Firebase Authentication 7つの落とし穴 - 脆弱性を生むIDaaSの不適切な利用 - GMO Flatt Security Blog
はじめに こんにちは、株式会社 Flatt Security セキュリティエンジニアのぴざきゃっと (@pizzacat83) です。 認証機構を自作せずに導入できる Firebase Authentication は様々なアプリケーションにて利用されていますが、その特性を十分に理解せずに導入すると、実は不具合や脆弱性が生じることがあります。そこで本稿では Firebase Authentication を利用するうえで、注意しなければ不具合や脆弱性に繋がりうる 7 個の「落とし穴」について解説します。 はじめに IDaaS の利点と欠点 落とし穴 1. 自己サインアップ リスク 対策 落とし穴 2. ユーザーが自身を削除できる 対策 落とし穴 3. 他人のメールアドレスを用いたユーザー登録 リスク リスク 3-1. メールアドレス誤入力によるユーザー乗っ取り リスク 3-2. 他人にメー
Big Sky
はじめに 11/18、東京秋葉原のアキバプラザで、4年ぶりとなる VimConf、「VimConf 2023 Tiny」が開催されました。 今回、Kaoriya さんから「SoftwareDesign で執筆した内容で基調講演をして欲しい」とお願いされた際に、即答で OK をしましたが実は少し不安がありました。SoftwareDesign を事前に購入した人に同じ話を聞かせてしまうのは残念すぎないかという気持ちです。どうしようかとしばらく検討しましたが、SoftwareDesign の内容からスピンオフした内容にする事にしました。 規模が少し小さいとは言え、せっかく楽しみにきて頂いてる皆さんに、残念に思われないようにしたい、少しでも「来て良かった」と思って貰えるイベントにしたと思い、テーマは変えないまま色々な Bram Moolenaar 氏のエピソードを盛り込んだつもりです。 11/18
JavaScript(ES2015)でvarやletを使う必要はほぼ無い - id:anatooのブログ
ES2015でvarやletを使う場面はほとんど無いので、まずconstを使う。constだとダメな場合にはletを使う。 背景 ES2015では、変数を宣言するための文法としてconstとletが導入された。 const foo = 'foo'; let bar = 'bar'; constは再代入できない変数を宣言できる。letは再代入できる変数を宣言できる。 const foo = 'foo'; foo = 'hoge'; // ERROR let bar = 'bar'; bar = 'hoge'; // OK あれ、じゃあvarとletは同じなの？っていうとそうではなく、letやconstはvarとは違って、関数スコープよりも細かなブロック単位のスコープを提供する。例えばconstやletを使うと、if文やfor文などのブロック中でのみ有効な変数を宣言できる。 で、プロジェクトに
yohgaki's blog - 画像ファイルにJavaScriptを隠す
Last Updated on: 2014年12月5日前回のエントリでイメージファイルにスクリプトを埋め込んで攻撃する方法について記載しましたが、最近イメージファイルにスクリプトを埋め込む事例が話題になったためか ha.ckersにJavaScriptをイメージファイルに隠す方法が紹介されています。 http://ha.ckers.org/blog/20070623/hiding-js-in-valid-images/ <script src="http://cracked.example.com/cracked.gif"> などとXSS攻撃を拡張する手段に利用可能です。サンプルとしてFlickerにJavaScriptを埋め込んだイメージファイルがアップされています。 このイメージファイルは上手く細工しているので画像としても表示され、JavaScriptも実行できます。 Flickerは
Python のバージョン毎の違いとその吸収方法について - CUBE SUGAR CONTAINER
この記事の目指すところ 現在 Python はバージョン 2.x 系と 3.x 系という、一部に互換性のないふたつのメジャーバージョンが併用されている。 その上で、この記事にはふたつの目的がある。 ひとつ目は、2.x 系と 3.x 系の違いについてまとめること。 現状、それぞれのバージョン毎の違いはまとまっているところが少ない。 自分用に、このページだけ見ればひと通り分かる！っていうものがほしかった。 ふたつ目は、2.x 系と 3.x 系の違いを吸収するソースコードの書き方についてまとめること。 こちらも Web 上にナレッジがあまりまとまっていない。 これについては今 python-future というパッケージがアツい。 尚、サポートするバージョンは以下の通り。 2.x 系: 2.6 と 2.7 3.x 系: 3.3 と 3.4 本題に入る前に、最近の Python 事情についてまとめ
プログラミング初学者における泥臭さのはなし - ジーズアカデミー戦記
＊ 怪物 先日の勉強会のLTの中で一際注目を集めた発表者がいた。 「30代後半からはじめてもプログラムはできる」といった趣旨の内容で思わず胸が熱くなった。その人は今年のはじめ求職者支援訓練でJavaScriptに出会ったらしい。聞けばこれまでWeb系の仕事についていたわけでもなく、その時既に30代後半だったという。そこから約半年の間にドットインストールにあったサンプルゲームカスタマイズに始まり、オセロ・じゃんけん・タイピング・シューティング・将棋・花札・ブラックジャックなどを次々と制作、先日デザイナーとして企業採用が決まったそうだ。 さらにその途中でこの春から始まったジーズアカデミーというエンジニア養成学校に応募し合格・入学しているのだから、プログラムを始めたばかりというには情報感度も普通ではない。そしてスクールで毎週の課題として彼が作ってくるものも衝撃的なものばかりだった。課題の内容を超
iOSアプリのコーディング規約を考える時はGoogleよりもNYTimesのObjective-Cスタイルガイドを参考にすべき - Steel Dragon 14106
iOSアプリのコーディング規約を考える時はGoogleよりもNYTimesのObjective-Cスタイルガイドを参考にすべき By raimon, 2015-03-21(土), in category Ios Googleのスタイルガイドは古い 複数人でiOSアプリをObjective-Cコードで書いて保守する時、コーディング規約を検討することになる。 参考にすべきスタイルガイドとして良く挙がるものにGoogle Objective-C Style Guideがあるが、これはいかんせん古い。メモリ管理ARCやNSNumberのリテラル構文など、比較的新しいトピックについても追記されてはいるが、 インスタンス変数のアクセス修飾子 プロパティを使う事が主流となっている2015年現在、余り扱われない autorelease を使ったオブジェクト生成など、MRC時代の規約 何よりホスティング先が
Stack Overflowへようこそ - Stack Overflow
Hi English-language readers! This blog post is not for you; perhaps you'd like a hat instead? No? Well, when last we spoke of creating non-English versions of Stack Overflow, some of you were certain we should've gone the easy route and just leveraged a machine translation service instead of creating real sites for real people to use. I humbly invite you to read the rest of this post using the mec
GREE Engineer's Blog coming soon...
コンテンツへスキップ ナビゲーションに移動 Engineers' Blog Awards 2025 を開催しました！2025/07/02yutaka.sashimaこんにちは、佐島です。 昨年に引き続き、テックブログ執筆者を称える社内イベント「Engineers' Blog Awards 2025」を開催しましたので、ご紹介します。 （開催背景などは昨年のブログをご覧ください。） […] InfoGREE Engineers’ Bash 2025 を6月17日(火)に開催しました！2025/06/25yutaka.sashima 勉強会 こんにちは、佐島です。 GREE Engineers’ Bash 2025 という社内限定イベントが昨年に引き続き開催されましたので紹介させて頂きます。 （GREE Engineers’ Bash については2018年度 […] Infomysqld が起
【訂正あり】他人のコードを｢破壊｣しながらプログラミングを学ぶ方法：リバース・エンジニアリング
追記：翻訳に誤って訳された部分がございました。原文における｢break｣は｢破壊する｣意ではありません。お詫びして訂正いたします。また、今後はこのような誤りのないよう、最大限の注意をもってサイト運営をしてまいります。（2013.10.21 11:30） コードを学ぶベストな方法のひとつは、既存のコードを｢リバース・エンジニアリング｣することです。コードトーレニング企業の｢Treehouse｣が、コードの一部をわざと｢破壊｣しながら、コードを分析する方法を教えてくれました。Nick Pettit氏はTreehouseブログの中で、プラウザでの3Dプログラミングの学習事例として、Javascript｢Three.js｣を一行づつテストする方法を解説しています。 var light = new THREE.PointLight(0xffffff); light.position.set(-100
Steve Yegge
Steveyの退屈な近況報告 Rhino on Rails 全部取り消すから金をくれ! Egomania Itself いいアジャイルと悪いアジャイル ブロガーの壁(その2) - 途方にくれた人のためのアニメ ブロガーの壁(その1) - ジョエル・ウィンフリー バベル案内 Steve Yegge (スティーブ・イエギ) アセンブラからキャリアをはじめ、Amazonを経て、現在はGoogleで働く開発者。JavaとPythonで書かれた50万行のMMORPG Wyvernの作者。ソフトウェア開発を扱 ったブログStevey's Blog Rantsを書いている。Amazon時代に書いていたブログのアーカイブがStevey's Drunken Blog Rants(TM)にある。"Anime"ファンで日本語を学んでいたこともある親日家である。
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
TechCrunch | Startup and Technology News
「FC2ブログ」ソースコードがオープンソースに