Ajaxのセキュリティ――悪用防止の5つの対策

グーグルのGmailは最近、Ajax（Asynchronous JavaScript and XML）の可能性をめぐってWeb開発者コミュニティーの間で関心を集めた。Ajaxは、ブラウザの機能を拡張するために組み合わせて用いられる技術セットであり、ユーザーとアプリケーションがコンテンツにアクセスし、それを共有、編集することを可能にする。このWeb開発手法は特に新しいものではないが、Web 2.0（次世代のWebサービス）の一部と見なされている。Ajaxはすべてのインターネットベースのサービスと同様、独自のセキュリティ問題を抱えている。Ajaxの仕組み、それを悪用する手口、そして攻撃を防ぐための対策をみることにしよう。 Ajaxの仕組み Ajaxアプリケーションは基本的に、ユーザーのマシン上で実行される。これらのアプリケーションは、Webページ全体をリロードしなくても済むように、ユーザーに意

[ockeghem]

肝心のXMLやJSONのエスケープについて説明されていない

[tsupo]

XMLHttpRequestのセキュリティモデルは、長期的にはWeb2.0アプリケーションで生き残れない → クロスサイト制約に嫌気がさして JSON や Flex ActionScript に移行してしまい、セキュリティが危うくなるという説