http://commonsmarker.com/user/nic nic さんの新着マークをお届けします。 http://commonsmarker.com/mark/13700 “例えばSQLインジェクションであれば、情報漏えいやデータ改ざんなどの危険性があるので理解できますが、XSS対策として過剰に投資する必要性に疑問を感じるのです。” 【コメント】データベースに保存した情報は生データのはずなのに HTML で出力する際にエスケープしないとか、SQL インジェクションと XSS は同じレイヤー上で考えなければいけない事のはず。 ウェブサイトへの攻撃とエンドユーザーへの攻撃と言う違いがあり、後者は直接運営企業に影響しないながらも「マルウェアの発信地」となってしまうような事は避けるべき。 必要性に疑問を感じることに疑問を感じる。 “例えばSQLインジェクションであれば、情報漏えいやデータ改ざんなどの危険性があるので理解できますが、XSS対策として過剰に投資する必要性に疑問を感じるのです。” 【コメント】データベースに保存した情報は生データのはずなのに HTML で出力する際にエスケープしないとか、SQL インジェクションと XSS は同じレイヤー上で考えなければいけない事のはず。 ウェブサイトへの攻撃とエンドユーザーへの攻撃と言う違いがあり、後者は直接運営企業に影響しないながらも「マルウェアの発信地」となってしまうような事は避けるべき。 必要性に疑問を感じることに疑問を感じる。 ]]> nic 2009-04-02T06:55:01+09:00 セキュリティ http://commonsmarker.com/mark/13699 “いま、あえて問います。世間でいわれているほど、XSSは危ないのでしょうか？” 【コメント】どう考えても危ないでしょ。 SQL インジェクションでスクリプト埋め込んだりするんだから。 “いま、あえて問います。世間でいわれているほど、XSSは危ないのでしょうか？” 【コメント】どう考えても危ないでしょ。 SQL インジェクションでスクリプト埋め込んだりするんだから。 ]]> nic 2009-04-02T06:34:08+09:00 セキュリティ 釣り http://commonsmarker.com/mark/11485 “Ext.Direct - Remoting and data streaming/comet support” 【コメント】期待 “Ext.Direct - Remoting and data streaming/comet support” 【コメント】期待 ]]> nic 2009-01-25T09:09:49+09:00 javascript ext.js comet http://commonsmarker.com/mark/11395 “いずれも、スキルの蓄積に繋がらない話の上、給与面や待遇面もアレだ。” 【コメント】「スキルの蓄積になる仕事を探す」という猶予が欲しいなら独力で探すべき。 少なくとも、第三者の力で選択肢が与えられている状況の中で自分の理想に合うものが無かったとしてもその中から選んで自立した生活基盤を構築してから独力で自分の理想に合う仕事を探すべき。 被害者として職を失ったとしても、誰かに助けられている以上まずは自立した生活基盤を構築する事が第一ではないのか。 “いずれも、スキルの蓄積に繋がらない話の上、給与面や待遇面もアレだ。” 【コメント】「スキルの蓄積になる仕事を探す」という猶予が欲しいなら独力で探すべき。 少なくとも、第三者の力で選択肢が与えられている状況の中で自分の理想に合うものが無かったとしてもその中から選んで自立した生活基盤を構築してから独力で自分の理想に合う仕事を探すべき。 被害者として職を失ったとしても、誰かに助けられている以上まずは自立した生活基盤を構築する事が第一ではないのか。 ]]> nic 2009-01-22T12:16:31+09:00 派遣 時事 http://commonsmarker.com/mark/11394 “今回の問題って、派遣労働についての雇用の信義則を企業側、派遣会社側が守らないというのも大きな問題じゃないかと。” 【コメント】保証の薄さがアウトソーシングのメリットじゃないのか。例え「いつクビになるかわからないけど、それでも良かったら働いて下さい」って明言されていたとしても状況は変わらなかったと思う。 “今回の問題って、派遣労働についての雇用の信義則を企業側、派遣会社側が守らないというのも大きな問題じゃないかと。” 【コメント】保証の薄さがアウトソーシングのメリットじゃないのか。例え「いつクビになるかわからないけど、それでも良かったら働いて下さい」って明言されていたとしても状況は変わらなかったと思う。 ]]> nic 2009-01-22T12:09:52+09:00 派遣 時事 http://commonsmarker.com/mark/11393 “上記の背景考えないで放言したところで、「寝言は寝て言え」だよな。そもそも、今回の派遣切り食らった奴についてはいろんな背景があるわけで。” 【コメント】結局は「実績を作る」行為を疎かにして実際に切られるまで派遣に甘んじてる精神に問題があると思うんだけど。 どんな背景があっても生き残るために起こす行動は人それぞれなわけで、今回浮浪者ギリギリのところを国に助けてもらってる人間はそこら辺の行動力がないだけでしょ。 “上記の背景考えないで放言したところで、「寝言は寝て言え」だよな。そもそも、今回の派遣切り食らった奴についてはいろんな背景があるわけで。” 【コメント】結局は「実績を作る」行為を疎かにして実際に切られるまで派遣に甘んじてる精神に問題があると思うんだけど。 どんな背景があっても生き残るために起こす行動は人それぞれなわけで、今回浮浪者ギリギリのところを国に助けてもらってる人間はそこら辺の行動力がないだけでしょ。 ]]> nic 2009-01-22T12:07:03+09:00 派遣 時事 http://commonsmarker.com/mark/11320 “畳の目を数えてました。” 【コメント】待ち合わせに遅れそうなときに良く使う。 “畳の目を数えてました。” 【コメント】待ち合わせに遅れそうなときに良く使う。 ]]> nic 2009-01-20T11:46:10+09:00 言い訳 http://commonsmarker.com/mark/11319 “TOP” 【コメント】test1 “TOP” 【コメント】test1 ]]> nic 2009-01-20T11:44:43+09:00 http://commonsmarker.com/mark/11272 “「あなたにとっての意味」というのは、それがどんな意味であれ、あなたの寿命以上の長さを持ち得ない。「私にとっての宇宙の意味」も、私が死ねばなくなってしまう。仮に宇宙の寿命が無限だとしても、その意味において「意味」というのは元から「なくなってしまう」ものだったのだ。” 【コメント】二元論は僕も嫌いじゃない。 “「あなたにとっての意味」というのは、それがどんな意味であれ、あなたの寿命以上の長さを持ち得ない。「私にとっての宇宙の意味」も、私が死ねばなくなってしまう。仮に宇宙の寿命が無限だとしても、その意味において「意味」というのは元から「なくなってしまう」ものだったのだ。” 【コメント】二元論は僕も嫌いじゃない。 ]]> nic 2009-01-18T09:25:13+09:00 哲学 http://commonsmarker.com/mark/8700 “なんでみんな、たった一言「htmlspecialchars()でくくれよ！」って 直接、正解を言ってくれなかったんだろう。一言で済むのにね。” 【コメント】母親のような大きな愛で包み込みつつ皮肉を紛れ込ませている。 これに気づかないのは一種の才能。鈍感力。 “なんでみんな、たった一言「htmlspecialchars()でくくれよ！」って 直接、正解を言ってくれなかったんだろう。一言で済むのにね。” 【コメント】母親のような大きな愛で包み込みつつ皮肉を紛れ込ませている。 これに気づかないのは一種の才能。鈍感力。 ]]> nic 2008-10-31T12:00:19+09:00 ネタ XSS http://commonsmarker.com/mark/8699 “何で悪い大人の人はXSSの脆弱性を突いてきて悪い事をするんですかー？？” 【コメント】彼が街中をパンツ一丁で歩いていて僕がサインペンを持っていたとしたら、100%彼に落書きをする。 一言「服着たほうがいいよ」と言わないのは、パンツ一丁で歩く事のリスクを知らないまま社会生活を送ってきたが想像できないから。 落書きする方が注意するよりも格段に楽しいというのも理由の半分以上を占めるけど、的は書かない。どこからかダーツが投げられて彼が怪我をするのは本意ではないから。 “何で悪い大人の人はXSSの脆弱性を突いてきて悪い事をするんですかー？？” 【コメント】彼が街中をパンツ一丁で歩いていて僕がサインペンを持っていたとしたら、100%彼に落書きをする。 一言「服着たほうがいいよ」と言わないのは、パンツ一丁で歩く事のリスクを知らないまま社会生活を送ってきたが想像できないから。 落書きする方が注意するよりも格段に楽しいというのも理由の半分以上を占めるけど、的は書かない。どこからかダーツが投げられて彼が怪我をするのは本意ではないから。 ]]> nic 2008-10-31T11:55:28+09:00 メモ 世間知らず http://commonsmarker.com/mark/8333 “Apple Universityの狙いは複数考えられる。Appleがよりどころにしてきた大学や学生たちに対するマーケティングと流通の強化、「iTunes U」として知られる現在のプロジェクトの拡大、McDonald'sの有名なHamburger Universityと同様のApple従業員向けの社内研修プログラムなどである。” 【コメント】産能大学みたいなものか。 “Apple Universityの狙いは複数考えられる。Appleがよりどころにしてきた大学や学生たちに対するマーケティングと流通の強化、「iTunes U」として知られる現在のプロジェクトの拡大、McDonald'sの有名なHamburger Universityと同様のApple従業員向けの社内研修プログラムなどである。” 【コメント】産能大学みたいなものか。 ]]> nic 2008-10-23T15:31:26+09:00 apple ニュース http://commonsmarker.com/mark/8053 “Eclipseを起動しようとしたところ、「JVM terminated. Exit code=1」というエラーが発生してEclipseが起動しないではないか。これでは仕事ができない！と思い、googleしたところ、404 Not Foundに対処方法があった。 原因は複数のJDKがインストールしてあるとどのVMを起動してよいかわからないということらしい。確かに昨日の夜にJDK1.5.0_07環境にJDK1.5.0_08をインストールしたが、それが原因なのか。 しかし、会社ではJDK1.5.0_06とJDK1.5.0_08が入っているが問題なく起動している。もしかしたら環境変数の問題かも知れない。 対処方法はEclipseのショートカットに-vmとしてVMのパスを記述するということである。 ECLIPSE_PATH\eclipse -vm JAVA_HOME\bin\javaw.exe” 【コメント】Eclipse が起動しない場合の対処。 JDK が勝手に増えたのでメモ。 “Eclipseを起動しようとしたところ、「JVM terminated. Exit code=1」というエラーが発生してEclipseが起動しないではないか。これでは仕事ができない！と思い、googleしたところ、404 Not Foundに対処方法があった。 原因は複数のJDKがインストールしてあるとどのVMを起動してよいかわからないということらしい。確かに昨日の夜にJDK1.5.0_07環境にJDK1.5.0_08をインストールしたが、それが原因なのか。 しかし、会社ではJDK1.5.0_06とJDK1.5.0_08が入っているが問題なく起動している。もしかしたら環境変数の問題かも知れない。 対処方法はEclipseのショートカットに-vmとしてVMのパスを記述するということである。 ECLIPSE_PATH\eclipse -vm JAVA_HOME\bin\javaw.exe” 【コメント】Eclipse が起動しない場合の対処。 JDK が勝手に増えたのでメモ。 ]]> nic 2008-10-16T08:11:47+09:00 eclipse java http://commonsmarker.com/mark/7994 “URLエンコード後の文字長は最大512バイト” 【コメント】DoCoMo の仕様 “URLエンコード後の文字長は最大512バイト” 【コメント】DoCoMo の仕様 ]]> nic 2008-10-12T19:40:44+09:00 仕様 携帯電話 URL http://commonsmarker.com/mark/6992 “ヒッグス粒子がついに確認される。確かに、LHCでヒッグスを発見できれば悪くはないが、それでは物理学者がすでに知っている多くのことを確認したにすぎず、科学の進歩には貢献していない。まったくつまらない結果だ。” 【コメント】非処女だと噂されていた学園のアイドルが実際に非処女だった事を知った時の心境に近い。 “ヒッグス粒子がついに確認される。確かに、LHCでヒッグスを発見できれば悪くはないが、それでは物理学者がすでに知っている多くのことを確認したにすぎず、科学の進歩には貢献していない。まったくつまらない結果だ。” 【コメント】非処女だと噂されていた学園のアイドルが実際に非処女だった事を知った時の心境に近い。 ]]> nic 2008-09-15T10:59:04+09:00 言い回し http://commonsmarker.com/mark/6772 “mixiユーザーのみなさんは世界中の10,000以上のOpenID対応サイトを、mixiのIDだけで利用できます。さらに、外部のブログや動画共有サイトなどでも、mixiと同じように「友人まで公開」といった公開範囲を設定できるようになります。” 【コメント】凄い。一見すると普通なのにとんでもない釣り。 “mixiユーザーのみなさんは世界中の10,000以上のOpenID対応サイトを、mixiのIDだけで利用できます。さらに、外部のブログや動画共有サイトなどでも、mixiと同じように「友人まで公開」といった公開範囲を設定できるようになります。” 【コメント】凄い。一見すると普通なのにとんでもない釣り。 ]]> nic 2008-09-07T12:11:21+09:00 mixi openID http://commonsmarker.com/mark/6771 “なんと今回はご縁あって、日本語版 Twitter チームが開発する、新しいコミュニティサービスの基調デザイン制作を担当することになりました！！” 【コメント】Twitter JP で一般公募してたサイトデザインの話かな？鬼門臭がしすぎてて眺めてみていたけど・・・・無事に済むことを祈るばかり。 “なんと今回はご縁あって、日本語版 Twitter チームが開発する、新しいコミュニティサービスの基調デザイン制作を担当することになりました！！” 【コメント】Twitter JP で一般公募してたサイトデザインの話かな？鬼門臭がしすぎてて眺めてみていたけど・・・・無事に済むことを祈るばかり。 ]]> nic 2008-09-07T12:01:56+09:00 twitter http://commonsmarker.com/mark/6770 “WindowsといったOSレイヤーが何であるかが重要でなくなる。全てはブラウザとそれを支えるgearsで完結できるようになる。” 【コメント】gears が壮大な伏線だったという話。 “WindowsといったOSレイヤーが何であるかが重要でなくなる。全てはブラウザとそれを支えるgearsで完結できるようになる。” 【コメント】gears が壮大な伏線だったという話。 ]]> nic 2008-09-07T11:48:57+09:00 google chrome http://commonsmarker.com/mark/6653 “たぶんNP_TrackBackが入っていないからだと思います！ http://blog.cles.jp/item/17...” 【コメント】NP_ImpExp でエクスポートできない原因のひとつとして考えられるもの “たぶんNP_TrackBackが入っていないからだと思います！ http://blog.cles.jp/item/17...” 【コメント】NP_ImpExp でエクスポートできない原因のひとつとして考えられるもの ]]> nic 2008-09-03T17:16:59+09:00 Nucleus プラグイン http://commonsmarker.com/mark/6301 “ただし出品するのはあくまで交渉のための優先権であり、落札すれば即譲渡というものではない。その後譲渡に向けての話し合いを実際に行い、譲渡が決定した場合、落札額からYahoo!オークションの手数料を引いた額を実際の譲渡額から相殺する予定だという。さらに落札後、譲渡に至らなかった場合は落札額から手数料を引いた額を返金する予定だという。” 【コメント】「見せ金」のうまいやり方。 “ただし出品するのはあくまで交渉のための優先権であり、落札すれば即譲渡というものではない。その後譲渡に向けての話し合いを実際に行い、譲渡が決定した場合、落札額からYahoo!オークションの手数料を引いた額を実際の譲渡額から相殺する予定だという。さらに落札後、譲渡に至らなかった場合は落札額から手数料を引いた額を返金する予定だという。” 【コメント】「見せ金」のうまいやり方。 ]]> nic 2008-08-23T12:02:17+09:00 取引 ネットオークション 事業譲渡 http://commonsmarker.com/mark/6300 “原理から正しく学ぶということは、HTMLなりJavaScriptの文法をしっかり学ぶことでもある。またエスケープを正しく行わないと、セキュリティ上の問題以外に、表示がおかしくなるなどの不具合が生じる。これはプログラマとして必須の知識なのだ。” 【コメント】セキュリティ以前に「正しい結果を返す」事が大前提。逆に正しさを理解すればセキュリティの基本的な概念も理解できる。 “原理から正しく学ぶということは、HTMLなりJavaScriptの文法をしっかり学ぶことでもある。またエスケープを正しく行わないと、セキュリティ上の問題以外に、表示がおかしくなるなどの不具合が生じる。これはプログラマとして必須の知識なのだ。” 【コメント】セキュリティ以前に「正しい結果を返す」事が大前提。逆に正しさを理解すればセキュリティの基本的な概念も理解できる。 ]]> nic 2008-08-23T11:34:07+09:00 セキュリティ 開発 http://commonsmarker.com/mark/6299 “大垣さんのブログには、「出力時に過剰とも言えるエスケープ処理」とあるが、多くの文字をエスケープすれは安全になるというものでもない。HTML上の場所に応じた適切なエスケープが必要だ” 【コメント】出力先のフォーマットに即していないとエスケープそのものの意味がない。 “大垣さんのブログには、「出力時に過剰とも言えるエスケープ処理」とあるが、多くの文字をエスケープすれは安全になるというものでもない。HTML上の場所に応じた適切なエスケープが必要だ” 【コメント】出力先のフォーマットに即していないとエスケープそのものの意味がない。 ]]> nic 2008-08-23T11:31:38+09:00 セキュリティ http://commonsmarker.com/mark/6298 “インジェクション系脆弱性の根本原因はリテラル(定数)が枠をはみ出し、命令として解釈されることだ。” 【コメント】ここが理解できないと XSS を理解するのは難しい。 “インジェクション系脆弱性の根本原因はリテラル(定数)が枠をはみ出し、命令として解釈されることだ。” 【コメント】ここが理解できないと XSS を理解するのは難しい。 ]]> nic 2008-08-23T11:30:24+09:00 セキュリティ XSS 本質 http://commonsmarker.com/mark/6277 “「入力間違い」と「不正な入力」をどう区別をつけるのだろう。” 【コメント】入力内容から入力者の意識までは読み取れない。 “「入力間違い」と「不正な入力」をどう区別をつけるのだろう。” 【コメント】入力内容から入力者の意識までは読み取れない。 ]]> nic 2008-08-22T17:52:49+09:00 セキュリティ http://commonsmarker.com/mark/6249 “女の子が入ってくることで内部の穴兄弟化とかが進んだり” 【コメント】CSS nite 化 “女の子が入ってくることで内部の穴兄弟化とかが進んだり” 【コメント】CSS nite 化 ]]> nic 2008-08-21T13:23:44+09:00 カンファレンス 1000スピーカー 思想 http://commonsmarker.com/mark/6247 “決して行ってはならないのはWAFで保護しているから大丈夫、とシステム上で対策できる問題を放置する事です。Webセキュリティ対策はあくまでもWebシステムが"主"でありWAFは"従"です。” 【コメント】きっとこういう当たり前の考えを持たないで WAF を導入するところがでてくるんだろうな。 それで「専用のセキュリティウェアを導入済みでしたが」みたいな言い訳をするんだろう。 “決して行ってはならないのはWAFで保護しているから大丈夫、とシステム上で対策できる問題を放置する事です。Webセキュリティ対策はあくまでもWebシステムが"主"でありWAFは"従"です。” 【コメント】きっとこういう当たり前の考えを持たないで WAF を導入するところがでてくるんだろうな。 それで「専用のセキュリティウェアを導入済みでしたが」みたいな言い訳をするんだろう。 ]]> nic 2008-08-21T12:42:01+09:00 セキュリティ WAF http://commonsmarker.com/mark/6242 “注目すべきは、ここまでの動画アップ・編集機能の利用には、会員登録を求められないところです。この後、実際に動画を公開・共有する時になって初めて登録を求められます。” 【コメント】後回しと言うより「ここまで作ったデータが会員登録しないと保存できない」と言う人質的なアプローチが有効なだけ。 ユーザが1回の利用にかけられるコストが大きいサービスであるほど有効。 “注目すべきは、ここまでの動画アップ・編集機能の利用には、会員登録を求められないところです。この後、実際に動画を公開・共有する時になって初めて登録を求められます。” 【コメント】後回しと言うより「ここまで作ったデータが会員登録しないと保存できない」と言う人質的なアプローチが有効なだけ。 ユーザが1回の利用にかけられるコストが大きいサービスであるほど有効。 ]]> nic 2008-08-21T09:04:35+09:00 webサービス マーケティング 会員登録手法 http://commonsmarker.com/mark/6241 “運営するソーシャルブックマークサイト「PingKing」（ピングキング）の収益化が困難と判断したため。PingKingのサービスは8月31日に終了する。” 【コメント】ソーシャルブックマークサービスだけで収益化なんて図れると考える事自体が香ばしい。 “運営するソーシャルブックマークサイト「PingKing」（ピングキング）の収益化が困難と判断したため。PingKingのサービスは8月31日に終了する。” 【コメント】ソーシャルブックマークサービスだけで収益化なんて図れると考える事自体が香ばしい。 ]]> nic 2008-08-21T09:01:16+09:00 会社 経営 事業 http://commonsmarker.com/mark/6240 “デジタルガレージは、子会社の株式会社WEB2.0（ウェブツーポイントオー）を9月17日付けで解散する。” 【コメント】50年後も web2.0 なんだろうかとヒヤヒヤせずに済んだ。 “デジタルガレージは、子会社の株式会社WEB2.0（ウェブツーポイントオー）を9月17日付けで解散する。” 【コメント】50年後も web2.0 なんだろうかとヒヤヒヤせずに済んだ。 ]]> nic 2008-08-21T09:00:05+09:00 会社 解散 バズワード http://commonsmarker.com/mark/6239 “Poor Man's Multiplexing” 【コメント】http://devblog.opentype.jp/archives/71 “Poor Man's Multiplexing” 【コメント】http://devblog.opentype.jp/archives/71 ]]> nic 2008-08-21T08:53:56+09:00 ネットワーク HTTP プロキシ