JavaScript frameworks security report 2019 | Snyk
Welcome to Snyk's State of JavaScript frameworks security report 2019. In this report, we investigate the state of security for both the Angular and React ecosystems. This report by no means intends to venture into any rivalries that may exist between the two in terms of whether one or the other is a true framework - we are not comparing them as competitive frameworks at all. Instead, we review th
Angular 1.5.8 Ban · Issue #1000 · mozilla/addons-linter
Describe the problem and steps to reproduce it: Submit Web Extension API extension using Angular 1.5.8 What happened? Linter throws banned error with linked article. What did you expect to happen? Better explanation. Anything else we should know? Hey guys, we've been developing our new extension (https://github.com/bitwarden/browser) for months now and are hoping to bring it to Firefox. It has bee
世界トップクラスの専門家による日本発の情報セキュリティ国際会議「CODE BLUE」
松田 卓也 Takuya Matsuda 1943年 大阪生まれ 1961年 大阪府立北野高校卒業 1961年 京都大学理学部入学 1965年 京都大学理学研究科物理学第二専攻修士課程入学 1967年 同博士課程進学 天体核物理学専攻 1970年 同修了 理学博士 1970年 京都大学工学部航空工学科助手 1973年 同助教授 1992年 神戸大学理学部地球惑星科学科教授 2006年 同定年退職 神戸大学名誉教授 その間、英国ウエールズ大学ユニバーシティカレッジ・カーディフ客員教授、国立天文台客員教授、日本天文学会理事長を歴任、現在はジャパン・スケプティックス会長 現職: NPO法人あいんしゅたいん副理事長、中之島科学研究所研究員 研究歴: 宇宙論、相対性理論、宇宙物理学、流体力学、コンピュータ・シミュレーション 趣味: プレゼンテーション理論、疑似科学批判、合気道 著書: 「相対論的宇宙
Secure Escaping method for the age of HTML5 #appsecapac2014
HTML5時代の安全なエスケープ手法 Secure Escaping method for the age of HTML5 Yoshinori TAKESAKO @takesako Cybozu Labs, Inc. about:TAKESAKO OWASP JAPAN Advisory Board 2008: Microsoft MVP "Developer Security" 2011: SC22/ECMAScript (ISO/IEC 16262) 2012: HTML5 technical review (coauthor) 2013: ECMA-262 Edition 5.1 (en2ja) Today's agenda XSS is a threat consistently listed in the OWASP Top 10 1. to prevent
AngularJSとサーバーサイドテンプレートの混在とngNonBindable
Angularとサーバーサイドテンプレートの混在 先日リリースされた某サービス(他社)がAngularを使っていて、XSSがボロボロ出てくるだとか、{{var}} な形式で値を入力するとng-template側でテンプレーティングされるだとかの話がありました。 詳しくは見ていないので、今回の話とまったく同じかは把握していませんが、サーバーサイドテンプレートを混在させると、次のようなことが起こりえます。 例えばejsとAngular サンプルとしてスカスカなControllerを用意します。 angular.module('app', []).controller('AcmeCtrl', function($scope) { $scope.foo = 'bar'; }); ejsは次のようなテンプレートになっているとします。
AngularJSの$httpにX-Requested-Withをつける - hokaccha memo
AngularJSでHTTP Requestする際に、1.1.1より前まではX-Requested-Withをつけてたらしいんだけど、CORSのpreflightを飛ばさないためにデフォルトでは削除したらしい。 https://github.com/angular/angular.js/issues/1004 X-Requested-Withをつけたい場合は以下のようにする。 myModule.config(function($httpProvider) { $httpProvider.defaults.headers.common['X-Requested-With'] = 'XMLHttpRequest'; }); このヘッダでXHRかどうか判断する場合がある（Railsとかも）ので注意。
3分で分かるAngularJSセキュリティ - teppeis blog
先日のng-mtg#4 AngularJS 勉強会でLTしようと思ったけど申し込みが間に合わなかったのでブログに書きます。 先月リリースされたAngularJS 1.2はセキュリティがんばってる的なことを聞いたので、セキュリティ周りの仕組みを調べてみました。 お題は以下です。 CSRF JSON CSP (Content Security Policy) Escaping CSRF ユニークなトークンをHTTPリクエストに載せてサーバーでチェックする対応が世の中では主流（最近はカスタムヘッダのチェックによる対策も） AngularJSでは、XSRF-TOKEN Cookieにトークンが載っていると、$httpを使ったHTTPリクエストのヘッダに自動的にX-XSRF-TOKENヘッダーが付く。 XSRF-TOKEN CookieはもちろんNot HttpOnlyで。 Angular界ではCS
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
AngularJSとの危険な関係 by Mario Heiderich - CODE BLUE 2015
Optimizing Angular 2 Apps - Martin Probst
An Abusive Relationship with AngularJS
そろそろ押さえておきたい AngularJSのセキュリティ
Google Code Archive - Long-term storage for Google Code Project Hosting.
AngularJS: ng.$sce
feat($sce): new $sce service for Strict Contextual Escaping. · angular/angular.js@bea9422