すべての質問
javascript security でタグ付けされた
7 件の質問
0
票
3
回答
444
閲覧数
匿名掲示板のIDをクッキーに保存するのは危険ですか?
匿名掲示板を作成中です。仕様とご相談したいことは次の通りになります。
・イメージとしては5ちゃんねるみたいな匿名掲示板
・ログインはなし
・匿名だが各人にIDが振り分けられる
・IDの管理について悩んでいる
利用者が別のページに遷移したり、しばらく経って再び訪問した際、同じPCの同じブラウザからアクセスしたことを知るために、サーバーが発行したランダムな文字列のIDをサーバーのDBに保存し、...
1
票
1
回答
754
閲覧数
悪意のある javascript が実行できることは?
話を簡単にするために、ブラウザ・ホストOSの脆弱性などはなかったと(考慮しないように)します。
悪意のある javascript を含むページを開いてしまった場合に、そのコード断片が実行可能なことは何になりますか? これも簡単のために、それは malicious-web.com という攻撃者独自のドメイン・サイトを閲覧してそこから実行されたとしています。
個人的にこれを聞こうと思った背景には、...
1
票
0
回答
61
閲覧数
管理サイトにおけるAPIの認証について
現在あるサービスの管理サイトを作成しようと考えています。
この管理サイトはJavaScriptのSPAで構築しようとしています。以下にサービスの概要を書きます。
バックエンドのAppサーバ
ドメイン: backend.example.com
サーバ仕様: JSONによりデータベースに変更を加えたりデータを取得したりする。
管理サイトのAppサーバ
ドメイン: admin.example.com
...
1
票
0
回答
162
閲覧数
GoogleAnalyticsを導入したサイトで、PHPで生成するCookieをすべてHttpOnlyにして良いか
XSS対策としてCookieをFuelPHPのConfigを用いてHttpOnlyの設定にしようか検討しております。
しかし、実際にHttpOnlyに設定する前と後で、Cookieを見比べてみると
GoogleAnalyticsのCookieである
_dc_gtm_UA-XXXXXXXXXX=1
が減っていることがわかりました。
これはGoogle Tag ManagerとGoogle ...
1
票
0
回答
434
閲覧数
Google maps JavaScript API のDos攻撃対策について
Github pages 上でGoogle maps JavaScript APIを使ったアプリを作成しようと考えています。
このAPIは使用制限があり、料金は下記のようになっています。
マップのロードが 90 日間連続して 1 日 25,000 回を超過するまで無料 マップのロードが 90 日間の 1 日あたりの
25,000 回の使用制限に達した場合、1 日 25,000 ...
19
票
1
回答
4,995
閲覧数
クライアント側のJavascriptにトークン等を渡したい時、どうやってHTMLに埋め込むべきか
サーバーサイドプログラムが生成した値をJavascriptに渡す際、直接scriptタグ内に変数を出力すべきか、<head>の<meta>タグのcontentとして持たせるべきか決めかねています。
具体例として、CSRF対策用のトークンを使って非同期通信などでデータを取得する際、最初は次のようにしてデータをHTMLに直接出力していました。
<script>
...
5
票
2
回答
342
閲覧数
JavaScript&HTMLクライアント利用時の、クライアントの正当性を担保する方法について
バックエンドAPIサーバーと通信するクライアントを、JavaScript&HTMLで作成しようとしています。
バックエンドで「正しいクライアントからのリクエストか否か」を調べるためには、クライアントに専用の秘密の文字列を埋め込んでおき、それをリクエストパラメータまたはヘッダに含めて送信するのが一般的なのではないかと思います。
しかし、JavaScript&...