私的良スレ書庫
不明な単語は2ch用語を / 要望・削除依頼は掲示板へ。不適切な画像報告もこちらへどうぞ。 / 管理情報はtwitterでログインするとレス評価できます。 登録ユーザには一部の画像が表示されますので、問題のある画像や記述を含むレスに「禁」ボタンを押してください。
元スレ+ JavaScript の質問用スレッド vol.78 +
JavaScript スレッド一覧へ / JavaScript とは? / 携帯版 / dat(gz)で取得 / トップメニューみんなの評価 :
レスフィルター : (試験中)
>>840
<input type="buttpn" value="チェック" id="check_<?php echo $id ?>">
ってしておいて、
jQuery(function($){
$('#check_1').click(function(){/* 1の時の処理 */});
$('#check_2').click(function(){/* 2の時の処理 */});
});
<input type="buttpn" value="チェック" id="check_<?php echo $id ?>">
ってしておいて、
jQuery(function($){
$('#check_1').click(function(){/* 1の時の処理 */});
$('#check_2').click(function(){/* 2の時の処理 */});
});
>>803、>>837みたいなクロージャ使えって話と
それに反応してメモリリークの話がループしてるな
IEのクロージャによるメモリリークは完璧ではないけど大体直ってるんだよ。
http://d.hatena.ne.jp/zorio/20070626/1182875782
http://d.hatena.ne.jp/zorio/20070918/1190135017
ちなみに、>>825はアウトっぽいね
それに反応してメモリリークの話がループしてるな
IEのクロージャによるメモリリークは完璧ではないけど大体直ってるんだよ。
http://d.hatena.ne.jp/zorio/20070626/1182875782
http://d.hatena.ne.jp/zorio/20070918/1190135017
ちなみに、>>825はアウトっぽいね
JSONPで機密情報を扱う際のセキュリティについて質問させてください。
Cookieによるログイン認証済みであれば機密情報をJSONPで返すAPIを作っています。
機密情報は特定のドメインでだけ利用できるようにしたいので以下のように実装してみたのですが、
これで第三者に悪用される危険性はなくなったと言えるでしょうか？
JSONPの中身
(function(){
if (location.hostname.match(/\.allow\.example\.com$/)) {
callback(JSONデータ);
}
})();
ダメだとしたら、どういう場合に問題が起きるのか教えてください。
ただし、データ利用側にXSS脆弱性などはないものとします。
よろしくお願い致します。
Cookieによるログイン認証済みであれば機密情報をJSONPで返すAPIを作っています。
機密情報は特定のドメインでだけ利用できるようにしたいので以下のように実装してみたのですが、
これで第三者に悪用される危険性はなくなったと言えるでしょうか？
JSONPの中身
(function(){
if (location.hostname.match(/\.allow\.example\.com$/)) {
callback(JSONデータ);
}
})();
ダメだとしたら、どういう場合に問題が起きるのか教えてください。
ただし、データ利用側にXSS脆弱性などはないものとします。
よろしくお願い致します。
メモリリークって本来はブラウザ側がうまく扱うものなんですか？うまくやってないブラウザがおかしいんですか？
それともうまくやってるブラウザは親切でやってくれてるだけでスクリプト書いてる個々人が気をつけてうまく書かないといけないものなんですか？
それともうまくやってるブラウザは親切でやってくれてるだけでスクリプト書いてる個々人が気をつけてうまく書かないといけないものなんですか？
求めてるのとは違うかもしれないけど、DOMそのものに値を保持させる方法もあるよ。
DOMにしなければいけない理由はなんでしょうか。
ザクレロじゃだめなんでしょうか？
ザクレロじゃだめなんでしょうか？
>>863
function generateCallback(param) { return function() { alert(param); } }
for (var i = 0; i < 3; i++) {
$("div#" + i).click(generateCallback(i));
}
ループ毎にスコープを作ればいい
スコープを作るには関数呼び出しをすればいい
function generateCallback(param) { return function() { alert(param); } }
for (var i = 0; i < 3; i++) {
$("div#" + i).click(generateCallback(i));
}
ループ毎にスコープを作ればいい
スコープを作るには関数呼び出しをすればいい
>>861
>（認証を受けた人がやろうと思えば特定のドメイン以外で利用可能ということ。）
それは確かにそうなのですが、今回の機密情報というのはそのユーザーに関わる情報なので、
当の本人が自分の意思で第三者のサイトにデータを漏洩させたとしても、
何ら問題はないと考えております。
今回問題だと考えておりますのは、機密情報にアクセスする権利のない第三者が、
正規のユーザーを陥れることによって機密情報を盗み出すことができるかどうか
ということです。
もし、それ以外にもセキュリティホールになりうる事象があれば
ぜひお教えいただきたく思います。
>（認証を受けた人がやろうと思えば特定のドメイン以外で利用可能ということ。）
それは確かにそうなのですが、今回の機密情報というのはそのユーザーに関わる情報なので、
当の本人が自分の意思で第三者のサイトにデータを漏洩させたとしても、
何ら問題はないと考えております。
今回問題だと考えておりますのは、機密情報にアクセスする権利のない第三者が、
正規のユーザーを陥れることによって機密情報を盗み出すことができるかどうか
ということです。
もし、それ以外にもセキュリティホールになりうる事象があれば
ぜひお教えいただきたく思います。
JSONP とは （はてなより）
＞ただし、Same-Originポリシーが存在しないため、機密情報をAPIに含める際には十分な注意が必要である。
ぐぐれば答えすぐ出てるのになんでググらないんだ？
http://gihyo.jp/dev/serial/01/web20sec/0003?page=2
＞ただし、Same-Originポリシーが存在しないため、機密情報をAPIに含める際には十分な注意が必要である。
ぐぐれば答えすぐ出てるのになんでググらないんだ？
http://gihyo.jp/dev/serial/01/web20sec/0003?page=2
>>862
ちょっと理解できなかったのですが、ちょっと背景を整理させて頂きますと
・私のサイトでは、ログイン認証機能（セッション管理にはCookieを利用）と、
ログイン認証済みの場合に機密情報を出力するJSONP APIを提供しています。
・このJSONP APIを利用したいのは、サービス提携している別ドメインのサイトです。
※そのためXHRは利用できず、JSONPでデータ提供しようと考えました。
>Ajaxで使うサーバサイドスクリプトで
と仰っているところから、もしかするとXHRによるデータ取得を想定されているのかと
想像したのですが、もし違っていたらすみません。
ちょっと理解できなかったのですが、ちょっと背景を整理させて頂きますと
・私のサイトでは、ログイン認証機能（セッション管理にはCookieを利用）と、
ログイン認証済みの場合に機密情報を出力するJSONP APIを提供しています。
・このJSONP APIを利用したいのは、サービス提携している別ドメインのサイトです。
※そのためXHRは利用できず、JSONPでデータ提供しようと考えました。
>Ajaxで使うサーバサイドスクリプトで
と仰っているところから、もしかするとXHRによるデータ取得を想定されているのかと
想像したのですが、もし違っていたらすみません。
>>871
はい、まさしくその問題についての対応を考えております。
提示して頂いたサイトも読んだのですが、リファラチェックは同サイトにも
ある通り完全性がなく論外です。
また、クエリストリングに推測不可能な文字列を含めることで不正利用を防ぐ、という方法を取った場合、
その文字列を生成するのは提携サイト、評価するのは私のサイトということになります。
すると、その文字列が正しいかどうかを確認するために、別途Web APIなどで通信しなければならなくなりますし、
何よりその文字列にユーザーを紐付けることができないため、確実性が保証できません。
つまり、ユーザーAが正規の方法によって取得した秘密の文字列を、ユーザーAが運営するサイトで使用すれば
ユーザーBの情報を抜くことができてしまうわけです。
これは秘密文字列に有効期限を設けることによってある程度防げますが、100%ではありません。
もし、私が >>855 に書いた方法によって確実に漏洩を防ぐことができるのならば、
それに越したことはないと考えたわけです。
はい、まさしくその問題についての対応を考えております。
提示して頂いたサイトも読んだのですが、リファラチェックは同サイトにも
ある通り完全性がなく論外です。
また、クエリストリングに推測不可能な文字列を含めることで不正利用を防ぐ、という方法を取った場合、
その文字列を生成するのは提携サイト、評価するのは私のサイトということになります。
すると、その文字列が正しいかどうかを確認するために、別途Web APIなどで通信しなければならなくなりますし、
何よりその文字列にユーザーを紐付けることができないため、確実性が保証できません。
つまり、ユーザーAが正規の方法によって取得した秘密の文字列を、ユーザーAが運営するサイトで使用すれば
ユーザーBの情報を抜くことができてしまうわけです。
これは秘密文字列に有効期限を設けることによってある程度防げますが、100%ではありません。
もし、私が >>855 に書いた方法によって確実に漏洩を防ぐことができるのならば、
それに越したことはないと考えたわけです。
＞リファラチェックは同サイトにもある通り完全性がなく論外です。
え、そうなの？
XSS対策でここを見て弾くような実装はあるし、
それはリファラが（ユーザが自分で偽装しようと思わなければ）
信頼できる値だからだと思ってたけど。
え、そうなの？
XSS対策でここを見て弾くような実装はあるし、
それはリファラが（ユーザが自分で偽装しようと思わなければ）
信頼できる値だからだと思ってたけど。
>>875
一部のセキュリティソフトはリファラを出力しないようにしてしまうため、
そういったユーザーはリファラでアクセス元を確認することができないのです。
リファラは第三者が偽装できない情報のため（昔Flashで偽装できる脆弱性があったそうですが）、
取得さえできれば確実な確認手段として利用することができます。
しかしながら、前述のようにリファラを送信しないユーザーもおり、
そういう意味で補助的にしか利用できないわけです。
一部のセキュリティソフトはリファラを出力しないようにしてしまうため、
そういったユーザーはリファラでアクセス元を確認することができないのです。
リファラは第三者が偽装できない情報のため（昔Flashで偽装できる脆弱性があったそうですが）、
取得さえできれば確実な確認手段として利用することができます。
しかしながら、前述のようにリファラを送信しないユーザーもおり、
そういう意味で補助的にしか利用できないわけです。
ちなみに、Chrome/Safari/Opera限定で
location.__defineGetter__('host',function(){return 'hage'});// location.host -> hage
とか、Firefoxならwatchでやりたい放題とか色々あるよ。
location.__defineGetter__('host',function(){return 'hage'});// location.host -> hage
とか、Firefoxならwatchでやりたい放題とか色々あるよ。
（HTML板より誘導されて来ました）
結果（値）の出力フォームで質問です。
OS：WinXP，ブラウザ：Firefox3.6.3，サクラエディタ使用
JavaScriptで例えば、 ver xA = 3; ver xB = 2; として ver xC = xA + xB;
としたとき、xCをブラウザのフォーム（テキストフォーム？） [ ] 内に出すには
どうすれば良いのでしょうか？
入力はinputタグの例が見つかりましたが出力の方が見つかりません。
結果（値）の出力フォームで質問です。
OS：WinXP，ブラウザ：Firefox3.6.3，サクラエディタ使用
JavaScriptで例えば、 ver xA = 3; ver xB = 2; として ver xC = xA + xB;
としたとき、xCをブラウザのフォーム（テキストフォーム？） [ ] 内に出すには
どうすれば良いのでしょうか？
入力はinputタグの例が見つかりましたが出力の方が見つかりません。
855だった。まあ伝わるよね。
>>882
ちなみに、
if (location == 'http://allow.example.com/xxx')
なら大丈夫だった気がする。いや、本職の人からするとザルかもしれんけど。
>>882
ちなみに、
if (location == 'http://allow.example.com/xxx')
なら大丈夫だった気がする。いや、本職の人からするとザルかもしれんけど。
いや、だからさ…
機密情報を扱うサイトAとBがあって、AからBにJSONPなどで情報を渡したいわけよ。
でも、実際にJSONP使うと全然関係ないサイトXから同じようにJSONPでその機密情報にアクセスできるわけでしょ。
クラッカーは自分のサイトXにトラップを仕掛けておいて、サイトAの利用者が訪れるのを待っていれば、
アクセスがあったときにトラップが発動して何も知らない訪問者の情報を盗めるでしょ。
アクセスしてるのは訪問者自身だからCookieは正規のものだけど、情報を掠め取るのはサイトXになるからCookieは役に立たないよ。
機密情報を扱うサイトAとBがあって、AからBにJSONPなどで情報を渡したいわけよ。
でも、実際にJSONP使うと全然関係ないサイトXから同じようにJSONPでその機密情報にアクセスできるわけでしょ。
クラッカーは自分のサイトXにトラップを仕掛けておいて、サイトAの利用者が訪れるのを待っていれば、
アクセスがあったときにトラップが発動して何も知らない訪問者の情報を盗めるでしょ。
アクセスしてるのは訪問者自身だからCookieは正規のものだけど、情報を掠め取るのはサイトXになるからCookieは役に立たないよ。
>>885
下記で試しましたが、「xC」とフォームに表示されます。
<form>
<input type="text" value=xC>
</form>
あと、「入力の時に参照したvalue」の意味が分かりません。
（数値はJavaScriptで定義しています）
下記で試しましたが、「xC」とフォームに表示されます。
<form>
<input type="text" value=xC>
</form>
あと、「入力の時に参照したvalue」の意味が分かりません。
（数値はJavaScriptで定義しています）
<input type="text" value="def" id="t">
<script>
document.getElementById("t").value="change"
</script>
<script>
document.getElementById("t").value="change"
</script>
document.imlink.src = "
";
これでnameがimlinkのsrcを書き換えることは出来たのですが、
aタグのhrefを書き換えるにはどうしたらよいでしょうか？
document.alink.href = "http://example.jp";
これだとうまくいってないようです。
"; これでnameがimlinkのsrcを書き換えることは出来たのですが、
aタグのhrefを書き換えるにはどうしたらよいでしょうか？
document.alink.href = "http://example.jp";
これだとうまくいってないようです。
前へ 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 次へ
/ 要望・削除依頼は掲示板へ / 管理情報はtwitterで / 
JavaScript スレッド一覧へ類似してるかもしれないスレッド
- + JavaScript の質問用スレッド vol.74 + (1001) - [97%] - 2009/12/1 6:08 ○
- + JavaScript の質問用スレッド vol.75 + (1001) - [97%] - 2010/1/23 1:07 ○
- + JavaScript の質問用スレッド vol.76 + (1001) - [97%] - 2010/3/10 4:02
- + JavaScript の質問用スレッド vol.77 + (1001) - [97%] - 2010/5/8 19:06
- + JavaScript の質問用スレッド vol.79 + (1001) - [97%] - 2010/9/11 6:50
- + JavaScript の質問用スレッド vol.88 + (1001) - [97%] - 2011/7/20 7:03
- + JavaScript の質問用スレッド vol.98 + (1001) - [97%] - 2012/4/9 14:46
- + JavaScript の質問用スレッド vol.138 + (1004) - [95%] - 2019/4/20 23:45
- + JavaScript の質問用スレッド vol.128 + (1001) - [95%] - 2016/2/26 6:45
- + JavaScript の質問用スレッド vol.108 + (1001) - [95%] - 2013/9/21 15:16
- + JavaScript の質問用スレッド vol.118 + (1002) - [95%] - 2014/8/29 22:30
- + JavaScript の質問用スレッド vol.94 + (1001) - [95%] - 2012/1/8 15:46
- + JavaScript の質問用スレッド vol.93 + (1001) - [95%] - 2012/1/1 4:46
- + JavaScript の質問用スレッド vol.96 + (1001) - [95%] - 2012/1/28 23:01
- + JavaScript の質問用スレッド vol.95 + (1001) - [95%] - 2012/1/17 4:16
- + JavaScript の質問用スレッド vol.97 + (1001) - [95%] - 2012/3/1 3:31
- + JavaScript の質問用スレッド vol.99 + (1001) - [95%] - 2012/5/7 4:32
トップメニューへ / →のくす牧場書庫について