devsumi2009 : 「Webアプリケーション／Ajaxセキュリティ徹底バトル」: Turtle日記 Annex

ソフトウェア技術系を中心に掲載していきます。最近は自分の情報Indexと化しているかも。フリーコメントは「コメント＆足あとBox」カテゴリー記事にて歓迎します。 Developers Summit 2009 「Webアプリケーション／Ajaxセキュリティ徹底バトル」 Webアプリケーションの攻撃側と防御側（運用側）に別れてのパネルディスカッション。なかなか楽しく、かつ有意義な内容でした。 私が個人的に気になったことを列挙しておきます。 １．JSONの”脆弱性（？）” Bugと仕様が混在している微妙な問題。 GoogleはAd-hocな対応をしたが、ちゃんとした対策をするべきだったと思う。 対策はサーバ側で行うべき（クライアント側だけでは解決しない）。 例えば POSTのみ許可する XHR(XmlHttpRequest)のリクエストヘッダに固有の情報をセットする レスポンスヘッダのchars

[TAKESAKO]

ご質問ありがとうございました→【ディスカッションの流れでは「開発者がちゃんと設計／実装すべき」となっていたが、最近のEoD（Ease of Development)とは相容れないのか？】

[mi1kman]

ですよね〜、バグではなく脆弱性と言われると途端に目が曇ってしまう人が...>「そもそもXSSってバグでしょ！！技術者として直さないなんてありえない。」