スライド概要 SPA(Single Page Application)の普及が一層進んでおり、従来型のMPAを知らないウェブ開発者も生まれつつあるようです。SPA対応のフレームワークでは基本的な脆弱性については対策機能が用意されていますが、それにも関わらず、脆弱性診断等で基本的な脆弱性が指摘されるケースはむしろ増えつつあります。 本セッションでは、LaravelとReactで開発したアプリケーションをモデルとして、SQLインジェクション、クロスサイトスクリプティング、認可制御不備等の脆弱性の実例を紹介しながら、現実的な対策について紹介します。LaravelやReact以外のフレームワーク利用者にも役立つ説明を心がけます。 PHPカンファレンス2022での講演資料です。 PHPカンファレンスでの動画URL https://www.youtube.com/watch?v=jZ6sWyGxcCs

Nuxt.jsを使い始めましたが、SPAとSSRの違いをあまり理解していなかったので、それぞれの動作と違いをまとめました。 SSRについて調べる過程でプリレンダリング(事前描画)についても学んだことも一緒にまとめています。 普段の業務ではコードそのものに目が行きがちですが、動作の違いやメリット/デメリットをしっかり理解した上で技術選定をすることが必要だと感じます。 間違っている点があればマサカリください! HTML/CSS/JacaScriptのみ シンプルにHTML/CSS/JacaScriptのみで動くアプリケーションの場合 動作の流れ 1.クライアント側からHTTPリクエストが送られる 2.サーバーがhtmlファイルを生成 3.サーバーからレスポンスとしてHTML/CS/JSが返ってくる 4.ブラウザ側でhtmlファイル内のJSを実行。ここにAjaxなど再度サーバーとの通信が必要な処

はじめに (1/2) Webアプリの動作するパターンをまとめました。歴史を振り返ることで JAMStack といったモダンなスタックがどういった点で有用なのか理解していきましょう。 発表者：@kimizuy 日々スプラのXPをどう上げるかに頭を悩ませています。ブログもあります。 はじめに (2/2) これは2020年9月16日開催のりあクト！ TypeScriptで始めるつらくないReact開発 第3版Ⅰ. 言語・環境編　読書会のLT用資料として作成しました。 ※ 続きの会も企画する予定です。どちらかというと初学者〜中級者向けです。興味のある方はお気軽にご参加ください。 SST （1/3） 概要 Server Side Templating の略 基本的にはサーバサイドのフレームワークとテンプレートエンジンの組み合わせ 完成した HTML をクライアントに返すため正確にはサーバサイドレンダ

_ [Web制作] JavaScript 無効で閲覧できない静的コンテンツサイトは今でも有害か 「「デジタル庁創設に向けた準備サイト」がスクリプト無効で閲覧できない」にはてブや Twitter で賛否両論が起きていて、自分としても判断に悩むところ。 まず当人が批判している根拠「Flash は消えた、JS も将来はわからない」については、筋が悪い。Internet Archive では現在正常に表示できており、現時点で問題があるとは言い難いことから遠い将来のことを無理矢理持ち出したのだろうが、JS が無くなっている頃は HTML や Web も無くなってるだろう。 一昔前なら SEO 的に最悪と言えたのだけど、昨今のクローラーは JS も理解してくれるので、それも言い難くなっている。 ブコメでアクセシビリティ云々言ってる人もいるけど、JS 使えないブラウザとは具体的にどれのことを想定されてる

デジタル庁創設に向けた準備サイト(www.digital.go.jp)なるものが立ち上がったようです。 が、スクリプト無効設定でアクセスすると残念なことに……。 スクリプト無効設定で www.digital.go.jp にアクセスした様子。真っ白で何も表示されていない。オリジナル画像 サイトポリシー(www.digital.go.jp)の「閲覧環境について」を読むと、 当ウェブサイトでは、より快適にご利用いただくためJavaScriptを使用しています。ご使用のブラウザの設定においてJavaScriptが有効となっていない場合、正しく表示されない、又は操作できないことがありますので、ご了承ください。 サイトポリシー(www.digital.go.jp) とあるので、これは設定ミスやサーバーのエラーでそうなっているのではなく、意図的な作りと思われます。ソースコードを見るに「Nuxt.js」を

Web標準のHTTPクライアントfetch()でストリーミングしながらアップロードできるようになる。

概要 原著者の許諾を得て翻訳・公開いたします。 英語記事: Randall Degges - Please Stop Using Local Storage 原文公開日: 2018/01/26 著者: Randall Degges 日本語タイトルは内容に即したものにしました。 画像は元記事からの引用です。 初版公開: 2019/10/19 追記更新: 2024/04/05 -- リンク情報を記事末尾に移動しました 本気で申し上げます。local storageを使わないでください。 local storageにセッション情報を保存する開発者がこれほど多い理由について、私にはさっぱり見当がつきません。しかしどんな理由であれ、その手法は地上から消えてなくなってもらう必要がありますが、明らかに手に負えなくなりつつあります。 私は毎日のように、重要なユーザー情報をlocal storageに保存す

第５６９号コラム：上原 哲太郎 副会長（立命館大学　情報理工学部　教授） 題：「ウイルス罪の運用が最近変な方向に行ってないか？」 前回のコラムの最後で、「コンピュータウイルスに関する罪の運用が一段と広がっており、技術者の立場からみて疑問が残る司法判断がいくつか下ってしまった」と書きました。今回はその話を少し掘り下げて書いてみたいと思います。 第５４６号コラム：「年末のご挨拶：２０１８年のデジタル・フォレンジックを振り返る」 前回コラムで問題にしたのは、俗に「Wizard Bible事件」「Coinhive事件」と呼ばれる事件でした。さらに、この半年の間にこれに加えて「無限アラート事件」と呼ばれるものが加わってしまいました。Coinhive事件はその後無罪判決が出たことで大きく報じられましたが、罰金刑が確定してしまったWizard Bible事件や、不起訴となった無限アラート事件はそれに比べ

この記事の購読による収益の2割は私（加藤公一）が受け取り、残りはAさんが受け取ります。また、「サポートをする」機能により追加で寄付していただいた分はすべてAさんに渡します。 はじめに 2019年6月13日 Aさんからこんなメールを受け取った。 題名：平素よりお世話になっております。Aです。本日はどうしても折り入ってお願いしたいことがありまして、加藤さんにご相談したく御連絡をさせて頂きました。 加藤公一さん 以前から体調の悪かった父が、今回のアラートループ事件で更に心労が重なりまして、まともに農作業が殆ど出来なくなり、今は病院に通院しながら自宅療養を余儀無くされております。 お恥ずかしい話ですが、私が慢性的な腰痛持ちな為に、長時間運転をすることがなかなか出来ず、ハローワークで短期の仕事がなかなか見つかりませんでした。 寝る時以外は常にコルセットを腰に巻いて、痛み止を飲みながら最近は父親に代わ

マイニングツール，Coinhiveをサイトに設置し，閲覧者にツールを実行させていたことについて，不正指令電磁的記録保管罪の成否が問題となった事件（控訴審係属中）。 事案の概要 X（被告人）は，サイトaを運営していたが，その維持管理費用をまかなうために，サイト閲覧者に仮想通貨のマイニングを行わせ，そこから得られる収益を得るモデルがあることを知った。そこでXは，マイニングスクリプトを自己のウェブサイトのHTML内に記述した。 本件の公訴事実は，おおよそ，「サイト閲覧者の同意を得ることなく，閲覧者の電子計算機にマイニングの演算を行わせる不正指令電磁的記録であるプログラムコードをサイトaを構成するファイル内に蔵置して保管し，もって人が電子計算機を使用するに際してその意図に反するべき不正な指令を与える電磁的記録を保管した」というものである。 ここで取り上げる争点 本件プログラムコードの不正指令電磁的

ふつーのプログラマです。主に企業内Webシステムの要件定義から保守まで何でもやってる、ふつーのプログラマです。 「さあ、今週も始まりました。ピーター斎藤のイマ・トピ・ザ・ニュース！　今日もたくさんのアクセス、ありがとー！　このコーナーはネット界隈でバズってるバズってないに関係なく、元SE のボクが興味深いなーとか、これどうなの、とか思ったり感じたりした話題をテーマに、ゲストと議論する30 分です」 私は襟元のマイクの位置を微調整した。テレビ番組にゲストとして呼ばれたことは何度かあるが、ネットテレビは初めてだ。しかも、ライブストリーミング形式のリアルタイム放送だ。失言しても、編集でカットしてもらうわけにはいかない。 「今日のテーマは、これ」 私の手元のスタンドに設置されたタブレットに、配信中の映像が表示されている。ピーター斎藤の「これ」と同時に、「ジョークプログラム貼ったら補導されちゃったJ

研究会に登録されている方 研究報告は開催初日の1週間前（＝公知日）に電子図書館（情報学広場）で公開します。 ※2019年度より研究発表会当日用サイトのID・パスワードの事前配布は行わないことになりました。研究会に登録されている方で研究発表会に参加されない場合の論文のダウンロードには上記電子図書館をご利用くださいますようお願いいたします。 研究会に登録されていない方 当日受付で資料閲覧用のアカウント情報（URL，ID，PW）をお渡しいたします。 尚、研究会にご登録いただくことで当研究会のバックナンバーも含めて全て電子図書館でご購読いただけます。登録に関しては  「研究会に登録する」のページをご参照ください。 ＜研究発表会のご案内＞ 第84回 電子化知的財産・社会基盤研究会（EIP）開催案内 + 主査: 原田要之助 （情報セキュリティ大学院大） + 幹事: 吉見憲二（佛教大），橋本誠志（徳島文

2019年4月26日夜、日本ハッカー協会主催によるITエンジニア向けセミナー「不正指令電磁的記録罪の傾向と対策」が東京・渋谷で開催された（後援：IPA／情報処理推進機構）。 この日のテーマとなった「不正指令電磁的記録に関する罪」（いわゆる“ウイルス罪”）は、コンピューターウイルスをはじめとする不正なプログラムの作成や提供などを禁じ、罰する目的で作られた法律だ。 しかし最近になって、「Coinhive（コインハイブ）事件」（自らのWebサイトに仮想通貨のマイニングスクリプトを組み込んだことで検挙された事案）、「アラートループ事件」（無限アラート事件、アラートダイアログが繰り返し表示されるWebページへのリンクを掲示板に貼ったことで検挙・補導された事案）、「Wizard Bible事件」（セキュリティ研究のためのWebマガジンが初歩的なリモートコマンド実行コードを掲載したことで管理者らが検挙さ

「ウイルス罪」適用範囲、全都道府県警に開示請求　エンジニアが進ちょく公開、議員に陳情も……いたずらURL事件受け いたずらURLを掲示板に書き込んだ3人がウイルス供用未遂の疑いで摘発。エンジニアの間で「何がアウトかセーフか分からない」と不安が広がる中、ウイルス罪の適用範囲を明らかにするよう求める情報公開請求を行うエンジニアが現れた。 JavaScriptを使った無限ループプログラムのURLを掲示板に書き込んだ3人が不正指令電磁的記録（ウイルス）供用未遂の疑いで摘発されたり、Coinhiveをサイトに設置した複数のユーザーがウイルス取得・保管の疑いで摘発されるといった事態を受け、「何をすればウイルス罪に当たるのか、セーフとアウトのラインが分からない」とエンジニアの間で不安が広がっている。 そんな中、全都道府県警に対して、ウイルス罪の適用範囲を明らかにするよう求める情報公開請求を行うエンジニア

「あなたがやったことはこれだけ大きな罪なんですよ」――インターネット上の掲示板に「不正なプログラム」を書き込んだとして検挙された男性がねとらぼ編集部の取材に応じ、兵庫県警に受けた取り調べの一部始終を語りました。「ブラクラ」という言葉すら知らなかった男性はなぜ書類送検されたのでしょうか（関連記事）。 兵庫県警が「ブラクラ」だと主張しているページ。実際には「無限アラート」であり、「ブラクラではない」という意見が多い 事件のあらまし 猫のアスキーアート（AA）とともに、「何回閉じても無駄ですよ～ww」と書かれたポップアップが繰り返し表示されるサイトのURLをインターネット上の掲示板に書き込んだとして、13歳の女子中学生が補導、39歳と47歳の男性が家宅捜索を受けたとの報道がなされたのは3月初旬のこと。 NHKによる報道（NHKより／現在は削除済み） 一部では掲示板に貼られたURLが「ブラウザクラ

「負けられない裁判だった」モロさん、Coinhive訴訟を振り返る　裁判所からは「涙が出るほど嬉しい言葉」も サイト閲覧者に仮想通貨をマイニングしてもらうことで収益を得られるツール「Coinhive」を、閲覧者に無断で自身のサイトに設置したとして、不正指令電磁的記録保管罪に問われた裁判で、無罪を勝ち取ったデザイナーの「モロ」さんが4月4日、事件や裁判の振り返った文書を、自身の「note」で公開した。 「もはや私の意思とは半ば無関係に負けられない裁判だった」などと述懐。サポートしてくれた人への感謝をつづるとともに、裁判所が「良質なコンテンツを生み出す上で収益は必要不可欠」と判断したことで、コンテンツ制作にコストがかかることが正式に認められたと感じ、「涙が出るほど嬉しい言葉だった」と振り返っている。 モロさんは2017年、リリースされたばかりのCoinhiveに可能性を感じ、自前のWebサイト