［気ã«ãªã‚‹ï¼½JSONPã®å®ˆã‚Šæ–¹XSSã«CSRFã«SQLインジェクションã«ãƒ‡ã‚£ãƒ¬ã‚¯ãƒˆãƒªãƒˆãƒ©ãƒãƒ¼ã‚µãƒ«â€¦â€¦Webアプリケーションã®ãƒ—ãƒã‚°ãƒ©ãƒžãŒçŸ¥ã£ã¦ãŠãã¹ã脆弱性ã¯ã„ã£ã±ã„ã‚ã‚Šã¾ã™ã€‚ãã“ã§æœ¬é€£è¼‰ã§ã¯ã€ãã®ã‚ˆã†ãªãƒ¡ã‚¸ãƒ£ãƒ¼ãªã‚‚ã®â€œä»¥å¤–â€ã‚‚掘り下ã’ã¦ã„ãã¾ã™ （編集部） JSONPã ã£ã¦ã€ã‚»ã‚ュリティを気ã«ã—ã¦ã»ã—ㄠ皆ã•ã‚“ã“ã‚“ã«ã¡ã¯ã€ã¯ã›ãŒã‚よã†ã™ã‘ã§ã™ã€‚今回ã¯ã€JSONPを使用ã™ã‚‹å ´åˆã®ã‚»ã‚ュリティã«ã¤ã„ã¦è§£èª¬ã—ã¾ã—ょã†ã€‚ JSONPã¨ã¯ã€JSON with Paddingã®å称ãŒç¤ºã—ã¦ã„ã‚‹ã¨ãŠã‚Šã€JSONå½¢å¼ã®ãƒ‡ãƒ¼ã‚¿ã«ã‚³ãƒ¼ãƒ«ãƒãƒƒã‚¯é–¢æ•°ã®å‘¼ã³å‡ºã—ã®ãŸã‚ã®ã‚³ãƒ¼ãƒ‰ã‚’ä»˜åŠ ã™ã‚‹ã“ã¨ã§ã€ã‚¯ãƒã‚¹ãƒ‰ãƒ¡ã‚¤ãƒ³ã§ãƒ‡ãƒ¼ã‚¿ã®å—ã‘渡ã—を実ç¾ã™ã‚‹ãŸã‚ã®ãƒ‡ãƒ¼ã‚¿å½¢å¼ã§ã™ã€‚JavaScriptã‹ã‚‰ã‚¯ãƒã‚¹ãƒ‰ãƒ¡ã‚¤ãƒ³ã§ã®ãƒ‡ãƒ¼ã‚¿ãŒç°¡å˜ã«æ‰±ãˆã‚‹ã“ã¨ãªã©ã‚’ç†ç”±ã«ã€å¤šæ•°ã®Webアプリケーションã§APIã®ä¸€éƒ¨ã¨ã—ã¦JSONPå½¢å¼ã§ãƒ‡ãƒ¼ã‚¿ã®æä¾›ãŒè¡Œã‚ã‚Œã¦ã„ã¾ã™ã€‚ 具体的ãªä¾‹ã‚’見
Twitter ã§ãƒ™ãƒ¼ã‚·ãƒƒã‚¯èªè¨¼è¶Šã—ã«ãªã«ã‹ã‚„ã‚‹ã®ã¯æŽ§ãˆãŸæ–¹ãŒè‰¯ã„ - nothing but trouble
JPドメインã®Whoisæƒ…å ±ã‚’JSONPã§å‡ºåŠ›
Web 2.0的アプリã®ã‚»ã‚ュリティ：å†è€ƒã€Œæ©Ÿå¯†æƒ…å ±ã«JSONPã§ã‚¢ã‚¯ã‚»ã‚¹ã™ã‚‹ãªã€ï½œã‚¢ãƒ¼ã‚¯ã‚¦ã‚§ãƒ–ã®ãƒ–ãƒã‚°
第6回　WebAPIã€èªè¨¼APIã®ã‚»ã‚ュリティ | gihyo.jp
第3回　JSONPã§ã®ã‚¯ãƒã‚¹ãƒ‰ãƒ¡ã‚¤ãƒ³ã‚¢ã‚¯ã‚»ã‚¹ | gihyo.jp
AOLã®OpenAuthãŒãƒãƒ£ãƒ¬ãƒ³ã‚¸ãƒ³ã‚°éŽãŽã¦ - snippets from shinichitomita’s journal
ITmedia エンタープライズ：実ã¯ã€Ajaxã®ã‚¦ãƒ©ã«ã“ãå‹ç®—ãŒã‚ã‚‹ (1/5)
日記
æ©Ÿå¯†æƒ…å ±ã«JSONPã§ã‚¢ã‚¯ã‚»ã‚¹ã™ã‚‹ãª
GMailã®ã‚³ãƒ³ã‚¿ã‚¯ãƒˆãƒªã‚¹ãƒˆæ¼æ´©ã¨ãƒ—ライベートJSONP - snippets from shinichitomita’s journal
「拡張åã§ã¯ãªãã€å†…容ã«ã‚ˆã£ã¦ãƒ•ã‚¡ã‚¤ãƒ«ã‚’é–‹ãã“ã¨ã€ã®æ‹¡å¼µå㯠Content-Type ã§ã¯ãªã„ã“ã¨ã«æ³¨æ„ - 葉ã£ã±æ—¥è¨˜
https://labs.cybozu.co.jp/blog/kazuho/archives/2007/01/jsonp-security.php
{{#tags}}- {{label}}
{{/tags}}