JSONのエスケープをどこまでやるか問題 - 葉っぱ日記
Ajaxなアプリケーションにおいて、サーバからJSONを返す場合に、JSON自体はvalidであるにも関わらず、(IEの都合で)エスケープが不足していて脆弱性につながってる場合があるので、書いておきます。 発生するかもしれない脆弱性 JSONのエスケープが不足している場合に発生する可能性のある脆弱性は以下の通りです。 JSON内に含まれる機密情報の漏えい XSS それぞれの詳細については後述します。 開発側でやるべきこと 文字列中のUnicode文字は "\uXXXX" な形式にエスケープするとともに、ASCIIな範囲であっても「/」「<」「>」「+」も同様にエスケープすることにより、前述の脆弱性を防ぐことができます。 Perlであれば、以下のような感じになります。JSON->ascii(1) に続けて、JSON文字列を正規表現で置換しているあたりがキモになります。 use utf8; u
Firefox3のnightlyでサポートされたJSON.parseとJSON.stringify - 素人がプログラミングを勉強していたブログ
JSON.parseとJSON.stringifyがサポートされた。 これは、JSON in JavaScriptのネイティブ実装と言える。 これからWebサイトでJSONを使う時は、 <head> <script type="text/javascript"> if (typeof JSON != "object") document.write('<script type="text/javascript" src="http://www.json.org/json2.js"></script>'); // 実際にはローカルに落したものを使う </script> <script type="text/javascript"> // JSON.parseやJSON.stringifyを使う処理 </script> </head> とすると、クロスブラウザで、なおかつ最新のブラウザだとネイ
ECMAScript 5リリース
原文(投稿日：2009/12/09)へのリンク ECMAScript 5の仕様がが今週、リリースされた(pdf)。ECMAScriptは一般的にはJavaScript™として知られている。最新バージョンでは、基本ライブラリに改善が加えられている一方、一般的でありがちなコーディングミスを特定し、除去するためにより厳格なランタイムモードが導入された。 ECMAScript 4を合理化しようという初期の試みは大失敗に終わった。結局、Adobe社のActionScriptだけが提案された変更点に対応しただけだった。ECMAはバージョン4の仕様もリリースできなかった。バージョン4の仕様では、様々なグループの実装に悪影響を与えてしまうからだ。また、そのような問題がある限り、ブラウザもサポートできない。 ここ数年にわたって、JavaScriptのエンジンに大規模な改善が加えられた。例えば、NitroやT
WebKitでサポートされつつあるECMAScript5の新機能たち - 素人がプログラミングを勉強していたブログ
最近、WebKitにObject.defineProperty、Object.defineProperties、Object.getOwnPropertyDescriptor等、今まで間接的にしかいじれなかったり、JSからは設定することのできなかった内部プロパティを操作するためのメソッドが入った。現時点のWebKitに入っているECMAScript5の新しい機能をここにメモしておく。 const： const foo = "hello"; 定数を宣言するためのconst文。ただ、何故かfooに値を再代入できてしまう（？）ようだ。 Array#forEach、Array#some等： [1, 2, 3, 4].forEach(function (v, i) { alert(v + ", " + i); }); 今までfor文などを使って書いていた物を高階関数を使って抽象化したメソッド達。Ar
ECMAScript 5 新機能および変更点まとめ - JavaScript2 | エンタープライズ | マイコミジャーナル
John Resig - JavaScript, Programming, and Web Applications jQueryの開発者であるJohn Resig氏が自身のブログにおいて次の2つのドキュメントを公開した。ECMAScript 5における、とくに興味深い新機能がまとめられている。ECMAScript 5はECMAScript 3.1をベースにECMAScript 4からいくつかの機能を取り込んだ策定中の最新版。いわゆるJavaScript 2.0のベースになる規格となる。 ECMAScript 5 Objects and Properties ECMAScript 5 Strict Mode, JSON, and More ECMAScript 5に関する変更点はGoogleのMark S. Miller氏、Waldemar Horwat氏、Mike Samuel氏の発表資
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Microsoft Q&A
RFC 4627 The application/json Media Type for JavaScript Object Notation (JSON)
「ECMAScript 5」リリース 10年ぶりに仕様を改訂