JSONPとAJAXの違いはわかりません

Question

1. JSONPのコールバック関数とAJAXの成功コールバック関数との違いはわかりません。

2. ＃1では、基本的にどのように安全であるかはわかりません。

3. AJAXとの擬似同一ドメイン制約の唯一の違いは何ですか？

4. なぜAJAXはクロスドメイン要求を許可しないのですか。これがセキュリティホールを引き起こす可能性がある場合、攻撃はJSONPリクエストをXSSしませんか？

混乱、 マックス

Answer 1

AJAX呼び出しは、サーバーに直接クライアントからの実際のHTTPリクエストです。 Ajaxの呼び出しは、同期する（完了するまでブロックする）か、非同期にすることができます。同じ起源のセキュリティ保護のため、ターゲットサーバがCORSを使用してクロスオリジン要求を明示的に許可しない限り、ウェブページが来たのと同じサーバに対してのみajaxコールを行うことができます。

JSONP呼び出しは、クロスオリジン通信を可能にする<script>タグを使用した面白いハックです。 JSONP呼び出しでは、クライアントはスクリプトタグを作成し、URLにcallback=xxxxというクエリパラメータを指定してURLを設定します。そのスクリプト要求（スクリプトタグ挿入による）は、ブラウザによって外部サーバに送信されます。ブラウザはちょうどそれがいくつかのJavaScriptコードを要求していると思っています。サーバーはこの呼び出しのために特別なjavascriptを作成し、返されたときにブラウザによって実行されるjavascriptにサーバーはcallback=xxxxという名前の関数に関数呼び出しを行います。データをその関数に渡すことによって変数を定義することにより、サーバーはデータをクライアントに返信することができます。 JSONPでは、クライアントとサーバーの両方がJSONP呼び出しの動作方法とデータの定義方法に協力しなければなりません。クライアントは、JSONPを明示的にサポートしていないサーバーに対してJSONP呼び出しを行うことはできません。これは、JSONP応答の正確なタイプがサーバーによって構築されなければならないか、動作しないためです。

したがって、2つの通信方法は全く異なる働きをします。 ajax呼び出しだけが同期することができます。 <script>タグ挿入の性質上、JSONP呼び出しは常に非同期です。

Ajax呼び出しでは、応答がajaxイベントハンドラに戻ってきます。

JSONP呼び出しでは、返されたJavascriptがあなたの関数を呼び出すときに応答が返されます。

JSONPは、いくつかの点で、クロスオリジンセキュリティメカニズムをバイパスするセキュリティホールです。しかし、JSONPのようなメカニズムをサポートすることを明示的に選択したサーバーを呼び出すことができるので、サーバーがクロスオリジンを呼び出せないようにしたい場合は、JSONPをサポートしないことでサーバーを防ぐことができます。これらの他のサーバーに対しては、通常のajax呼び出しを行うことはできません。

ブラウザのメーカーは、このような抜け穴を本当に閉じることはできません。なぜなら、Webページの数が多すぎるとJSONPを使用したり、他のドメインのスクリプトを読み込んだりすることになるからです。たとえば、GoogleまたはMicrosoftのCDNからjQueryを使用するウェブ上のすべてのページは、ブラウザがクロスオリジンドメインからJavaScriptをダウンロードできないため、中断されます。

JSONPは、クロスオリジン要求を行うための回避策として発明されました。しかし、JSONPは動作させるために明示的なサーバーサポートが必要なので、実際にセキュリティ上の問題はありませんでした。JSONP呼び出しは、そのタイプのクロスオリジン呼び出しを許可することを明示的に決定したサーバーに対してのみ可能です。 JSONPはCORSがこれを制御/許可するよりエレガントな方法として発明されて以来、これまでよりもずっと少なく使用されています。 CORSはCross Origin Resource Sharingの略であり、ターゲットサーバがどのタイプのクロスオリジン要求が許可されているかをウェブブラウザに正確に伝え、どのウェブページドメインがそのような要求をすることを許可されているかを伝える手段を提供する。これはJSONPよりもはるかに細かい制御が可能で、現在のすべてのブラウザでCORSがサポートされています。

ここでは、クロスオリジンコールが問題を引き起こす例を示します。他のWebページから任意のWebページをロードしたり、任意のAjax呼び出しを行うことができたら、他のブラウザウィンドウでYahooのWebメールインターフェイスに既にログインしているとします。これは、ブラウザからの要求がYahooからデータを取得できるように、Cookieが設定されていることを意味します。他のウェブページのjavascriptが（自動的にあなたのクッキーが添付されている）Yahooにウェブメールリクエストをすることを許可されていれば、それはあなたのウェブメールデータをすべて取り出して自分のサイトに送り返すことができます。 1つのWebサイトで、他のWebサイトからログインしたすべてのデータを取り除くことができます。すべてのWebセキュリティが壊れるでしょう。

しかし、今日のように、Yahooは同じWebクッキーを使用するJSONPインターフェイスをサポートしていない限り、許可されていないJSONPリクエストからは安全です。基本的な違いがあることである

Why the cross-domain Ajax is a security concern?

Why Cross-Domain AJAX call is not allowed?

Why are cross-domain AJAX requests labelled as a "security risk"?

最新の質問

• 1.
• 2.
• 3.
• 4.
• 5.
• 6.
• 7.
• 8.
• 9.
• 10.

 関連する問題

• 1.
• 2.
• 3.
• 4.
• 5.
• 6.
• 7.
• 8.
• 9.
• 10.