2003年7月29日(火曜日)
PDF をダウンロードさせる
更新: 2003年7月30日
PDF ファイルをブラウザ内で開くわずらわしさを回避しつつダウンロードする手順も掲載しておくといいだろう。残念ながら、現状のテクノロジーでは、これは一般ユーザには難しい操作だ。ファイルを表示しないでダウンロードする特殊なリンクが作れるようになるといいのだが。
PDF の Content-Type: が application/octet-stream になるようにしておけば、勝手にダウンロードになったりしないでしょうか。そんなに難しい対処ではないと思いますが。
それとも、例によって IE が Content-Type を無視して自動判別の結果を優先したりするのでしょうか。PDF まで自動判別するのかしら？ 手元に適切な PDF のリソースがないので試せないですが……。
※追記 : yuuさんからテスト用の PDF ドキュメントを頂きました。ありがとうございます。そんなわけで、application/octet-stream な PDF へのリンク。試してみましたが、やっぱり MSIE6 は Content-Type を無視して PDF として表示しようとするみたいですね。とほほほ……。Content-Type 無視はセキュリティ上の問題にもなりますから、本当に何とかしてもらいたいものですが。
※2003-07-30 追記 : Content-disposition: attachment を付けるとダウンロードになるのではないかというご指摘を頂きました (えむけいさん、yuuさんありかとうございます)。そんなわけで、application/octet-stream かつ Content-disposition: attachment な PDF へのリンク。……おお、確かにダウンロードになりますね！ これで Jakob さんも安心。
- 「PDF をダウンロードさせる」へのコメント (22件)
XSS大王シリーズ終焉か
例のニフティ Web フォーラムのセキュリティホールですが、こんなアナウンスが出ています。
継続して行っております脆弱性対応の一環としてフォーラムについてサブドメイン化を行わせていただくこととなりました。このサブドメイン化を行うことにより、脆弱性対応についての大きな作業は完了となります。
どうしてサブドメイン化がセキュリティ対応なのかについては、ここを読んでいる人には説明不要でしょう。
※でも一応書いておきますと、Cookie の有効ドメイン範囲を修正し、hpcgi1.nifty.com などから読まれないようにするためですね。
これが完了すれば、私が把握している Web フォーラムのセキュリティホールは全て対応されることになります。
……よく見ると URL が https じゃなくて http だったり、高木さんのところ (staff.aist.go.jp)にはちょうど良いタイミングで「Cookie盗聴によるWebアプリケーションハイジャックの危険性とその対策」と題する PDF のドキュメントが出ていたりしますが、まあその辺りは気づかなかったことにしておきましょうか……。
※蛇足ですがこれも一応説明しておくと、要するに、ニフティはパケット盗聴によるセッションハイジャックを考慮していない可能性があるということです。昔から http と https が良く分からない感じで入り乱れていたりしましたし。
なお、Web フォーラムとパレットは別のサービスです。この対処は「@nifty パレットのセキュリティホール まとめ」に書かれているセキュリティホールには影響ありません。
- 前(古い): 2003年7月28日(Monday)のえび日記
- 次(新しい): 2003年7月30日(Wednesday)のえび日記
