問18 Ajax

ほかの選択肢が違う理由

• イCSS は、頁の色、大きさ、配置などの見た目を指定する言語です。サーバと通信する機能はありません。
• ウDOM は、HTML や XML の文書を木の形の部品として扱い、プログラムから読み書きするための仕組みです。Ajax で受け取ったデータを画面に反映するときに使いますが、通信の技術ではありません。
• エSAX は、XML の文書を頭から順に読み、要素が現れるたびに知らせる読み方 (解析の API) です。

仕組み

Ajax で受け取ったデータを画面に差し込むとき、データを HTML として入れてしまうと、利用者の入力がスクリプトとして動く XSS の入口になります。文字として入れるのが基本です。

裏で呼ばれる API も、ふつうの画面と同じように攻撃の的になります。画面のボタンが隠れていても、API の側で認可を確かめる必要があります。