Loading article…
JSONP、またはJSON-P（JSON with Padding）は、HTML要素を介してデータを要求するJavaScriptの手法です。[ 1 ]これは2005年にBob Ippolitoによって提案されました。[ 2 ] JSONPは、同一オリジンポリシーを回避してデータを共有することを可能にします。同一オリジンポリシーでは、ページの発信元サイト以外から取得したメディアDOM要素やXMLHttpRequestデータを読み取るJavaScriptコードの実行が禁止されています。発信元サイトは、URIスキーム、ホスト名、ポート番号の組み合わせによって示されます。<script>
JSONPリクエストは、データソースが悪意のあるコードで応答する可能性があるため脆弱であり、そのため現代のアプリケーションではCORS（クロスオリジンリソース共有、2009年から利用可能[ 3 ]）によって強化されています。
HTML要素は一般的に、外部ソースから取得したJavaScriptコードを実行することが許可されています。CORSが導入される以前は、純粋なJSONデータで応答するサービスは、外部ソースからのデータを共有できませんでした。 <script>
例えば、外部サービスへのCORSリクエストはhttp://server.example.com/Users/1234JSONレスポンスを返す場合があります。しかし、CORSを使用せずにドメイン間でそのデータを利用しようとすると、JavaScriptエラーが発生します。
タグの属性http://server.example.com/Users/1234に渡されると、ブラウザはファイルをダウンロードし、その内容を評価しますが、生の JSON データをブロックとして誤って解釈し、構文エラーを発生させます。生の JSON データが JavaScript オブジェクト リテラルとして解釈されたとしても、オブジェクト リテラルは変数への代入なしにはアクセスできません。src<script>
JSONPでは、クライアントとサーバーがURLエンコードされたクエリ引数（慣例的に`<script>`jsonpまたは`<script>`）に合意することでこの問題を解決しますcallback。クライアントはこの引数を使用して、サーバーがレスポンスの先頭に追加するテキストを定義し、JSONペイロードを括弧で囲んでJavaScriptドキュメントを作成します。エンコードされたURLが` <script>`要素srcの属性に渡されると、クライアントはJSONPリクエストを送信し、サーバーからのレスポンスJavaScriptドキュメントがブラウザに読み込まれます。通常、これはJavaScript環境で定義された関数を呼び出し、レスポンス内のJSONデータを操作するために使用されます。<script>
JSONPリクエストの例http://server.example.com/Users/1234
<script type="application/javascript" src="<nowiki>http://server.example.com/Users/1234?jsonp=parseResponse</nowiki>"> </script>
この例では、クライアントがparseResponse先頭に追加するテキストを定義しています。サーバーの応答は次のようになります。
parseResponse({"Name": "Foo", "Id": 1234, "Rank": 7});ここで、parseResponse()JSONP の「P」は、純粋な JSON の周りの「パディング」です。[ 4 ]
JSONPは、スクリプト要素と組み合わせて使用する場合にのみ意味を持ちます。新しいJSONPリクエストごとに、ブラウザは新しい要素を追加するか、既存の要素を再利用する必要があります。前者の方法、つまり新しいスクリプト要素を追加する方法は、動的なDOM操作によって行われ、スクリプト要素の挿入と呼ばれます。要素はHTML DOMに挿入され、目的のJSONPエンドポイントのURLが属性として設定されます。この動的なスクリプト要素の挿入は、通常、JavaScriptヘルパーライブラリによって行われます。jQueryなどのフレームワークにはJSONPヘルパー関数が用意されており、スタンドアロンのオプションもあります。<script><script>src
jQueryを使用してJSONP呼び出し用のスクリプト要素を動的に挿入する例は次のようになります。
$ . getScript ( "http://server.example.com/Users/192.168.73.96?callback=parseResponse" );要素が挿入されると、ブラウザは要素を評価し、src URL に対して HTTP GET を実行してコンテンツを取得します。次に、ブラウザは返されたペイロードを JavaScript として評価します。これは通常、関数呼び出しです。このようにして、JSONP を使用すると、ブラウザページはスクリプト要素の挿入を介して同一オリジンポリシーを回避できます。[ 5 ]
スクリプトはインクルードページのスコープ内で実行されるため、インクルードページのドメインに関するクロスドメイン制限の対象となります。つまり、たとえば、WebページはJSONPを介して別のサイトでホストされているライブラリを読み込み、そのサイトに対してXMLHttpRequestリクエストを行うことはできません（クロスオリジンリソース共有（CORS）がサポートされている場合を除く）。ただし、そのようなライブラリを使用して、自身のサイトに対してXMLHttpRequestリクエストを行うことは可能です。
リモート サーバーからスクリプト要素を含めると、リモート サーバーがWeb サイト内に任意のコンテンツを挿入できるようになります。リモート サーバーに JavaScript の挿入を可能にする脆弱性がある場合、元のサーバーから配信されるページはリスクが高まります。攻撃者が任意の JavaScript を元の Web ページに挿入できる場合、そのコードは任意のドメインから追加の JavaScript を取得し、同一オリジン ポリシーを回避できます。[ 6 ] Content Security Policy HTTP ヘッダーを使用すると、Web サイトは Web ブラウザにどのドメインのスクリプトを含めることができるかを伝えることができます。
2011 年頃に、JSONP のより安全な厳密なサブセット定義を定義する取り組みが行われました[ 1 ]。これは、ブラウザが「application/json-p」などの特定のMIMEタイプを持つスクリプト リクエストに対して強制できるものです。レスポンスが厳密な JSONP として解析されない場合、ブラウザはエラーをスローするか、レスポンス全体を無視することができます。しかし、このアプローチはCORSに取って代わられ、JSONP の正しい MIME タイプは のままですapplication/javascript。[ 7 ]
JSONP は、JSON を解決する際に と同じ問題を抱えていましたeval()。どちらも JSON テキストを JavaScript として解釈するため、U+2028 (行区切り文字) と U+2029 (段落区切り文字) の処理方法が JSON 本体と異なっていました。このため、一部の JSON 文字列は JSONP では無効となり、JSONP を提供するサーバーは送信前にこれらの文字をエスケープする必要がありました。[ 8 ]この問題は ES2019 で修正されました。[ 9 ]
サニタイズされていないコールバック名は、コンテンツタイプに関連付けられた制限を回避して、悪意のあるデータをクライアントに渡すために使用される可能性がありapplication/json、2014年の反射ファイルダウンロード（RFD）攻撃で実証されています。[ 10 ]
安全でないJSONPエンドポイントには、悪意のあるデータが注入される可能性もあります。[ 11 ]
JSONP の単純な実装は、クロスサイトリクエストフォージェリ(CSRF または XSRF) 攻撃の標的となります。 [ 12 ] HTML要素はWeb ブラウザの実装で同一オリジンポリシーを尊重しないため、悪意のあるページは別のサイトに属する JSON データを要求して取得できます。これにより、JSON エンコードされたデータが悪意のあるページのコンテキストで評価され、ユーザーが別のサイトにログインしている場合は、パスワードやその他の機密データが漏洩する可能性があります。<script>
Rosetta Flash は、攻撃者が指定した Flash アプレットが脆弱なサーバーから生成されたとAdobe Flash Playerに誤認させることで、脆弱な JSONP エンドポイントを持つサーバーを攻撃者が悪用できるエクスプロイト手法です。Flash Player は同一オリジンポリシーを実装しており、(Cookie を使用した) リクエストを送信し、ホスティングサイトからレスポンスを受け取ることができます。アプレットは、取得したデータを攻撃者に送り返すことができます。これはクロスオリジンエクスプロイトであり、脆弱なドメインに任意の Flash アプレットを埋め込むのと同様の影響があります。このエクスプロイトでは、特定のヘッダーとアドホックなハフマン符号化を使用したDEFLATEブロックを持つzlibストリームを作成し、英数字のみで構成される SWF ファイルにコンパイルされたActionScriptペイロードを使用します。結果として生成された英数字のみの SWF ファイルは、JSONP 呼び出しのコールバック パラメータとして使用されます。 Google、 YouTube、Twitter、Yahoo!、Yandex、LinkedIn、eBay、GitHub、Instagram、Tumblrなどの有名サイトは、 2014年7月まで脆弱性を抱えていました。[ 13 ]この脆弱性は、当初ErlingとAlok Menghrajaniによって発見され、セキュリティカンファレンスで公開発表されました。その後、Gábor Molnárによって脆弱性の悪用が改良されました。GoogleのセキュリティエンジニアであるMichele Spagnuoloがこの用語を作り出し[ 14 ] 、 CVE - 2014-4671 [ 15 ]とCVE- 2014-5333を持っています。[ 16 ] 2014年7月8日にリリースされたAdobe Flash Playerバージョン14.0.0.145では、Flashファイルの検証が強化され、[ 17 ] 2014年8月12日にリリースされたバージョン14.0.0.176では修正が完了し、[ 18 ]この脆弱性が悪用されなくなりました。
Adobeが修正を行う前は、ウェブサイトはJSONPレスポンスの最初のバイトに空のJavaScriptコメント（/**/）または改行を追加することで、自身を保護することができた。
2005 年 7 月、George Jempty は、オプションの変数割り当てを JSON の先頭に追加することを提案しました。[ 19 ] [ 20 ] パディングがコールバック関数である JSONP の元の提案は、2005 年 12 月に Bob Ippolito によって行われたようで[ 21 ] 、現在ではDojo ToolkitやGoogle Web Toolkitなどの多くのWeb 2.0アプリケーションで使用されています。
{{cite web}}: CS1メンテナンス: アーカイブサービスは非推奨になりました (リンク)