［気になる］JSONPの守り方
XSSにCSRFにSQLインジェクションにディレクトリトラバーサル……Webアプリケーションのプログラマが知っておくべき脆弱性はいっぱいあります。そこで本連載では、そのようなメジャーなもの“以外”も掘り下げていきます （編集部） JSONPだって、セキュリティを気にしてほしい 皆さんこんにちは、はせがわようすけです。今回は、JSONPを使用する場合のセキュリティについて解説しましょう。 JSONPとは、JSON with Paddingの名称が示しているとおり、JSON形式のデータにコールバック関数の呼び出しのためのコードを付加することで、クロスドメインでデータの受け渡しを実現するためのデータ形式です。JavaScriptからクロスドメインでのデータが簡単に扱えることなどを理由に、多数のWebアプリケーションでAPIの一部としてJSONP形式でデータの提供が行われています。 具体的な例を見
第3回 JSONPでのクロスドメインアクセス | gihyo.jp
JSONPの動作原理 前回はAjaxに存在するセキュリティモデルであるSame-Originポリシーを紹介し、そのSame-Originポリシーを迂回する方法とセキュリティについて見てきました。また、回避する方法の1つめとしてリバースProxyを用いた方法を紹介しました。リバースProxyを用いた方法ではセキュリティ的な問題点もありましたが、そもそもProxyサーバを用意しなければならないため、この方法は手軽に使うことはできませんでした。 そこで考え出されたのがJSONP（JavaScript Object Notation with Padding）という方法です。 それではまず簡単にJSONPについて説明します。 Ajaxで使われるXMLHttpRequestオブジェクトには前回説明したとおりSame-Originポリシーがありクロスドメインアクセスはできません。一方、SCRIPTタグ
GoogleカレンダーのJSONPでブログカレンダーの祝日表示をする [livedoor Blog カスタマイズ] : ずっと工事中
ブログネタ：ライブドアブログのカスタマイズ に参加中！ カレンダーの祝日表示をしてみようと思いました。 年月日を入力して祝日判定をする関数は検索すると結構見つかります。これをカレンダーで使う場合は関数を30回ほどループをくぐらせる必要がありますが、年月を入力して祝日の配列が返る方が勝手が良いですね。GoogleカレンダーのAPIなら期待通りに抽出できそうなので使ってみることにしました。 JSONPにはコールバック関数が実行する形で記述されていて、引数として日付情報の入ったJSONが渡されています。 callback(JSON); 関数はユーザ側で定義します。JSONが引数になっているので関数内でカレンダーのデータを扱うことができます。 JSONの形式 実際にカレンダーのJSONPを開いて見て頂くと分かると思いますが、要らない部分を端折って改行とインデントを設けるとこのようになります。 {
Sign in - Google Accounts
Not your computer? Use a private browsing window to sign in. Learn more about using Guest mode
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
