Comment久しぶりにJarlsbergを再開。Manipulationの最後の問題。ちなみに、アプリケーションの名前がJarlsbergからGruyereに変わっていました。...と思ったのですが、ここを見るに、すでにJarlsbergというtrademarkが存在していたためでしょうか。XSSI.」とのこと。javascriptなどは、自ドメインのページに、外部ドメインのスクリプトをincludeすることができる。APIを使うときは、Googleから提供されているjavascriptを自ドメインのページにincludeすることになる。includeされたスクリプトは、そのincludeされたドメインのコンテキストで動作する。snippetを参照する方法を見つけなさい、という問題。ヒントに「feed.gtlを呼ぶとどうなる?」とあるので、呼んで見る。snippetを持つユーザーでログインした状態で、feed.jtlにアクセスしてみると、以下のようなデータが返ってくる。snippetが格納されている。次のようなHTMLを準備する。snippet.”がダイアログに表示される。snippetが表示されただけである。snippetが取得されてしまうことになる。対策XSRFと同様、以下のような対策が考えられる。tokenを使用し、リクエストが正当であることを確認するRefererヘッダをチェックし、自ドメインからのアクセスであることを確認するscriptタグによる埋め込みを防ぐために、POSTリクエストのみを受け付けるまた、もしJSONPのように、クロスドメインでのサービス提供のためにスクリプト埋め込みを用いる場合は、そもそも不必要な機密情報を含まないようにすることが大事。コメントをキャンセルメールアドレスが公開されることはありません。ThemeHall.。