「拡張åã§ã¯ãªãã€å†…容ã«ã‚ˆã£ã¦ãƒ•ã‚¡ã‚¤ãƒ«ã‚’é–‹ãã“ã¨ã€ã®æ‹¡å¼µå㯠Content-Type ã§ã¯ãªã„ã“ã¨ã«æ³¨æ„ - 葉ã£ã±æ—¥è¨˜å°‘ã—å‰ã« JSONP ㌠XSS を引ãèµ·ã“ã™ã‹ã‚‚ã—ã‚Œãªã„ã¨ã„ã†ç‚¹ã«é–¢ã™ã‚‹èˆˆå‘³æ·±ã„記事を奥ã•ã‚“ãŒæ›¸ã‹ã‚Œã¦ã„ã¾ã—ãŸã€‚ Kazuho@Cybozu Labs: JSONP - データæ供者å´ã®ã‚»ã‚ュリティã«ã¤ã„㦠JSONP ã«ãŠã‘ã‚‹ Padding 部分(ã ã‘ã§ãªãJSON部分も。4/5追記)ã«æ”»æ’ƒè€…㌠HTML ã¨è§£é‡ˆå¯èƒ½ãªã‚¹ã‚¯ãƒªãƒ—トを注入ã™ã‚‹ã“ã¨ã«ã‚ˆã‚Šã€JSONP ãªãƒ‡ãƒ¼ã‚¿ã‚’直接 IE ã§é–‹ã„ãŸå ´åˆã« HTML ã¨è§£é‡ˆã•ã‚Œ XSS ãŒç™ºç”Ÿã™ã‚‹ã€ã¨ã„ã†ç‚¹ã«ã¤ã„ã¦æ›¸ã‹ã‚Œã¦ã„ã¾ã™ã€‚ ã“ã“ã§ã€IE ㌠JSONP ã‚’ HTML ã¨è§£é‡ˆã™ã‚‹ç†ç”±ã¯ä»¥ä¸‹ã®2点。 IEã®ã‚ˆã知られãŸæ©Ÿèƒ½ã€Œæ‹¡å¼µåã§ã¯ãªãã€å†…容ã«ã‚ˆã£ã¦ãƒ•ã‚¡ã‚¤ãƒ«ã‚’é–‹ãã“ã¨ã€ã«ã‚ˆã‚Šã€å†…容㌠HTML ã£ã½ã„å ´åˆã«ã¯ã€Content-Type: text/javascript ãŒç„¡è¦–ã•ã‚Œ HTML ã¨ã—ã¦è§£é‡ˆã•ã‚Œã‚‹ã€‚ 上述ã®è¨å®šãŒã€Œç„¡åŠ¹ã€ã«è¨å®š
{{#tags}}- {{label}}
{{/tags}}