新生鳩丸掲示板♯

>mixi内にはあちこち GET で CSRF 可能な箇所がありました。

　なるほど、そうなのですね。それは知りませんでした。

　他にも結構あるのでしょうか……。

>正直、あの時はあまり深く考えずにお勧めしてましたので、（結果はどうであれ）その点は反省。

　いえいえ、とんでもない。面白かったですよ。

「普通は重要なデータ更新を扱う処理を GET にしたり」”してしまうこともある”ので、GETは止めようと言っておこうということです。単にCSRF対策というだけではなくなりますが。また、はせがわさんもおっしゃってますけど、GETによるCSRFもあります。

誤解を受ける可能性があることも含め、ばけらさんに同意します。

例によって某IEの脆弱性にご配慮する話とごっちゃになっているのでは。

ばけらさんに同意しますが、POSTに限定すべきページでGETも許容されている(意識的にではないと思いますが)ページは珍しくありませんよね。

mixi内にはあちこち GET で CSRF 可能な箇所がありました。

例えば、プロフィールの「写真を編集する」にある(写真の)「削除」のURL <http://mixi.jp/delete_photo.pl?number=..&post_key=..> の、post_key パラメータなどはその名残(というか対応)です。

「ことねっと」さんに、超お勧めされたオレオレ証明書を受け入れてみたところ、確認画面からの送信先が http:// となっていて、ステキを通り越して、凄まじさを感じました。

如何に自信を持って勧めたものであっても、配慮が足りないと相手に残念な思いをさせる事があるんですね。

正直、あの時はあまり深く考えずにお勧めしてましたので、（結果はどうであれ）その点は反省。

…と、話をすり替えてるうえに何が言いたいのかよくわからないよ。僕。＞＜

http://www.new-akiba.com/archives/2006/08/patch_folder_and_file_security.html

ここで紹介されてるツールでタブ追加できました

>>それはともかく、世界のりゅうさんに真も日ブの更新処理をしてください、とお伝え願えないでしょうか？

>　既に10回くらい言っているような……。

　ようやくちゃんと補足されるようになった模様です。

>Wikipediaの「実体参照」の項によると、

>その定義はXMLの話で、

>HTMLとSGMLでは、数値文字参照と文字実体参照を合わせて実態参照と呼ぶ

>と言うふうに書かれてます。

>（Wikipediaが正しいかはわかりません）

どう見てもWikipediaの実体参照の説明が間違っている(というかHTMLの文字参照の説明になっている)ので、修正の上「文字参照」に移動してみました。

履歴を見るとiwaimさん【誰】も編集にかかわっているのに今まで放置されていたのがすごいです。

キンオブゴットってどうやったらてにはいるんですか。教えて下さい。

まじでー〔＞-＜〕

ククク、再登場だぜ。くりきんはなんてゆうか歌がいいよね。（＾－＾）　クリスターリアもいいけど、ワルスタリアもいいです。　　　　　　　　　あと、でこ広い人さんのすきなキンは、ゴミスキンではなく、ブリゴキンです。

買いなよ！おもしろいよ（まじで！）

買うのやめようかなあ？だって危険なんでしょう？

まじでー！

でこ広いさんと同様他の人にキンを奪われるとむかつきます！ぼくのコユウキンはアダムスキンでした好きなキンはクリスターリアです

こんにちわ

なまえハレタ

ともだちコード．３３９４０４４８２２４７

こんにちわ

なまえハレタ

ともだちコード．３３９４０４４８２２４７

よろしく