「Opera 8.0 正式版リリース」記事へのコメント

これってヤバイんじゃ？

[Anonymous Coward]

[Reload from Cache]機能がけっこうヤバイ。

ソース表示時にソースを編集して、キャッシュからページを再表示する機能なんだけど、
SSLセッション中にセッションを切らずにＨＴＭＬを改竄して再表示が可能。
HIDDENフォームタグなども操作し放題です。

Re:これってヤバイんじゃ？

[bakuchikujuu (16666)]

　POSTされたhiddenの内容をそのまま信用するのがそもそも間違いかと。
　視覚ブラウザじゃなくて自分でプログラムを書いたりすれば、httpsで接続してデータを受け取って改竄してPOSTすることはできるはずですから。

アドレスバー直書きだけで可能

[Anonymous Coward]

自作プログラムなんか要りません．ごく普通のブラウザだけでもできます．ブラウザのアドレスバー（URL窓）に，適切なリクエストパラメータ(検索エンジンの結果表示の，あのズラズラ長いURLのこと)を直接書き込めばいいだけです（たいていのWebアプリケーションサーバは，Get と Postを同一視するから）．

ユーザがWebアプリの本来意図しないデータをサーバに送るのは，ホントに簡単なのです．

だから，まともなWebアプリなら，ユーザからどのような値が送られたとしても，サーバ側でそれを検証して，おかしな挙動を起さないようにします．例えばJava の

Re:アドレスバー直書きだけで可能

[bakuchikujuu (16666)]

　その方法を忘れてました。
　自分でも、method="POST"のformから呼ぶCGIの結果へのリンクを張ったりするために使うことがあるのに。