サブドメインをユーザーホスティングサイトに使うときのパターン(Same Origin/Cookie/Public Suffix List)

README.md サブドメインをユーザーホスティングサイトに使うときのパターン hoge.example.com でユーザが作成したサイトをホスティングして、任意のJavaScriptを実行できる状態にしたいケース。 サブドメインを分けることで、Fetch APIなどはSame Origin Policyを基本にするため、別のサブドメインや example.com に対するリクエストなどはできなくなる。 一方で、CookieはSame Origin Policyではない。 デフォルトでは、hoge.example.com から example.com に対するCookieが設定できる。 これを利用したDoS(Cookie Bomb)やこの挙動を組み合わせた別の脆弱性に利用できる場合がある。 The Cookie Monster in Your Browsers - Speaker Dec

[tasukuchan]

“ホスティング”

[spark7]

なるほどね。glitch.comとglitch.meもそうだな..「ホスティング専用のドメインを使う方が良さそう」

[efcl]

サブドメインでユーザーが書いたコードとかをホスティングするようなサイトの場合のパターンについて。 Cookieの問題とかがあるので、ドメインを分けたりPSLを使うパターンについて。