Webサービスにおけるマイページの仕様とセキュリティ観点 - Flatt Security Blog
はじめに こんにちは。株式会社Flatt Security セキュリティエンジニアの石川です。 本稿では、ログイン機能をもつWebアプリケーションにおける実装上の注意を、マイページ機能から派生する機能のセキュリティ観点から記載していきます。特に、XSS（Cross-Site Scripting）やSQLインジェクションのような典型的な脆弱性と比較して語られることの少ない「仕様の脆弱性」にフォーカスしていきます。 これから述べる実装上の注意点は、実際にはマイページ機能であるかどうかに関係なく注意するべきです。 しかし、開発者の視点に立つと「これこれの機能にはどのようなセキュリティ観点があるか」という形が読みやすく、また他の機能の仕様のセキュリティを考える上で想像力を働かせやすいものになるのではないでしょうか。 また、株式会社Flatt Securityではお客様のプロダクトに脆弱性がないか専
Dropbox で直接表示できる画像の URL リンクを生成する - 元RX-7乗りの適当な日々
※ このエントリは、はてなグループ終了に伴う、サブブログからの引越エントリ(2019/01)です。 ※ 情報が古い可能性もありますので、ご留意ください。 Dropbox の Public フォルダに配置してある画像ファイルですが、いつの間にか Dropbox のサイト内で表示されるようになってしまっていたので、直接画像ファイルを表示（ダウンロード）できるリンクを作るためにはどうしたらいいのかという話。 まず、対象のファイルのリンクを取得する。 すると、以下のようなリンクが取得できる。 https://www.dropbox.com/s/xxxxxxxx/sample.png?dl=0このリンクを2箇所以下のように書き換える。 "www.dropbox.com" を "dl.dropboxusercontent.com" に書き換え "?dl=0" を削除 ↑の例を書き換えると以下のように感
Web APIのパラメーターはキャメルケース？スネークケース？
ブックマークサービスQiNeel関連の記事や身の回りのよしなしごとをそこはかとなく書きつくっています。 …という話を先日社内でしました。 https://example.com/api/search?user_id=1 https://example.com/api/search?userId=1 ↑どっちを使う？という話です。 個人的には、GET/PUT/POST含めて統一さえされていればどっちでもいいんですが、それで終わってはつまらないのでちょっと語ってみます。 もう一度いいますが、個人的にはぶっちゃけどっちでもいいです。 記法の種類 識別子の記法として考えられるのは、ざっとこんなかんじでしょうか。 lower_snake_case C/C++やPythonなどで使うことが多い C/C++では、フレームワークのネーミングルールがlowerCamelCaseになっている場合もあり UPP
Rison Playground
OLXSLOT: Site Game Daring Terpopuler dan Terbaru di Indonesia SELAMAT DATANG DI OLXSLOT : SITUS GAME ONLINE TERBAIK DAN TERPERCAYA DI INDONESIA. TOTO WUHAN. 5292. KAMIS 26/10/2023. HK SIANG. 2885. KAMIS 26/10/2023. SG METRO. 6770. OLXSLOT: Agen Bola | Slot Online | Bandar Togel Deposit Pulsa OLXSLOT situs bandar togel terpercaya yang sediakan game judi online terlengkap mulai judi bola, slot onlin
JSONをURIに埋め込んでも%地獄にならない「Rison」のススメ - Qiita
さくらのクラウドでバックエンドを担当しております、@townewgokgok と申します（記事はフロントエンド寄りの記事になります）。これは さくらインターネット Advent Calendar 2018 11日目の記事です。 JSONのように階層化された値をURLに埋め込みたいことってありませんか？ たとえば 価格.com の商品検索結果ページ のように、リンクを開いたら検索フォームの内容が復元されて、URLのコピー時に見ていたものがそのまま表示されて欲しい。 これを実現するには、従来なら文字列のキーバリューとしてごく一般的な application/x-www-form-urlencoded 形式でURLにパラメータを埋め込むところです（上記の価格.comの例でもやはりそうなっています）。ただ、そこそこ複雑な検索フォームの値をいちいちこの形式にまとめたり復元したりするのはわりと面倒です
nginx、怖いリバースプロキシの話(正規表現のキャプチャがURIデコードされて困った件) - Qiita
どういうことかというと、nginxのlocationディレクティブにおける正規表現のキャプチャは、uriデコードされたものがキャプチャされてしまうのです。 なので、もし http://example.com/api/hoge%20hoge こういうURIエンコード済みのURIだった場合、 "http://example.com:8000/hoge hoge" こんな空白入りのURIになってしまい、502 Bad Requestとかで死にます。 それを阻止するには、デコード前の状態をキャプチャしないとダメで、それを行うにはrewriteディレクティブを使います。 これは、公式ドキュメントにも書いてあります。 http://nginx.org/en/docs/http/ngx_http_proxy_module.html#proxy_pass If the proxy_pass directi
【報告】ポケモンGOマップの大量のURLスキームが意図的であると思わせる事実 - もう一人のY君
基本的に"疑惑"程度では簡単に信じない質ですが, 調べるうちに確信へと変わってしまいました. これはもう意図的と考えたくもなりますよ. ポケモンGO マップ - リアルタイムでポケモンを探そう！ Pokemon GO Map ユーティリティ 無料 ※価格は記事執筆時のものです. 現在の価格はApp Storeから確認ください. [Contents] ポケモンGO マップのデベロッパーがフリマアプリもリリースしている事実 今回のフリマアプリのURLスキームはどうか デベロッパの状況 App Storeの公式サイト たまたま似ているだけ？ Imaggleの現在 公式サイト 公式Twitter 誰が関わっているか 〆 追記 2016.08.21 16:00 追記2 thetheorier.hatenablog.com 今朝, ポケモンGOのサポートアプリである「ポケモンGO マップ」の異常な数の
「ポケモンGOマップ」アプリがモンストが開くはずのURLスキームを乗っ取り全画面広告に転送してくるので注意
ポケモンの出現位置をリアルタイムで表示する地図アプリ「ポケモンGO マップ - リアルタイムでポケモンを探そう！」が人気で、AppStoreの無料総合ランキング上位に位置しています。 しかし、このアプリについて、「モンストマルチ掲示板が乗っ取られる」「モンストマルチのLINE募集機能が使えなくなる」などとレビューされています。 これは一体どういうことなのか。実際に試してみたので、その問題やカラクリを紹介します。 早い話、「モンスト」アプリが起動するためのURLを開くと、なぜか「ポケモンGOマップ」アプリが代わりに開いて「全画面広告」を表示してくる、しかもポケモンGOマップのせいだと気が付きにくい仕組み＆結果モンストが正しく動作しない、そんな現象が、ポケモンGOマップをインストールしたユーザーに発生しています。 目次 1. 「ポケモンGO マップ」が人気2. 「モンストが使えなくなる」等の謎
URIに使ってよい文字の話 - RFC2396 と RFC3986 - 本当は怖いHPC
POSTするデータを、（プレビューのために）javascriptでGETアクセスするような処理を書いていてハマった話。 発端は、textareaに'（シングルクオートまたはアポストロフィー）が入ると、Railsがそこから先のパラメーターを無視しちゃうっていうこと。いろいろ調べた結果、以下のことがわかった（Railsのバージョンは2.0.2）。 URIを定義する２つのRFC URIの構文はRFCで定義されている。これには2つあって、従来のRFC2396（1998年発行）と、RFC3986（2005年発行）だ。 RFC3986によれば、 This document obsoletes [RFC2396], which merged "Uniform Resource Locators" [RFC1738] and "Relative Uniform Resource Locators" [RF
パーマリンクの限界 : けんすう日記
パーマリンクは限界だと思う パーマリンク(Permalink)というものがあります。これが最近、限界に来ていると思っているのですね。 日本語に直すと固定リンクという意味です。つまり、変わらないURLのことですね。ブログブームの時に一般的に拡大しました。 何かというと、ニュースサイトとか、ブログなどで、このURLに行けばいつも同じ情報が見れるよね、という感じです。 検索エンジンやSNSが普及したことで、人を呼ぶにはパーマリンクで常に固定のURLにしておくほうがいいよね、というのが今では一般的です。 それまでも、個人ニュースサイトではトップページがメインで、そこにどんどん情報が追加されてきて、そこから消えていくという形はよくあったのですが、Googleが出てきて、SEOが重要になり、MovableTypeとかのPermalinkが標準のブログツールが流行し、はてなブックマークやTwitterな
QiitaのURL構造が変更され、エゴサーチしやすくなりました - Qiita Blog
привет! (ロシア語でこんにちは） 梅雨で癖っ毛に磨きがかかっている yuku_t です。 さて、昨日Qiitaの各ユーザページと投稿ページのURLが変更されました。 まずユーザページは下記の様に ‘/users’ が無くなりました。セクシーですね！ （旧）http://qiita.com/users/yuku_t（新）http://qiita.com/yuku_t次に投稿ページのURLに投稿者のユーザ名が含まれるようになりました。エレガントですね！ （旧）http://qiita.com/items/40b7daf018d3dab48974（新）http://qiita.com/yuku_t/items/40b7daf018d3dab48974この結果ユーザ名によるエゴサーチ（自分で自分のことを検索すること）でQiitaがより引っ掛かりやすくなりました。 また、各投稿の投稿者に対す
Web API 設計のベストプラクティス集 "Web API Design - Crafting Interfaces that Developers Love" - フリーフォーム フリークアウト
移転しました http://please-sleep.cou929.nu/20130121.html
Home - domain expired
This Domain is NOT Suspended Anymore This domain has all already been restored and not Suspended anymore. If you are the registrant of the domain please update your nameservers so it resolves to your site. Este Dominio Ya NO Esta Suspendido Este dominio ya fue restaurado y no está suspendido. Si usted es el titular por favor actualice los nameservers para que resuelva a su página.
iOS版『Google Maps』の経路検索をランチャーから起動させるURLスキーム | NANOKAMO BLOG
どうも@kuroji1987です。 僕の大好きなランチャーアプリLaunch Center Proをいじっていたところ、iOS版『Google Maps』のURLスキームが大量に追加されていたのを発見いたしました。 Google Maps カテゴリ: ナビゲーション 価格: 無料 それはもう大量に追加されていましたので、その中から経路検索を起動させるURLスキームを共有したいと思います。別アプリでも便利に使えますよ！ 1.現在地から指定場所までの経路検索 まずはオーソドックスな「現在地から指定場所までの経路検索を実現するURLスキーム」から。自動車、公共交通機関、徒歩それぞれありました。以下を記述すればオーケーです。 自動車 comgooglemaps://?saddr=&daddr=検索語入力&directionsmode=driving 公共交通機関 comgooglemaps://
URLに関する議論 -- なぜ僕はクエリパラメータを擁護、ときに推奨するのか - 檜山正幸のキマイラ飼育記 (はてなBlog)
一時期（2010年の1月頃）、URLの議論をしていて、僕は拡張子を含むURLやクエリパラメータを擁護していました。 そろそろ決着、HTTPメソッド、URL、そして標準化された動詞 RESTfulなWebサイトと拡張子を含むURLについて 最近、またURLの問題を考えてみたのですが、僕が拘っているのは次の2点なのだと気付きました。 すべてのURLを列挙したい。 すべてのURLを分類したい。 すべてのURLを列挙したい あるWebサイトやWebアプリケーション（以下、総称してWebシステム）を考えたとき、有効なURLを完全に列挙したいのです。ここでの「URL」は、正確に言えばクエリパラメータを含まないパス部分のことです。もちろん、有効なURLは時々刻々と変化します。でも、ある一時点を取れば、その時点におけるURLは確定するはずです。各時点ごとのURLの集合を100%把握したいのです。 列挙する
はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知
はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
荷物の追跡をURLで調べる方法 | Nissan March Blog
URLがなにかおかしい……「Google Chrome 69」に加えられたある小さな変更が話題に／アドレスバーに“些細なサブドメイン”が表示されないように【やじうまの杜】
Akari Link Shortener
IDEA * IDEA
