ぽぽなだいあり@g:beta このページをアンテナに追加 RSSフィード

popona || A | D, about | F | G: List: beta, moetan, popona | Hatena: Hist || はD-keyword(閾値20)
g:beta管理人をつとめております。 就任挨拶は 05/9/15, 05/9/20の日記参照

2006-02-20

[]テーマHatenaに戻す テーマHatenaに戻す - ぽぽなだいあり@g:beta を含むブックマーク はてなブックマーク - テーマHatenaに戻す - ぽぽなだいあり@g:beta テーマHatenaに戻す - ぽぽなだいあり@g:beta のブックマークコメント

[][][]デザイン編集とスタイルシート デザイン編集とスタイルシート - ぽぽなだいあり@g:beta を含むブックマーク はてなブックマーク - デザイン編集とスタイルシート - ぽぽなだいあり@g:beta デザイン編集とスタイルシート - ぽぽなだいあり@g:beta のブックマークコメント

  • 要はidea:8689。ひさしぶりに日記のデザインをいじってみて気付いたのですが(それまでいじってなかったともいいますが)、他の方も確認された、あるいは既に気付いていたようで。何かエスケープ処理する部分のミスなのかなぁ。コメント部分で何の処理の必要があるのかとも思うけれど、意外な部分でJavaScriptが実行できてきた過去があるから念を入れてるのかな。

nobodynobody2006/02/21 00:27[idea:8689] 100% 憶測ですが http://d.hatena.ne.jp/hatenadiary/20051114/1131966995 で広報された修正の影響かなあと思います。
んで、"*/" に対する処理を追加したのはいいものの、"*/"の直後に" "があるかないかにかかわらず一律に置換するような、いわばちょっと手抜きしたロジックに[[なっち]]ゃってるのかなあと。つまり、"*/" が出てきたら、その直後に問答無用で " " を置いてるだけなのじゃないかと。想像ですけど。
あと、この対策ってヘルプの「はてなダイアリーXSS対策」(→http://hatenadiary.g.hatena.ne.jp/keyword/%e3%81%af%e3%81%a6%e3%81%aa%e3%83%80%e3%82%a4%e3%82%a2%e3%83%aa%e3%83%bcXSS%e5%af%be%e7%ad%96)には掲載されてないみたい。そのことがわかったのは収穫でした。
毎度ながら「はてな」はドキュメント系の仕事は遅いなぁと思いました。まあ、いつものことで、そういうドキュメント修正の必要があるということに気付いてない(忘れてしまった, もう済んだものと思っている)だけとは思いますが。ではでは。

poponapopona2006/02/21 06:43あー、そういえばありましたね、その広報。3ヶ月前だと、ここ数ヶ月私がデザインいじっていなかったのと一致するし~(それなら、ダイアリー側に投稿したほうがよかったのかな。ダイアリーでは確かめてないけど)。で、ここで[[なっちゃ]]は… 対応が難しいロジックとして?

nobodynobody2006/02/21 07:19んー、まあはてなグループで確認された挙動ですし、アイデアの投稿先が「グループ」なのも、べつに悪くはないんじゃないでしょうか
あと、(「[[なっちゃ]]」ではなく(笑))「[[なっち]]ゃ」の件ですが、nobodyの得意な、くだらない冗談(滑りまくって周囲が白けるタイプ)なだけですので、あまりお気になさらぬよう。

nobodynobody2006/02/21 07:39あと、いまさっき気付いたのですが、なぜか「機能変更・お知らせなど」のページにも「はてなダイアリーXSS対策」というキーワードがあって、そちらには"*/"の処理についても記載されてました。
→http://hatena.g.hatena.ne.jp/keyword/%e3%81%af%e3%81%a6%e3%81%aa%e3%83%80%e3%82%a4%e3%82%a2%e3%83%aa%e3%83%bcXSS%e5%af%be%e7%ad%96
どうも、「はてな」さんの側で、なんていうか、資料などの整理整頓ができてないぽい(という個人的な印象を受けました)です。ではでは。

nobodynobody2006/02/21 18:56追記:いま見たら、ヘルプの「はてなダイアリーXSS対策」の項目にも記述されていました。どなたかが直してくださった模様。ヘルプグループ(g:hatenadiary)には参加していないため、どなたが労を割いてくださったかまでは、わかりませんでした。(この場をお借りして、ありがとうございました。> ヘルプをアップデートしてくださったかた)

トラックバック - http://beta.g.hatena.ne.jp/popona/20060220
2004 | 06 | 09 | 11 | 12 |
2005 | 01 | 02 | 03 | 04 | 05 | 06 | 07 | 08 | 09 | 10 | 11 | 12 |
2006 | 02 | 03 | 04 | 07 |
2007 | 01 | 03 | 10 |
2009 | 06 |