JSONP とコールバック関数名によるXSS（コマ40）

JSONPは、同一オリジンポリシーを回避してデータを取るための古い手法。サーバーは 「関数呼び出しの形のJavaScript」を返し、<script src> で読み込む。

正常な例（callback=render）:

render({"name":"Watanabe","age":29});

対策OFFでは callback を検証しないため、関数名にスクリプトを 注ぎ込める（このJSを <script> で読むとXSSになる）。
例: /jsonp/?callback=alert(document.domain)//

いまの設定: 検証 ON — OFFにする

試すリンク（レスポンスの中身が変わる）:

• ?callback=render（正常）
• ?callback=alert(1)//（注入。OFFだとそのまま返る）

対策

• そもそも JSONP を使わず CORS を使う（取得元オリジンを制限できる）
• やむを得ず使うなら callback 名を ^[A-Za-z0-9_]+$ で検証
• JSON は Content-Type: application/json で返し、ブラウザに直接開かせない