フロントエンドのコードからの情報漏洩を防ぐための工夫 - BASEプロダクトチームブログ

基盤チームの右京です。 昨今はフロントエンドのアプリケーションもリッチになり、ブラウザ上で実行されるコードが行うことの範囲も増えてきました。一方で多くのことを実装できてしまうのはリスクでもあり、BASE でも問題となることがあります。 その中でも「開発環境の URL」や「デバッグ機能の存在」ような環境毎に異なる情報は、特に意図せずに漏れやすいものだと考えています。これらはコードを記述する際に、実装方法を知識として知っていればその多くが回避可能です。この記事ではその実装例を解説しています。 コードから漏れる情報 例えば、次のようなコードがあるとします。 function debug() { // 開発環境の host であればデバッグ機能を有効にする return location.host === 'dev.example.com'; } なんの変哲もないようなコードに見えますが、ブラウザ

[hase0510]

社内システムに`isAdmin()`という関数を見つけて`isAdmin = () => true;`とかやって遊んだことがある。この手のコードが存在していること自体マズくて、たとえ説明の都合でも例に出すのはよろしくなさげ。

[hdampty7]

バックエンドの環境変数で制御するべき話。フロントエンドではやるなとしか。

[hamaco]

例があんまり良くない気がするけど、開発環境のWeb URLが漏れるのは問題だけど、API URLが漏れるのはセーフ理論なの？よく分からなかった。

[mizdra]

分かりやすい

[issyurn]

これはあるある問題

[Fluss_kawa]

3番なんてproductionが残ってたら、devとかに変更したくなるよね

[ngsw]

:-) わいわい

[yasu-log]

【B!】フロントエンドのコードからの情報漏洩を防ぐための工夫 - BASEプロダクトチームブログ

[sainokami]

さっきbaseに登録した個人情報からwifiの営業の電話がかかってきた。こわい。あれはbase本体とは関係ないんだろうな。公開してる連絡先から営業してきたんだろうな。やめて。