ソーシャルディスタンスなどと称してユーザー名や文章にスペースを挟む行為についての苦情を読んで考えたこと - 午前2時の正夢
元ネタ 生活と意見: ソーシャルディスタンスなどと称してユーザー名や文章にスペースを挟む行為についての苦情 これを読んで色々と考えたことがあった。 特に自分が広告代理店に勤務しているがあるべき抑止力になれなかったというのが大きい。 webサービスを開発しているわけでアクセシビリティとは無縁ではいられない。 多少なりともアクセシビリティに関わるなら社内でこういった企画が出たときに止めないといけないなと思った。 本来はこういう可燃性の高い話題は触れたくないが、明らかに無知とそれを許容した無教養が今後も出てくると思い、それらをせめて自分の組織においては抑止したいとおもう。 デジタルエージェンシーと”バズ”の功罪 小難しい見出しをつけたが承認やイメージアップといったものに踊らされて判断を誤ったのだとしか言いようがない。 近年SNSを使ったブランドイメージ構築が盛んだ。 シャープさんのような中の人運
パスワードを忘れないようにブログに書いておく。 - ぬぬろぐ
セキュリティの問題で今まで躊躇してたMoneyForward をついに始めた。 せめてものリスクを最小化するために、MFと銀行口座のパスワードを、推測できないランダムな文字列にすることにした。 しかしながら、Webサイトごとに異なるランダムな文字列を全て覚えるのは現実的ではないため、パスワードマネージャを用いる必要がある。 主なパスワードマネージャには、次のような物がある: ローカルのパスワードマネージャ (例: Mac の KeyChain など) クラウドのパスワードマネージャ (例: 1Password など) 1 は、他のデバイスとパスワードが共有できないため、不便である。 2は、クラウドにパスワードを預けることはやはり漏洩のリスクが伴うし、クラウドサーバーが落ちるとログインできなくなってしまうおそれがあるなど、 自分の手の届かないところが単一障害点となってしまうことが問題である。
Masato Kinugawa Security Blog: ユーザ入力を使った正規表現から生じるDOM based XSS
お久しぶりです＆あけましておめでとうございます。昨年はブログを書く時間をうまく作ることができず、あまり記事を書けませんでした。今年はできるだけ月に1回程度何か書いていきたいと思っています。今年もよろしくお願いします！ さて、ブログを書かなかった間にXSSからSQLインジェクションへ興味が移った、なんてことはありませんでしたので、今日もいつも通り大好きなXSSの話をしたいと思います！ 最近、正規表現にユーザ入力を使っていることに起因するDOM based XSSに連続して遭遇しました。あまり見慣れていない注意が必要な問題だと思うので、この記事では、見つけたもの2つがどのように生じたか、また、問題を起こさないためにどうすればよいかを紹介します。 そのうちの1つはLINEのBug Bounty Programを通じて報告した問題です。 賞金と、"LINE SECURITY BUG BOUNTY"
Proxy "it": アローすら面倒な怠惰JavaScripterのための遅延評価 - Qiita
//Proxyでこれが data.map(row => row.values.split(',').map(col => col.trim()).map(parseFloat)[2]); //こうなる data.map(it.values.split(',').map(it.trim()).map(parseFloat)[2]); ※ Proxyを用いてオブジェクトのメソッド・プロパティの評価を遅延させる話です。関数型言語のような引数の「遅延評価」の話ではありません。知人から指摘を受けたので、一部記述を改めました。 はじめに 何をしたいのか JavaScriptを書いていると、コールバック的な関数利用でプロパティ参照/メソッド呼出をする場合など、引数の定義と参照で2度同じ変数名を書かなければいけないことが多々あります。 // 例1 カンマ区切りのテキストデータを2次元配列にする text.
Z̩̮̜͉̣͎͉̤͇͂̇͊̇̅̚ͅa̠͌̔l̨̢̞̘͉̟̰̱̭̜͍̙̣̬̂̿̌̐̾̾͂̍̽̓̓̇̄g̨̢̡̢̛͍̪̠̠̹̜̪̘̱͌̆̒̅̐ỏ̡̱̞̣̖̦̰̙͊́̋́̃̂̓̍̃ - Qiita
Z̩̮̜͉̣͎͉̤͇͂̇͊̇̅̚ͅa̠͌̔l̨̢̞̘͉̟̰̱̭̜͍̙̣̬̂̿̌̐̾̾͂̍̽̓̓̇̄g̨̢̡̢̛͍̪̠̠̹̜̪̘̱͌̆̒̅̐ỏ̡̱̞̣̖̦̰̙͊́̋́̃̂̓̍̃JavaScriptワンライナーes6Zalgo T̡̨͈͇̟̼̱̤̹̠́͆̂̋̂̀̄̋́̚ö̴̮̬̙͎͈̳̯́̈́̄̿̔̿͌̀̈́̀̊͊͊̌̈̓̕ͅ i̷̢̛̖͈̗̇n̶̝͂̂̂v̸̹͈͍̮̰̺̰̯̬̀̋̎̃̅́̓o̸̢͈̪͍̦̫̬̪̬̞̫̗̅̑͊́̓͋̕̚k͉̣͆̄e̷̶̡̳̤̤͇̠̤̼̭̠̭͈̻͆̃́̒̂̊̇̂ ẗ̵̢̢̛͉̪͈̪̥̞̣̪̙́̈́̓̃̂̆̀h̨̗̻̰̱̳̅͂̎̇̽̃e̷̴̶̛̬̦̮̜̾̂̃͂̐̌̈́̄̾̈́̄̀̚̕ h͍̘̙̠̯̜̫̙̙̜̥͉̝̋͌̌́͋̽͋̉̂̊̄i̶̡̢̧̧̨̛̯̬̤̭͇͂́̏͂̐̋̈́̎̍̋̀̐̕v̸̡̢̛̤̫͇̹̱̗̮̻͈̳̄͆̓̄̾̀̋̀́̕ȩ͍̹͂-m̴̶̳̖̼̟̅̓ĭ̴̠̙
Arduino Leonardo(Pro Micro)のHID（キーボード）機能を使う（ショートカットキー実行，コマンド実行） - Qiita
Arduino Leonardo(Pro Micro)のHID（キーボード）機能を使う（ショートカットキー実行，コマンド実行）ArduinoKeyboardLeonardoHIDProMicro はじめに Arduino LeonardoはPCなどとUSB接続したとき，自身をHIDとして認識させる機能が標準で備わっている．HID（ヒューマン・インターフェイス・デバイス）とはUSB接続のキーボードやマウス，ゲームパッドのような入出力装置だと思っておけば差し支えない． つまりArduinoによって任意の文字列をPCに打ち込んだり，マウスのスクロール操作を行ったりということが可能になる． この記事では特にキーボードとして動作させる． 参考リンク： Arduino Mouse and Keyboard libraries : https://www.arduino.cc/en/Reference/
AngularJSのsandbox - Qiita
脆弱性"&'<<>\ Advent Calendar 2016 2日目の記事です。枠がたくさん空いているのでエントリーをお待ちしております。 まとめ AngularJSのテンプレートには（例えHTMLエスケープをしていても）信用できない文字列を出力してはいけない。 AngularJSとは 使ったことはないので、この節の説明は怪しい。 Google製のMVW（Model-View-Whatever（？））フレームワーク。ウェブアプリで「表示」の部分を作るのに使う。あるデータを表示するとき、例えばjQueryならば、データが変更されたときにDOMを書き換えてデータを出力するという処理を書く。私の意図は、「このデータはここに表示する」ということであって、データが変更される場所ごとに出力を変更する処理を書くのはとても面倒。出力するだけならばまだ良いけど、HTMLの<input>などで、逆にDOMが
技術面接で出された問題 - ESM アジャイル事業部 開発者ブログ
9月に中途で入社した@wat-aroです． 前職はプログミングと全く関係のない仕事でしたが，プログラムを書く仕事がしたくて退職しました． 退職してからはまず基礎を身につけようとSICPを読み，ほとんどの問題を解き終わったのでFjrodのリモートインターンに参加して勉強していました． 今日は永和システムマネジメントの技術面接で出されたアルゴリズムの問題を紹介しようと思います． 出された問題はアナグラムの判定です． アナグラムとは文字列の順番を入れかえて，別の文字列になっているものです． eros と rose は文字の順番を入れ替えているだけなのでアナグラムです． eros と lose は文字を入れ替えただけでは一致しないのでアナグラムではありません． これを判定するコードを書きます． 面接ではRubyで書くのが難しければ疑似コードでもいいし，口頭でアルゴリズムを説明するだけでもいいと言わ
PHP7調査(39) strposやstrstrに高速っぽい実装が入ったけど実は遅いのでは疑惑 - Qiita
（2016/7/26 9:15）タイトルを変更して所感などを追記しました PHPのソースコードを眺めていたところ、PHP7からstrposやstrstrの内部実装が変更されており、高速「っぽい」文字列マッチングアルゴリズムが導入されていることに気づきました。 具体的には、Zend/zend_operators.hにあるzend_memnstrの実装が変更されており、検索文字列が3バイト以上かつ検索対象の文字列が1024バイト以上の場合にSunday algorithmで文字列マッチングを行います。 Sunday algorithmとは アルゴリズムの教科書にも出てくる文字列マッチングアルゴリズムとしてBM法（Boyer-Moore algorithm）がありますが、Sunday algorithmはBM法の派生アルゴリズムの一つです。 Sunday algorithm このアルゴリズムの概
left-padの文字列連結はクソではない - NullPointer's
例のleftpad, GCを虐めるためとかコンパイラの最適化を確認するために用意する、「無駄に一時オブジェクト量産するクソコードの典型例」みたいな実装なので、こんな小さい関数のために、信頼できない人のコードを、実装を見るでも無く、依存性追加してたってことで、— INADA Naoki (@methane) March 24, 2016 ここから始まる一連の、モジュールの依存性に関する議論はなかなか興味深いが、自分的に気になったのは以下の一節 GCを虐めるためとかコンパイラの最適化を確認するために用意する、「無駄に一時オブジェクト量産するクソコードの典型例」みたいな実装 ソースを見てみようか。 left-pad/index.js at 0e04eb4da3a99003c01392a55fa2fdb99db17641 · azer/left-pad · GitHub なるほど一見するとクソコー
Electron で Chrome のページ内検索機能を使う - はやくプログラムになりたい
比較的最近，Electron に Chrome のページ内検索を JavaScript から行える API が入りました．最近そのことを知ったので，今日昨日あたりでその機能を使って Shiba に Markdown プレビュー内の検索機能を実装しました．案外手こずってしまったのでまとめてみます． github.com 実装コード 今回 Shiba 向けに実装したコードは この diff が全てです．僕の説明よりも実際に動いているコードを見て理解したいという方はそちらを見てください． ページ内検索 API 概要 WebContents オブジェクトに findInPage()，stopFindInPage() の2つのメソッドが生えています．また，WebContents.on() で飛んでくるイベントの中に found-in-page というイベントが追加されています．使う API はコレで
正規表現でマッチしたキャプチャの内容と位置を取得するライブラリ
という文字列から”ABC”という文字列とその位置(index)を取ろうとすると、非常に面倒な書き方をする必要があります。 "ABC ABC".match(/(ABC)/g) では文字列は取れますが、indexを取ることができません。 これをやるにはmatchではなく、gフラグ付き正規表現とexecやreplaceを使ってやる必要があります。 これを直感的に行うString.prototype.matchAllというProposalも存在しています。 String.prototype.matchAll 今回はこのmatchAll的なものと、キャプチャした内容と位置を取得出来るmatchCaptureGroupAllをもったmatch-indexというライブラリを書きました。 azu/match-index: Get index of each capture. const captureGr
React.js v15.0 changes - blog.koba04.com
v15.0.0がリリースされました(2016/04/08) RC2が出たので追記 RC2 ではIE、Edgeでマークアップの構造によって一部のテキストが表示されないバグ(#6246)とSVGに関する変更がrevertされました。 React.js v15.0がリリースされたので変更内容などを整理したいと思います。 https://facebook.github.io/react/blog/2016/03/07/react-v15-rc1.html http://facebook.github.io/react/blog/2016/03/16/react-v15-rc2.html http://facebook.github.io/react/blog/2016/04/07/react-v15.html 今回の一番大きな変更はバージョン番号かなと思います。 0.14から15.0に。 0.x系
なぜ絵文字を含む文字を1文字ずつに分けるのにArray.fromだけで十分なのか？ - Qiita
「Node.js で絵文字を使う時の注意点 - Qiita」にコメントしたのですが、大雑把すぎて説明になっていない気がするので、詳細に解説したいと思います。 TL;DR 絵文字のようなサロゲートペアを含む文字列をJavaScriptで扱おうとすると面倒。 ↑ s.length、s[0] とか s.split('') とかがおかしくなる。 1文字ずつに分割したいときは Array.from が使える。 なぜなら、Array.from は内部的に for of 文のようなことをしていて、文字列に対する for of はサロゲートペアを考慮するから。 問題点と解決まで 絵文字を含む文字、つまりUTF-16のサロゲートペアを含むような文字を一文字ずつに分割したい場合、JavaScriptでは問題が生じます。つまり、どういうことかというと、 const kira = 'キラッ🌠' // 見ため上は
Joomla!の「ゼロデイコード実行脆弱性」はPHPの既知の脆弱性が原因
Joomla!にコード実行脆弱性(CVE-2015-8562)があり、パッチ公開前から攻撃が観測されていたと話題になっています。 Joomlaに深刻な脆弱性、パッチ公開2日前から攻撃横行 「Joomla!」に再び深刻な脆弱性、3.4.6への速やかなアップデートを推奨 パッチ公開の前に攻撃が始まる状態を「ゼロデイ脆弱性」と言いますが、それでは、この脆弱性のメカニズムはどんなものだろうかと思い、調べてみました。 結論から言えば、この問題はJoomla!側に重大な脆弱性はなく、PHPの既知の脆弱性(CVE-2015-6835)が原因でしたので報告します。 exploitを調べてみる 既にこの問題のexploitは公開されていますが、悪い子が真似するといけないのでURL等は割愛します。以下のページでは攻撃の原理が説明されています。 Vulnerability Details: Joomla! Re
OWASP Night 第19回イベントレポート：「セキュリティ要件と実装、どこまでやれば十分か」
OWASPコミュニティのドキュメントに関するスピーチにはじまり、OWASPコミュニティの国際カンファレンスのご紹介、標準化団体における活動の共有や、企業におけるOWASPコミュニティの成果物の活用事例の共有など、多岐ジャンルにわたるミーティングとなりました。また、クロージングセッションにおいて、Chapter Leaderの岡田さんからThe OWASP Foundationの年次報告書について紹介がありました。 本記事では、今回のミーティングでのそれぞれのスピーチの内容について、ご紹介したいと思います。 図1：会場の様子。おしゃれなセミナールームをご提供いただきました。 Webアプリケーションセキュリティ要件書プロジェクト近況報告 発表概要 上野さんからは、ミーティング当日にリリースされた「Webシステム／Webアプリケーションセキュリティ要件書 2.0」について紹介いただきました。なお
phiary
phi I'm a Game Programmer and Frontend Engineer passionate about programming education. Math / C / C++ / C# / JavaScript / HTML5 / CSS3 / Python Browser だと標準でグローバルに atob(), btoa() という関数が定義してあります. それぞれ文字列をbase64に, base64を文字列に変換してくれる便利なメソッドです. ですが, この関数は Node.js にはありません. 代わりに toString() が便利になっていて, encoding を指定できるようになっています. 自分は Browser 側の JavaScript に慣れ親しんでいる人なので, 今回はこの toString() を 使って Node.js 上で bt
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
[PDF] Electronの倒し方
Blogger