「拡張子ではなく、内容によってファイルを開くこと」の拡張子は Content-Type ではないことに注意 - 葉っぱ日記
少し前に JSONP が XSS を引き起こすかもしれないという点に関する興味深い記事を奥さんが書かれていました。 Kazuho@Cybozu Labs: JSONP - データ提供者側のセキュリティについて JSONP における Padding 部分(だけでなくJSON部分も。4/5追記)に攻撃者が HTML と解釈可能なスクリプトを注入することにより、JSONP なデータを直接 IE で開いた場合に HTML と解釈され XSS が発生する、という点について書かれています。 ここで、IE が JSONP を HTML と解釈する理由は以下の2点。 IEのよく知られた機能「拡張子ではなく、内容によってファイルを開くこと」により、内容が HTML っぽい場合には、Content-Type: text/javascript が無視され HTML として解釈される。 上述の設定が「無効」に設定
MSが提供する新たな“オンラインOS”
いわば「Windows LiveはJavaScriptで書かれたOS」、LiveガジェットはJavaScriptで記述されたアプリケーションだ。これまでにないMSの「オンラインソフトウェア」展開は、今後10年のMSを決める大きな分岐点となるかもしれない。 このオンライン・ムックPlus「Windows Liveが魅せる次世代マッシュアップ」では、Windows Vistaの登場とともに、新たなサービスとして注目されるであろう「Windows Live」を中心として、Windowsガジェットの概要から詳細の開発手法について紹介する。 今回は、Windowsガジェットの中でもWindows Liveガジェットに焦点を当て、実際にどのような仕組みになっているのか解説していこう。 なお、オンライン・ムックPlus「Windows Liveが魅せる次世代マッシュアップ」では、“Liveガジェットのア
IE 7開発者が語る「IE 8」から「Ajax」まで
Internet Explorer（IE）のバージョン7をリリースしたばかりのMicrosoftだが、IEのプラットフォームアーキテクトによると、同社は既にIE 8――もしくは「IE Next」？――に取り組んでいる。 米マサチューセッツ州ボストンで今週開催されたAjax Experienceカンファレンスで、MicrosoftのIEプラットフォーム担当プラットフォームアーキクト、クリス・ウィルソン氏は、「当チームは現在IE 8に懸命に取り組んでいる」とし、笑みを浮かべながら「『IE Next』と呼ぶべきかもしれないが」と言い添えた。 いずれにしろ、IEの次期バージョンでは、「ユーザーのセキュリティとプライバシー、Webアプリケーションプラットフォームの強化、最良のWebユーザー体験の提供を主要テーマとし、引き続き、互換性を開発信条とする」と同氏はAjax Experienceで行った2回
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
