IPA ISEC セキュア・プログラミング講座：Webアプリケーション編 第8章 マッシュアップ：クライアントサイドマッシュアップ: #3 リクエスト強要攻撃による善意のAPIへの侵害
第8章 マッシュアップ クライアントサイドマッシュアップ: #4 リクエスト強要攻撃による善意のAPIへの侵害 シナリオ4 は、悪意のサイトのコンテンツにブラウザが操られ、ユーザの意思に反して善意のAPI への攻撃が起こるというものである。このシナリオで考えられる攻撃には「リクエスト強要攻撃」がある。本節では、クライアントサイドマッシュアップの状況におけるリクエスト強要攻撃について論じる。 「リクエスト強要攻撃」 リクエスト強要攻撃は、罠のコンテンツを用いてブラウザを誘導し、ユーザの意思に反した HTTPリクエストを善意のWebサーバへ送信させる攻撃である。ユーザ本人の望まない「更新系」のトランザクションが投入され、被害が生じる。 これまで注意深いWebアプリケーション開発者の間では、サーバにおける「更新系」の処理について「リクエスト強要攻撃」が警戒され、対策がとられてきた。対策が「更新系
Ajax - Goodbye, JSONP. Hello, Access-Control-Allow-Origin : 404 Blog Not Found
2010年08月17日06:45 カテゴリLightweight Languages Ajax - Goodbye, JSONP. Hello, Access-Control-Allow-Origin もうそろそろJSONPとはお別れできるのではないかと思い立ったので。 XMLHttpRequestとその問題 AjaxといえばXHRの愛称で親しまれているXMLHttpRequestですが、これには一つ重大な欠点がありました。 これを発行するDHTMLページのドメインが、Request先のドメインと一致する必要があったのです。いわゆる Same Origin Policy というやつです。おかげでサイトをまたがって使えなかったのです。これではマッシュアップできない。どうしよう。 JSONPとその問題 そこで生まれたのが、JSONPという手法です。 これは、scriptノードを追加した時に、単
【ハウツー】強力JSフレームワーク「Ext JS」が3.0に - 主な新機能をまとめてチェック! (1) JSフレームワーク「Ext JS」が3.0に - 主な新機能をまとめてチェック! | エンタープライズ | マイコミジ�
Ext JSとは Extは7月6日(米国時間)、Ext JSの最新版となるExt JS 3.0をリリースした。 Ext JSはJavaScriptベースのWebアプリケーションフレームワーク。高い拡張性をそなえ、デスクトップアプリケーションと比較しても見劣りしないユーザインタフェースをWebブラウザ上で簡単に実現することができる。 同ライブラリは各種Commercial Licenses、OEM / Reseller License、GNU GENERAL PUBLIC LICENSE Version 3の複数ライセンスのもとで公開されているオープンソースソフトウェア。ライセンス体系や各種価格についてはLicensing Overviewを参照されたい。 Ext JS 3.0の概要については、「Exit JS 3.0登場、コーディングなしでUI開発するツール」や「Ext JS 3.0 -
Exit JS 3.0登場、コーディングなしでUI開発するツール | エンタープライズ | マイコミジャーナル
Ext - A foundation you can build on Extは10日(米国時間)、Ext JSの最新版となるExt JS 3.0を公開した。Ext JSはJavaScriptで開発されたWebアプリケーションフレームワーク。軽量で高い拡張性を保持しつつ、デスクトップエクスペリエンスと近い滑らかな動作を実現しているという特徴がある。 Ext JS 3.0は多くの機能が追加されているほか、従来からある機能の拡張や改善も実施されている。もっとも注目したいのは、プレビューバージョンとしてだが同梱されるようになったExt Designerだ。Adobe AIRで開発されたUI開発用の統合開発環境で、コーディングすることなくUIを生成できるようになる。 Ext Designer Preview - Ext JS - Blogより抜粋 ただしExt JS 3.0とともに公開されたバージ
Ajaxによるリアルタイムプッシュエンジン·APE MOONGIFT
Google Waveの発表で、一気にリアルタイムストリームへの流れが強まっている。基盤的な技術になるのはCommetやXMPPといったプッシュ配信を可能にする技術だ。相互のやり取りがリアルタイムになれば、コラボレーションはもっと素晴らしいものになるだろう。 トップページには同じURLを見ている人たちと会話を楽しめるデモ そんなプッシュ配信技術はCommetのような新しいもの、XMPPのように古参のものと幾つか存在する。その一つにAPEがある。 今回紹介するオープンソース・ソフトウェアはAPE、Ajaxによるプッシュ配信を行うサーバソフトウェアだ。 APEはAjax Push Engineの略称だ。技術的にはAjaxのみを使い、特別なプラグインなどを必要とせずにプッシュ配信を行うのが特徴だ。そのため、IE/Firefox/Safari/OperaといったWebブラウザはもちろんのこと、iP
JSONPを使ってJavaScriptだけでマッシュアップ
ヤフー株式会社は、2023年10月1日にLINEヤフー株式会社になりました。LINEヤフー株式会社の新しいブログはこちらです。LINEヤフー Tech Blog こんにちは、Yahoo!地図の開発を担当しています前田博敏です。 今回は、JavaScriptから外部サイトのWeb APIを直接呼び出すことができる、JSONPという手法について紹介させていださきます。 JSONPとは JSONPとは、JavaScriptの外部ファイル読み込み（「script」タグとその「src」指定）を利用して、ドメインの異なる外部サイトのデータを読み込む手法のことを言います。 JSONPを利用するには、呼び出される側のWeb APIがJSONP形式に対応している必要があります。 Yahoo!デベロッパーネットワークでは、現在のところローカルサーチAPIとショッピングAPIが、JSONP形式に対応しています。
これは凄い、Ajaxをオンザフライ解析 - Razor Profiler | エンタープライズ | マイコミジャーナル
Razor - Profile and Optimize Web 2.0 Ajax Performance WebアプリケーションやWebページのデバッグ・分析にはFirebugが重宝する。しかしながらFirebugはFirefoxのエクステンションとして開発されているためIEやSafari、Operaといったほかのブラウザで作業する場合はそのブラウザ向けに提供されているツールかまたはFirebug Liteを使う必要がある。Firebug LiteはFirebugの機能をほかのブラウザにも提供する興味深いクロスブラウザツールだが、Firefoxに提供しているのと同じ機能はまだ提供できていないし、うまく動作しない機能もある。 そこでクロスブラウザAjaxアプリケーション分析ツールRazor Profilerに注目したい。Razor Profilerはデプロイ済みのJavaScriptベース
Ajaxライブラリの変遷
Ajaxライブラリが生まれた経緯 Ajaxテクノロジで開発する上で、大きな問題となることの1つは各Webブラウザ間の互換性問題です。主にInternet Explorer（以下、IE）とそれ以外のWebブラウザの仕様の違いに依存しています。 まず、Ajaxの肝となるXMLHttpRequestの呼び出し方からして異なっています。 IEの場合は、「xmlhttp = new ActiveXObject("Microsoft.XMLHTTP")；（IE７はXMLHttpRequest()でも可能）」となり、それ以外のWebブラウザでは、「xmlhttp = new XMLHttpRequest()；」となります。 また、オブジェクトにイベントをアタッチするやり方も違います。 IEの場合は、「element.attachEvent('onclick', handler);」となり、それ以外のWe
Comet/Ajaxの上を行く技術 - Blog by Sadayuki Furuhashi
上を行くかどうかは知りませんが :-p Ajaxはクライアントの都合でサーバーに通信を仕掛けるpull型の通信ができ、Cometはサーバーが好きなタイミングでクライアントへデータを送りつけるpush型の通信ができるわけですが、新たに双方向の通信ができる技術を開発しました。 具体的には、JavaScriptとサーバーの間で双方向のRPCができます。すなわち、サーバーからクライアント側のJavaScriptのメソッドが呼べるし、逆にクライアント側からサーバー側のメソッドを呼ぶこともできます。 サーバー側で call("addMessage", "Hello!") とやると、JavaScript側の function addMessage(msg) { ... } という関数が呼ばれたりします。 この技術を使って、試しにチャットシステムを作ってみました ＞ デモ （ソースコード）*1 リアルタイ
[Think IT] 第1回：Ajaxの基礎知識 (1/3)
Ajaxの定義を考える 皆さんはAjaxという言葉がなんの略かご存じですか？ AjaxはAsynchronous JavaScript + XMLの略称で、Asynchronousは非同期という意味です。この言葉はデザインコンサルティング会社Adaptive PathのJesse James Garrett氏によって提唱されました。 その内容はadaptive pathの2005年2月18日掲載記事で読むことができます（出典：Ajax: A New Approach to Web Applications）。 その記事によればAjaxという具体的な技術があるわけではなく、既存技術の組み合わせによって定義されると述べられています（図1）。 では、それを満たさないとAjaxと言えないのでしょうか？ データ通信に関して最近ではJSONというフォーマットが主流でXMLを使うことは少ないですし、動的
Ajax を加速する「 jQuery 」を知ってますか？ : LINE Corporation ディレクターブログ
こんにちは。「本が好き！」などを担当している根岸です。 【01】改めて、Ajax って、なんだろう？ 最近は、Ajax を使用したサイトが増えてきました。 Ajax とはブラウザ内(リロードレス)でサーバー側との非同期通信(同期可)を行い、その結果、インタラクティブ性の高いユーザーインターフェースを構築する仕組みを指します。 2005年に登場した、 Google Maps や、 Google Suggest から一気に広まりました。 Ajaxとは、そもそも「 Asynchronous JavaScript + XML 」の略です。直訳すると「非同期な JavaScript と XML」となりますが、「なんじゃそりゃ？」で すよね。 昔ながらのWebサイトは、 (A)ウェブブラウザがページのリクエストをする (B)ウェブサーバーがリクエストされたページを HTML 形式で返す という通信を、
はてなブログ | 無料ブログを作成しよう
思いは言葉に。 はてなブログは、あなたの思いや考えを残したり、 さまざまな人が綴った多様な価値観に触れたりできる場所です。
【連載】パーフェクトDojo (4) マークアップを用いないDijitプログラミング | エンタープライズ | マイコミジャーナル
深くて広いDojo Toolkitの世界を紹介する、当連載は今回4回目だ。 前回は、Dijitプログラミングをこれから行っていく上で最低限必要な知識として、「属性」や「メソッド」、そして「拡張ポイント」についての説明を行った。今回は、マークアップを用いずにDijitプログラミングを行う方法について解説したい。 マークアップを用いないDijitプログラミングの概要 「マークアップを用いずに」と言うのは、つまり「JavaScriptコードのみを用いてウィジェットを生成する」と言うことだ。どういうことかを手っ取り早く知っていただくために、まずは軽くコードで説明しよう。 まずは、ボタンウィジェットをマークアップで記述する例をお見せする。 <div id="button" dojoType="dijit.form.Button" label="クリック!></div> このコードを、マークアップを用
404 Blog Not Found:Ajax - Ricollab郵便番号検索+Google Map
2008年04月02日06:00 カテゴリLightweight Languages Ajax - Ricollab郵便番号検索+Google Map 早速混ぜてみた。 ricollab Web Tech Blog ? Blog Archive ? ricollab実験サービス第一弾を開始します! 本日より、ricollabの語源の一つである「リコーラボ」としての活動の第一弾、郵便番号検索サービスを開始します。 ricollab 郵便番号検索 Google マップ API の概念 - Google マップ API - Google Code 〒 半角数字7けた 住所 郵便番号を7桁入力すると、対応する住所が住所欄に入ります。そのままでよければsubmit、そうでなければ微調整(たとえば番地も入力)してsubmitすると、地図が切り替わります。 Google Map APIも、jsapi と
TechTarget - Global Network of Information Technology Websites and Contributors
Looking for information about Informa TechTarget products and services? The commercial homepage has moved. Visit Informa TechTarget News 25 Jul 2025 / Threats & Vulnerabilities News brief: SharePoint attacks hammer globe Check out the latest security news from the Informa TechTarget team. 25 Jul 2025 / Cloud Backup Commvault to acquire Satori Cyber for GenAI data security Satori Cyber, the third a
つくるぶガイドブログ: Adobe AIRでAjax！(その２) AIR APIを利用してWebとLocalを繋ぐマッシュアップ サンプル jsonp prototype
This domain may be for sale!
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
http://www.ajax.org/
IBM Developer
IBM Developer
IBM Developer