ysk-style memo: ブログサービスの XSS 脆弱性対策はいらない

http://deztec.jp/design/06/02/05_xss.html 面白い指摘。そういう視点もあるか。 でも、はてなの方針としては「そういうのがやりたい人は他でやってくれ」って感じなんだろうね。 他のblogサービス見てても、一長一短でどれがどういう特徴あるのか分からないよね。それに対して、はてなは「はてなっぽさ」を出すことで他のblogサービスとは違う特徴をうまく出してる。他のblogサービスとは明らかにちがうじゃない？それがはてなユーザーを取り込むことに成功してると思うんだ。もちろん、私も取り込まれた一人ね。 性善説に頼るのが現実的かどうかはさておき、面白い視点でみてるなーって思った。 技術的な見地から、ひとつ突っ込んでみる。 ていうか、レンタルサーバサービスの類が XSS 脆弱性を気にしていたなんて話は聞かないのに、なんでブログサービスとなると、気にする会社が出てくる

[koyhoge]

管理用ドメインを分離することで、一般ドメインのXSSでcookie抜かれてもなりすましはできない。なるほど。

[facet]

それでJavaScriptがダメなのか。

[tsupo]

はてなは「はてなっぽさ」を出すことで他のblogサービスとは違う特徴をうまく出してる。他のblogサービスとは明らかにちがう / XSSの脅威が他のblogサービスに比べて著しく高いからscriptを許可できない、という事情