classics.

2012/08/23 Thuflickr

KULINEのアップデートの件

先日KULINEがアップデートされたというので使ってみようということで適当なキーワードで検索してみたのだけれど、

gyazo

こんなページに飛ばされて、初日だからアクセス急増とかでぶっ壊れたのかと思って色々調べてみたらリファラを同一ドメインから送信しないと検索できないっぽくて、なんで検索でリファラ見てんだよと思って問い合わせてみた。

そうしたら「画面遷移してからAPIをPOSTで叩いて検索結果取得してるしCSRF対策でやってるから」という旨の回答が来て、検索するのにCSRF対策とかいらないだろうと、百歩譲っているとしても必須のヘッダじゃないリファラチェックするとか火星に探査機が行く時代にしていいことじゃないだろという旨折り返したら、「開発元(富士通らしい)に聞いたら内部のAPI的な物は全部POSTで、検索するのにCSRF対策必要ないっちゃないけど今後の実装漏れあると困るし一括でリファラもチェックするようにしてる」という旨返ってきて、月480万円で保守する富士通の技術力はほんとしょうもないと思いました。

Trackbacks

Comments

火星に探査機が行く時代だろうがなんだろうが、
最先端のテクノロジーがいかに進歩してようが、
コンピュータとインターネットはそれらに高度な知識とリテラシーを備えた
人達のみ限定のものではなく、リテラシーの低い一般人にも開放されてる以上
運用では後者に合わせて利便性や選択肢の幅よりも
不便でも安全性の方向を優先するのは現実的な解かと。

なにせ、出自の分からないソフトを拾って無警戒に実行してマルウェアにかかる人、
IPアドレスが実行犯特定の確証と思っている捜査・司法機関の面々、
これがどうしようもない現実社会なのですから。
安全性を損なわずにまともな実装できるだろと言っているのであって、
本文理解せずに投書欄代わりにするのやめろ
国内大手SIerなんてどこもそんなもん
特定の場合だけ除外と例外処理を設ければそれだけ複雑性、手間暇が増すわけだし
年数たって担当者が変更、バージョンアップなどで新任者がうっかり
設定を間違えるなど往々にあるわけで、だから「安全性の方向を優先」と書いたんですが。

自分の意に沿わない意見を理解せず
「本文理解せずに投書欄代わりにするのやめろ」
で自分だけが気持ちいい世界を維持したいなら
最初からコメント欄を閉じとくなり
注意書きに「oquno様が気に入らなさそうなコメントの投稿は禁止」って
注意書きしといてくださいよ。
そうすればお互い不幸な出会いを回避できるんだから
特定の場合だけ除外とかじゃなくて普通API自体分けるし
それ以前に検索ページに無駄にJavaScriptでロードする処理入れません。
注意書きではないけれど通りすがりという名前は有益なコメント
書いてるの見たことないので以前よりブラクラ等にリダイレクト
するのを検討してます。

Comment form