機密情報にJSONPでアクセスするな
2007年6月7日 はてなブックマークのコメントをうけて、「常にJSONP、JSON、JavaScriptに機密事項を含めないように」という主張を改め、「クロスドメインアクセスの対策をとっていない状態ではJSONP、JSON、JavaScriptに機密事項を含めないように」という主張に関して記述しました。 こんにちは、SEの進地です。 今回から週単位でWebアプリケーションのセキュリティに関するエントリーを書いていこうと思います。 僕自身、日々勉強して精進というところですので、もし何らかの誤りがあれば是非ご指摘ください。 つっこみ大歓迎です。 今回取り上げるのはWeb 2.0なアプリケーションでセキュリティ面で気をつけるべきことの一つ、機密情報にJSONPでアクセスするなです。 JSON(JavaScript Object Notation)はJavaScript(ECMAScript)の
holidays-l - JSONScriptRequest.js：XMLHttpRequestの代わりにscript要素を使って通信するライブラリ
JSONPコールの際、グローバルな関数を用意してその名前を渡さなきゃいけないのはいけてないな〜と思ってXMLHttpRequestを真似して作ってみた。 ちょっと長いので、ソースは貼らずにダウンロードリンクを置いておきます。つJSONScriptRequest-0.01.tar.gz JSONScriptRequest-0.02[Ajax][JSON][API] - ヒルズで働く@robarioの技ログJSANに上げました。 SYNOPSISはこんな感じ。 var req = new JSONScriptRequest(); req.open('GET', 'http://www.example.com/jsonapi'); req.onreadystatechange = function() { if (req.readyState == 4) { console.info(req.r
JKL.Dumper - JSONデータダンプクラス
JSON形式テキストに変数の内容をダンプするクラスです。 JavaScript の開発時にデータ構造を確認するのに使えます。 JavaScript ソースのダウンロードはこちら： jkl-dumper.js （右クリックして［対象をファイルに保存］を選択） Internet Explorer 6.0、Firefox 1.0、Opera 8.0 で動作確認済です。 サンプルソース var data = { string: "string", array: [ 1, 2, 3 ], hash: { key1: "value1", key2: "value2" }, data1: null, data2: true, data3: false }; var dumper = new JKL.Dumper(); // Dumperオブジェクトを生成 document.write( dumper.d
javascript - 任意のはてブをその場で表示 : 404 Blog Not Found
2006年09月28日17:00 カテゴリLightweight Languages javascript - 任意のはてブをその場で表示 というわけで、お待ちかね。 404 Blog Not Found:javascript - prototype HateBJSON - 弾のコメント 秀作はあとで出るはずなので直しました。 考えかたは簡単で、「404 Blog Not Found:javascript - prototype HateBJSON」のparse_hatebjson()を以下のように書き換えるだけです。 なおここでは、dommaker.jsを使っています。 function parse_hatebjson(json){ var bm = json.bookmarks; if (! bm) return; var E = new DOMMaker(); // use http
404 Blog Not Found:javascript perl - yubin2jsonp
2006年09月24日16:00 カテゴリLightweight Languages javascript + perl - yubin2jsonp どうせなら、JSONPを使ってどこにでも設置できたらいいじゃんと思ったのでこんなのこさえました。 [Ajax] CGI不要の郵便番号→住所変換フォーム Kawa.net Blog /ウェブリブログ JavaScript のみで稼動するため、サーバサイドで稼動するCGIプログラムは不要です。こんな感じです。 〒(7けた) 都道府県 市区町村 町域以降 HTMLまで含めたsourceはこんな感じです。 <script> function Yubin2JSONP(root){ this.root = root; this.parse = function(yubin){ if (! yubin.match(/[0-9]{7}/) ) return
[鏡] 入門 JSON 3 -- JSONP とコールバック関数 -- 戯れ言
最近 JSONP というのが話題になっているようですので， ここで簡単に紹介します。 JSONP （JSON with Padding）というのは JSON のデータフォーマットにちょっとした記述を加えて JavaScript の関数として呼び出せるようにしたものです。 JSONP については以下の記事に簡単な説明があります。（多分この記事が初出だろうという話です） Remote JSON - JSONP 例えば以下のような JSON データがあるとします。 { "name" : "Yasuhiro ARAKAWA" } JSONP ではこのデータに記述を加えて JavaScript 関数のようにしたものです。 分かりにくいですね。 具体的にはこのように記述します。 callback( { "name" : "Yasuhiro ARAKAWA" } ); "callback" の部分は関数
![[鏡] 入門 JSON 3 -- JSONP とコールバック関数 -- 戯れ言](https://cdn-ak-scissors.b.st-hatena.com/image/square/b9403aeb9e428539e1bdb60550747807cd52d387/height=288;version=1;width=512/https%3A%2F%2Fbaldanders.info%2Fimages%2Fattention%2Fremark.jpg)
Using JSON with Yahoo! Web Services
Using JSON (JavaScript Object Notation) with Yahoo! Web Services JSON (JavaScript Object Notation) is a lightweight data format based on the object notation of the JavaScript language. It does not require JavaScript to read or write; it is easy to parse by any language and libraries and tools exist in many languages to handle JSON. For a complete description of JSON and its many uses, we sugges
from __future__ import * Remote JSON - JSONP
The browser security model dictates that XMLHttpRequest, frames, etc. must have the same domain in order to communicate. That's not a terrible idea, for security reasons, but it sure does make distributed (service oriented, mash-up, whatever it's called this week) web development suck. There are traditionally three solutions to solving this problem. Local proxy: Needs infrastructure (can't run a s
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Introducing JSON
JSON/簡単なテスト:基本