Twitterのfriendsが誰でも分かるということについて

Pure JavaScriptで出来たTwittter Reader。

ああ、むかし似たようなことをdel.icio.usでやったなあと、そこまで思ったところで、表示されているのが自分のTwitter Friendsだということに気づいてぶっ飛んだ。

これは今まで知らなかったのだけど、どうやら以下のJSONPリクエストで、いまWebサイトにアクセスして来ている人のTwitter friendsが取得できるらしい

かなり画期的というか挑戦的な仕様。これってほとんどGmailのCSRFのときと同じだと思うんだけどなあ。
もともとめざしてるのがオープンなものであればそれでいいのか。でもどんなサイトも呼び出せてしまうってのは果たしてどうだろうかと思うのだけど。

Friendsから逆算すれば「こんにちはstomitaさん！」くらいならすぐできそうだね。ユーザ確認の入らないWorldWideWeb規模な自動あしあと機能。