PHPのイタい入門書を読んでAjaxのXSSについて検討した(3)～JSON等の想定外読み出しによる攻撃～ - ockeghem(徳丸浩)の日記
昨日の日記の続きで、Ajaxに固有なセキュリティ問題について検討します。今回はJSON等の想定外読み出しによる攻撃です。これら攻撃手法は本来ブラウザ側で対応すべきもので、やむを得ずWebアプリケーション側で対応する上で、まだ定番となる対策がないように思えます。このため、複数の候補を示することで議論のきっかけにしたいと思います。 まず、作りながら基礎から学ぶPHPによるWebアプリケーション入門XAMPP/jQuery/HTML5で作るイマドキのWeから、Ajaxを利用したアプリケーションの概念図を引用します（同書P20の図1-23）。 前回、前々回は、(5)のHTTPレスポンスの前後で、JSON等のデータ作成（エンコード）に起因するevalインジェクションや、(5)のレスポンスを受け取った後のHTMLレンダリングの際のXSSについて説明しました。 しかし、問題はこれだけではありません。正常
機密情報を含むJSONには X-Content-Type-Options: nosniff をつけるべき - 葉っぱ日記
WebアプリケーションにおいてJSONを用いてブラウザ - サーバ間でデータのやり取りを行うことはもはや普通のことですが、このときJSON内に第三者に漏れては困る機密情報が含まれる場合は、必ず X-Content-Type-Options: nosniff レスポンスヘッダをつけるようにしましょう(むしろ機密情報かどうかに関わらず、全てのコンテンツにつけるほうがよい。関連:X-Content-Type-Options: nosniff つかわないやつは死ねばいいのに! - 葉っぱ日記)。 例えば、機密情報を含む以下のようなJSON配列を返すリソース(http://example.jp/target.json)があったとします。 [ "secret", "data", "is", "here" ] 攻撃者は罠ページを作成し、以下のようにJSON配列をvbscriptとして読み込みます。もちろ
GitHub - abdolence/x2js: x2js - XML to JSON and back for JavaScript
This library provides XML to JSON (JavaScript Objects) and vice versa javascript conversion functions. The library is very small and has no any dependencies. new X2JS() - to create your own instance to access all library functionality new X2JS(config) - to create your own instance with additional config <instance>.xml2json - Convert XML specified as DOM Object to JSON <instance>.json2xml - Convert
JSON.parse() - JavaScript | MDN
This feature is well established and works across many devices and browser versions. It’s been available across browsers since July 2015. * Some parts of this feature may have varying levels of support. Learn more See full compatibility The JSON.parse() static method parses a JSON string, constructing the JavaScript value or object described by the string. An optional reviver function can be provi
JSONP WebAPIを爆速で使いこなせるフレームワーク
ヤフー株式会社は、2023年10月1日にLINEヤフー株式会社になりました。LINEヤフー株式会社の新しいブログはこちらです。LINEヤフー Tech Blog Yahoo!デベロッパーネットワークの中野(@Hiraku)と申します。 「WebAPIの魅力を存分に宣伝せよ」という使命を受けまして、これから何度かTechblogを書くことになります。以後、お見知りおきを。 さて、Yahoo! JAPANが公開しているWeb APIはたくさんありますが、JSONPに対応しているものがいくつかあります。ショッピング、オークション、YOLP、震災関連情報などです。 JSONPについて詳しくは過去記事を見てください。 他の形式に比べると、サーバーを準備しなくてもブラウザーだけで動かすことができ、古いブラウザーでも動くという、JSONPにしかないメリットがあります。夢のような形式！なのです。 …そのは
第三章 データを解析し表示しよう：JSONのデータを表示する
このデータを読み込み利用するにはdata = eval("("+データ+")")とすると変数dataにJSONで定義されたプロパティの値が入ります。例えば以下のようなJSONファイルがあるとします。 このデータを変数dataに読み込んだとします。userIDプロパティの値を読み出すにはdata.userIDと記述します。するとajaxの文字が返されます。同様にdata.userPWとするとxanaduの文字が返されます。単純にオブジェクト名.プロパティ名の記述で済みます。プロパティの値には関数なども定義することができます。これによりオブジェクト名.プロパティ名()として末尾にカッコを付加した場合にプロパティの内容＝関数が実行されます。つまりメソッドを定義したのと同じことになります。 それでは実際のデータを読み込み表示してみます。以下の商品名とそれに関するデータが記述されたJSONデータを読
JSONデータを使って動的にツリーを作成する - tohiromの日記
概要 「YUI 2 — Yahoo! User Interface Library」を使います。 YUI2のIndex of Official Examplesに掲載されている「TreeView Control: Dynamically Loading Node Data」を編集して使います。 ライブラリを読み込む HEADタグの中に貼り付ける。 <link rel="stylesheet" type="text/css" href="http://yui.yahooapis.com/2.8.1/build/fonts/fonts-min.css" /> <link rel="stylesheet" type="text/css" href="http://yui.yahooapis.com/2.8.1/build/treeview/assets/skins/sam/treeview.cs
【Javascript】JSON形式文字列をオブジェクトにする例 at softelメモ
こういう書き方もいいですね。eval 使わない方法。 //dataがJSON形式文字列だとして var data = '{"abc":"123"}' //こんなfunctionを作って()で即実行 var r = (new Function("return " + data))() これで変数 r はオブジェクト {"abc":"123"}。 data が正しいJSON形式の文字列ではないときエラーが発生するので、そこは try文ででも捕まえるようにする。
JSON in JavaScript
JavaScript is a general purpose programming language that was introduced as the page scripting language for Netscape Navigator. It is still widely believed to be a subset of Java, but it is not. It is a Scheme-like language with C-like syntax and soft objects. JavaScript was standardized in the ECMAScript Language Specification, Third Edition. JSON is a subset of the object literal notatio
JSONEditor.net - See your JSON like never before
What is JSONEditor.net? JSONEditor.net is a free, privacy-first online JSON editor built for developers. It runs 100% in your browser — your JSON data never leaves your computer. Use it to format, minify, validate, sort, repair, and convert JSON to CSV, XML, YAML, TypeScript interfaces, JSON Schema, SQL, Markdown tables, and more. Why use a visual JSON editor? Plain-text JSON quickly becomes unrea
[Think IT] 第1回：JSONってなにもの？ (1/3)
Kaggleは「キャリアの再定義」に役立つ ー文系営業がKaggler会で得た、挑戦の連鎖と新しい自分 7月24日 6:30
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
GitHub - erosb/jquery.observable: A plugin that changes a data structure built from plain JS objects into an observable structure with jQuery-style accessors and event listeners.
GitHub - BorisMoore/jsviews: Interactive data-driven views, MVVM and MVP, built on top of JsRender templates