|めんどうくさいWebセキュリティの献本は特にいただいていませんが、YAPCでパラパラ見た時に良さそうだと思ったので買ってみました。http://twitter.com/bulkneets/status/235239162268233728ほんとに送ってくれることになって送ってもらいました。サンプルコードにバグがあったので報告などしました。Mobileは安全に使うのが難しいプロダクトだと思います。location.hashで指定されたパラメータをキーにして、同一ドメイン上の任意のファイルを読み込んで表示するというのがデフォルトの挙動だからです。Mobileを使っているドメイン上にHTMLとして表示した際に危ないファイルが一つでもあるとアウトです。著者の吉川さんが書いたような、読み込み可能なパスを制限するというのはとても良いアプローチだと思いました。onerror=alert(1)></body>といったものがありました。APIのcallback関数部分に、任意の文字列が指定できて、HTMLタグが出力できるというものです。適切にContent-Typeが設定されていれば、古いIEでしかXSSを引き起こしません。Mobileが動いていると、こういった出力を読み込むことで、古いIE限定のXSSが全ブラウザ対応に昇格します。XSSなのでXSSフィルタも検知しません。Mobileに積極的にコミットしてきたわけではなく、そうこうしているうちにいつの間にかXSS残ってるまますごいたくさんのサイトに使われるようになってしまい、どうしたものかなーと思うところです。Mobile採用事例みたいな感じでXSS脆弱性残ったままの状態で堂々と紹介されていたりして、割と深刻な状況であるように思います。Mobileを使ってる人や、紹介する人や、関連するプロダクトを作ってる人はそこらへんのフォローをして欲しいなーと思うのと、これから選択を検討している場合や、既に稼働しているプロダクトにつきましては既存のXSSの問題や、あるいは上記のような潜在的な問題について安全かどうか再度確認してほしいなーと思いました。こちらからは以上です。