JavaScriptセキュリティとWebDAV - snippets from shinichitomita’s journal

複数ユーザが
同ドメインを使い
ユーザが JS を
自由に
記述出来る場合
要注意
プライベートな
部分はすべて
別ドメインにする

ブログのように表示はパブリック、編集はプライベートと完全に分けられる場合は上手く行く。ブログパーツ貼り放題でも大丈夫。
SNSのように、表示にもアクセスコントロール必要性がある場合は、任意のJSのコンテンツを許すのはかなり工夫がいる。というかほとんど禁止している。
そういう状況を見る限り、このあたりの話というのは、結構その道の人にはあたりまえなのだろう。

でも、分野が変わると、もしかしたらそれほど浸透してないような気もする。

たとえばWebDAVをサポートしたドキュメント管理サーバがあって、そこでは複数ユーザやグループでドキュメントの共有・アクセスコントロールも可能で、さらにHTMLドキュメントをブラウザから直接表示できるようになっている場合など。かなりあやしい。

WebDAVをWebアプリケーションのファイルシステムに、XMLHttpRequestをファイルI/Oに、というのはとてもわくわくするのだけどねえ。考えなければならないことが多い。

あ、WebDAVといえば、この前こんなのもみつけた。
http://labs.unoh.net/WebDAV.pdf