［さらに気になる］JSONの守り方：教科書に載らないWebアプリケーションセキュリティ（5）（3/3 ページ）

XMLHttpRequest Level 2、XDomainRequest利用の注意点は

　XMLHttpRequest Level 2、XDomainRequestの両方に共通する注意点として、以下のようなものがあります。

●Cookie は送信されない

●Originリクエストヘッダが付加される

GET /data.txt HTTP/1.1
Origin: http://example.jp
Host: example.com

　上記の例では、レスポンスとしてテキストデータを返却していますが、ここでも忘れてはならないのはIEのContent-Type無視によるXSSです。

　このテキストデータ（この例ではhttp://example.com/data.txt）に直接IEでアクセスした場合に、データ内にHTMLの断片が含まれている場合には、IEがファイルタイプをHTMLと判断しXSSが発生する可能性があります。これを避けるために

• サーバ側では、リクエストにOriginヘッダが付加されているかを確認し、Originヘッダがある場合のみXMLHttpRequest Level 2あるいはXDomainRequestからのリクエストであると判断して正しい応答を返す。
• サーバ側では“GET”ではなく“POST”のみ受け入れる。

のような対策が必要となります。

　このように、XMLHttpRequest Level 2、XDomainRequest を利用すると、JSONPのような不自然さを感じることなくクロスドメインでの通信が簡単に実現できます。これ以外にも、ブラウザによってはCross-document Messagingのような通信方法も実装されています。いずれも新しい技術であり、今後の普及に注目です。

　より詳細な情報に関しては、下記のリファレンスを参考にしてください。