第8章 マッシュアップ クライアントサイドマッシュアップ: #4 リクエスト強要攻撃による善意のAPIへの侵害 シナリオ4 は、悪意のサイトのコンテンツにブラウザが操られ、ユーザの意思に反して善意のAPI への攻撃が起こるというものである。このシナリオで考えられる攻撃には「リクエスト強要攻撃」がある。本節では、クライアントサイドマッシュアップの状況におけるリクエスト強要攻撃について論じる。 「リクエスト強要攻撃」 リクエスト強要攻撃は、罠のコンテンツを用いてブラウザを誘導し、ユーザの意思に反した HTTPリクエストを善意のWebサーバへ送信させる攻撃である。ユーザ本人の望まない「更新系」のトランザクションが投入され、被害が生じる。 これまで注意深いWebアプリケーション開発者の間では、サーバにおける「更新系」の処理について「リクエスト強要攻撃」が警戒され、対策がとられてきた。対策が「更新系
2010年08月17日06:45 カテゴリLightweight Languages Ajax - Goodbye, JSONP. Hello, Access-Control-Allow-Origin もうそろそろJSONPとはお別れできるのではないかと思い立ったので。 XMLHttpRequestとその問題 AjaxといえばXHRの愛称で親しまれているXMLHttpRequestですが、これには一つ重大な欠点がありました。 これを発行するDHTMLページのドメインが、Request先のドメインと一致する必要があったのです。いわゆる Same Origin Policy というやつです。おかげでサイトをまたがって使えなかったのです。これではマッシュアップできない。どうしよう。 JSONPとその問題 そこで生まれたのが、JSONPという手法です。 これは、scriptノードを追加した時に、単
Ext JSとは Extは7月6日(米国時間)、Ext JSの最新版となるExt JS 3.0をリリースした。 Ext JSはJavaScriptベースのWebアプリケーションフレームワーク。高い拡張性をそなえ、デスクトップアプリケーションと比較しても見劣りしないユーザインタフェースをWebブラウザ上で簡単に実現することができる。 同ライブラリは各種Commercial Licenses、OEM / Reseller License、GNU GENERAL PUBLIC LICENSE Version 3の複数ライセンスのもとで公開されているオープンソースソフトウェア。ライセンス体系や各種価格についてはLicensing Overviewを参照されたい。 Ext JS 3.0の概要については、「Exit JS 3.0登場、コーディングなしでUI開発するツール」や「Ext JS 3.0 -
Ext - A foundation you can build on Extは10日(米国時間)、Ext JSの最新版となるExt JS 3.0を公開した。Ext JSはJavaScriptで開発されたWebアプリケーションフレームワーク。軽量で高い拡張性を保持しつつ、デスクトップエクスペリエンスと近い滑らかな動作を実現しているという特徴がある。 Ext JS 3.0は多くの機能が追加されているほか、従来からある機能の拡張や改善も実施されている。もっとも注目したいのは、プレビューバージョンとしてだが同梱されるようになったExt Designerだ。Adobe AIRで開発されたUI開発用の統合開発環境で、コーディングすることなくUIを生成できるようになる。 Ext Designer Preview - Ext JS - Blogより抜粋 ただしExt JS 3.0とともに公開されたバージ
Google Waveの発表で、一気にリアルタイムストリームへの流れが強まっている。基盤的な技術になるのはCommetやXMPPといったプッシュ配信を可能にする技術だ。相互のやり取りがリアルタイムになれば、コラボレーションはもっと素晴らしいものになるだろう。 トップページには同じURLを見ている人たちと会話を楽しめるデモ そんなプッシュ配信技術はCommetのような新しいもの、XMPPのように古参のものと幾つか存在する。その一つにAPEがある。 今回紹介するオープンソース・ソフトウェアはAPE、Ajaxによるプッシュ配信を行うサーバソフトウェアだ。 APEはAjax Push Engineの略称だ。技術的にはAjaxのみを使い、特別なプラグインなどを必要とせずにプッシュ配信を行うのが特徴だ。そのため、IE/Firefox/Safari/OperaといったWebブラウザはもちろんのこと、iP
ヤフー株式会社は、2023年10月1日にLINEヤフー株式会社になりました。LINEヤフー株式会社の新しいブログはこちらです。LINEヤフー Tech Blog こんにちは、Yahoo!地図の開発を担当しています前田博敏です。 今回は、JavaScriptから外部サイトのWeb APIを直接呼び出すことができる、JSONPという手法について紹介させていださきます。 JSONPとは JSONPとは、JavaScriptの外部ファイル読み込み（「script」タグとその「src」指定）を利用して、ドメインの異なる外部サイトのデータを読み込む手法のことを言います。 JSONPを利用するには、呼び出される側のWeb APIがJSONP形式に対応している必要があります。 Yahoo!デベロッパーネットワークでは、現在のところローカルサーチAPIとショッピングAPIが、JSONP形式に対応しています。
Razor - Profile and Optimize Web 2.0 Ajax Performance WebアプリケーションやWebページのデバッグ・分析にはFirebugが重宝する。しかしながらFirebugはFirefoxのエクステンションとして開発されているためIEやSafari、Operaといったほかのブラウザで作業する場合はそのブラウザ向けに提供されているツールかまたはFirebug Liteを使う必要がある。Firebug LiteはFirebugの機能をほかのブラウザにも提供する興味深いクロスブラウザツールだが、Firefoxに提供しているのと同じ機能はまだ提供できていないし、うまく動作しない機能もある。 そこでクロスブラウザAjaxアプリケーション分析ツールRazor Profilerに注目したい。Razor Profilerはデプロイ済みのJavaScriptベース
Ajaxライブラリが生まれた経緯 Ajaxテクノロジで開発する上で、大きな問題となることの1つは各Webブラウザ間の互換性問題です。主にInternet Explorer（以下、IE）とそれ以外のWebブラウザの仕様の違いに依存しています。 まず、Ajaxの肝となるXMLHttpRequestの呼び出し方からして異なっています。 IEの場合は、「xmlhttp = new ActiveXObject("Microsoft.XMLHTTP")；（IE７はXMLHttpRequest()でも可能）」となり、それ以外のWebブラウザでは、「xmlhttp = new XMLHttpRequest()；」となります。 また、オブジェクトにイベントをアタッチするやり方も違います。 IEの場合は、「element.attachEvent('onclick', handler);」となり、それ以外のWe
上を行くかどうかは知りませんが :-p Ajaxはクライアントの都合でサーバーに通信を仕掛けるpull型の通信ができ、Cometはサーバーが好きなタイミングでクライアントへデータを送りつけるpush型の通信ができるわけですが、新たに双方向の通信ができる技術を開発しました。 具体的には、JavaScriptとサーバーの間で双方向のRPCができます。すなわち、サーバーからクライアント側のJavaScriptのメソッドが呼べるし、逆にクライアント側からサーバー側のメソッドを呼ぶこともできます。 サーバー側で call("addMessage", "Hello!") とやると、JavaScript側の function addMessage(msg) { ... } という関数が呼ばれたりします。 この技術を使って、試しにチャットシステムを作ってみました ＞ デモ （ソースコード）*1 リアルタイ
Ajaxの定義を考える 皆さんはAjaxという言葉がなんの略かご存じですか？ AjaxはAsynchronous JavaScript + XMLの略称で、Asynchronousは非同期という意味です。この言葉はデザインコンサルティング会社Adaptive PathのJesse James Garrett氏によって提唱されました。 その内容はadaptive pathの2005年2月18日掲載記事で読むことができます（出典：Ajax: A New Approach to Web Applications）。 その記事によればAjaxという具体的な技術があるわけではなく、既存技術の組み合わせによって定義されると述べられています（図1）。 では、それを満たさないとAjaxと言えないのでしょうか？ データ通信に関して最近ではJSONというフォーマットが主流でXMLを使うことは少ないですし、動的
こんにちは。「本が好き！」などを担当している根岸です。 【01】改めて、Ajax って、なんだろう？ 最近は、Ajax を使用したサイトが増えてきました。 Ajax とはブラウザ内(リロードレス)でサーバー側との非同期通信(同期可)を行い、その結果、インタラクティブ性の高いユーザーインターフェースを構築する仕組みを指します。 2005年に登場した、 Google Maps や、 Google Suggest から一気に広まりました。 Ajaxとは、そもそも「 Asynchronous JavaScript + XML 」の略です。直訳すると「非同期な JavaScript と XML」となりますが、「なんじゃそりゃ？」で すよね。 昔ながらのWebサイトは、 (A)ウェブブラウザがページのリクエストをする (B)ウェブサーバーがリクエストされたページを HTML 形式で返す という通信を、
賃貸暮らしのわが家の地震対策【揺れから命を守る編】 以前のブログでも記載した、防災の優先順位に基づいて対策を進めています。まだ手をつけられていない部分もありますが、ある程度まとまってきたのでざっくりとご紹介していきます。 優先順位別に改善していっているため、今回は主に地震の揺れ対策がメインになります。…
深くて広いDojo Toolkitの世界を紹介する、当連載は今回4回目だ。 前回は、Dijitプログラミングをこれから行っていく上で最低限必要な知識として、「属性」や「メソッド」、そして「拡張ポイント」についての説明を行った。今回は、マークアップを用いずにDijitプログラミングを行う方法について解説したい。 マークアップを用いないDijitプログラミングの概要 「マークアップを用いずに」と言うのは、つまり「JavaScriptコードのみを用いてウィジェットを生成する」と言うことだ。どういうことかを手っ取り早く知っていただくために、まずは軽くコードで説明しよう。 まずは、ボタンウィジェットをマークアップで記述する例をお見せする。 <div id="button" dojoType="dijit.form.Button" label="クリック!></div> このコードを、マークアップを用
2008年04月02日06:00 カテゴリLightweight Languages Ajax - Ricollab郵便番号検索+Google Map 早速混ぜてみた。 ricollab Web Tech Blog ? Blog Archive ? ricollab実験サービス第一弾を開始します! 本日より、ricollabの語源の一つである「リコーラボ」としての活動の第一弾、郵便番号検索サービスを開始します。 ricollab 郵便番号検索 Google マップ API の概念 - Google マップ API - Google Code 〒 半角数字7けた 住所 郵便番号を7桁入力すると、対応する住所が住所欄に入ります。そのままでよければsubmit、そうでなければ微調整(たとえば番地も入力)してsubmitすると、地図が切り替わります。 Google Map APIも、jsapi と
Enterprise Strategy Group: Go-to-market Expertise to Help You Win
こんにちは、JavaScript担当の（株）アークウェブの竹村です。 前回はAdobe AIRの制作環境構築と、ユーザに配布するまでの流れを説明しました。 Adobe AIRでAjax！HTMLとJavaScriptでそのままAIRに移行できるサンプル 今回もマッシュアップサービスを利用しつつ、AIR APIをいくつか使ったサンプルを用意しました。 ホットペッパーのマッシュアップサンプル『オヒルダ！』 ホットペッパーのAPIに「ランチ」というフラグがあるのに着目し、ランチを提供しているショップリストを表示するサンプルです。ショップ検索をする際に、予め自分の住所や 指定した緯度経度などを設定できるようにしています。 オヒルダ！の構成は↓このようになります。 最初にWeb版を作ります。Web版には下記の機能を盛り込みます。 w-1. ホットペッパーAPIを通して検索結果一覧を表示する w-2.
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く