべし、か。もうすこし深堀りしてきちんと理解する必要あり。

[lesamoureuses]

＞具体的には、現在b.hatena.ne.jp/xmlrpcという（ブラウザーがクッキーを送ってしまう）URIを通して提供しているウェブ・サービス APIを、b.hatena-api.ne.jpのような全く別のドメイン上で提供する

[ono_matope]

冴えたやり方

[hamasta]

セキュリティにも専門担当が必要なんだな、、、

[KoshianX]

なるほど、自分でやるときは考えてみよう。

[otsune]

flickrがcrossdomain.xmlをapi.flickr.comに移動した理由はセキュリティ対策。今時はAPIじゃね？あと http://www.crossdomainxml.org/ 見ると自社サービスばかりだな

[mlhshino]

Cross domain アクセスの問題点。

[mi1kman]

ウェブアプリ等を開発する立場の人たちは，やはりクロスドメインの制限ってうざいものなのだろうか．

[tsupo]

crossdomain.xml

[onk]

なるほど，納得．

[mainyaa]

hatena.co.jpにcrossdomain.xml を置いて貰えないなら、別のドメインにAPIを分けて、そこにcrossdomain.xml を置くのはどうかという主張。

[rsyudou]

へぇ全然知らない問題だった。

[denken]

なるほｄｐ

[clayfish]

はてなAPIとクロスサイトスクリプティング

[HolyGrail]

1票投じます！

[cocolon]

一票！！！

[nitoyon]

同感。米Yahoo! は *.yahooapis.com というドメインに crossdomain.xml を設置している（例：http://search.yahooapis.com/crossdomain.xml）。はてなも負けないで対応してほすぃ。