忍者ブログ
[PR]
×

[PR]上記の広告は3ヶ月以上新規記事投稿のないブログに表示されています。新しい記事を書く事で広告が消えます。



2017/09/26 05:21 |
memocarilog『PHPを使ってはてなブックマークの人気エントリーを表示する』の感想
http://memocarilog.info/wordpress/5278

まず思ったこと。
「はてなブックマークのタイトルにスクリプトって入れられるかな。」

はてなを一切使用したことがないので仕様とか知らないんですけどね。

なお参照先のWEB Drawer『JavaScriptを使って、自サイトでの「はてなブックマーク」の人気記事一覧を表示する』でも、無邪気に$().append()で追加してますね。

まあタイトルが長ければ途中で切られてしまうようですし、実質的に意味のあるインジェクションを行うのは難しいでしょうけど、外部からの変数を利用する場合は必ずhtmlspecialchars()を使用しましょう。
JavaScriptであれば、文字列連結ではなくinnerTextなどを使うのが安全でしょう。

まあレスポンスはJSONPなくらいだし、この場合はリンク先を完全に信用するのが前提なのかもしれませんが、だからといって今回は信用できる、こっちは信用できない、なんてやってたら間違いなく事故ります。
外部からの値は常に信用できないものとして取り扱うべきです。

ちなみにリンク先のことくらいであれば、わざわざCURL使わなくても@file_get_contents($url)の一行で終わるのは秘密。

PR


2013/04/27 22:04 | Comments(1) | PHP

コメント

とブログを書いたところ2時間足らずで修正されてました。
はや!
そして素晴らしい姿勢ですね。
posted by NurseAngel at 2013/04/28 00:35 [ コメントを修正する ]

コメントを投稿する






Vodafone絵文字 i-mode絵文字 Ezweb絵文字 (絵文字)



<<買ったものリスト 2013/04/28 | HOME | AuraPHP 1.0.0 Aura.Uri>>
忍者ブログ[PR]