アカウント名:
パスワード:
GETパラメータだけで認証＆認可するとか、素人かな？工数不足かな？手抜きかな？
私の加入している某会員制ホテルグループのアプリはもっとひどかった自分のアプリに自分の会員No.をひもづける時にまさかの無認証会員番号はただの数字なので、適当な番号を入れると他人の会員権とひもづいてしまう笑そしてその場ですぐにアプリによって予約や予約の取り消しができるようになる笑
今までで見た一番ひどいシステムホテル業界ってあんまり情報セキュリティの概念がないのかな
メールからログインなしですぐにリンククリック後に状況を見たいなら、こうするしかない。(ヨドバシのメールもそうね、一応個人情報は隠してあるけど)。利便性の問題でもある。
サーバ側でGETリクエストを受け取ったら、情報をセッションに保持してから、GETパラメータを持たないURLにリダイレクトすれば、現状のURL仕様のままでも「Web解析、ソーシャルメディアアイコンといった外部のリソース」にGETパラメータを知らせないようにはできますね。
まあ、クッキーが使えない／使わないブラウザで見れなくなるけど、今時そこまで気にする必要はなさそう。
セッションIDに変換してGET、ないしはPOSTで遷移すれば良いのでは。IPアドレス変動環境(スマホ等)であればクッキーか不便のどちらかを受け入れてもらうしかないかな。
…そもそもどの程度保護してればOKなんだろ。埋め込んだスクリプトからなら大概のことできちゃうわけで……結局トラッキング可能な外部リソースは最初から設置せず全排除が最適解かな。
jsもcookieもオフにしてトラッキングブロックしてると生きづらい環境がこうしてできあがっていく…中にはgoogle analyticsのトラッキングjsが動かないとページ全体が死ぬサイトまであるつらい
Googleのマップかなんかの限定公開でもこんな感じでURLを知ってたら誰でもアクセスできてしまうガバガバ仕様だったことがあったような
それはURLを知っている人への公開という共有方法を選んだ場合の仕様そのアドレスを「こんな感じ」で抜き取る方法があったのならガバガバ仕様なのでしょうが、そのアドレスを抜き取る方法はあったのでしょうか？
顧客の要望ってやつですね。そう実装するしかなくなる。最も馬鹿な担当がそう言っているだけって気もするけれど。
予約に会員登録を必須とする→カネがかかる&客が逃げるメールに記載のアドレスからのGET+二段階認証→カネがかかる
こういう理由でシステム発注者に拒否されるんでしょうね…
本当に予約できたのか見たいだけならこれで十分だろ。キャンセルできたりするのが余分なだけで。# どうせ、ダブルブッキングにならない保証はないから。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
弘法筆を選ばず、アレゲはキーボードを選ぶ -- アレゲ研究家
手抜きすぎでしょ (スコア:0)
GETパラメータだけで認証＆認可するとか、素人かな？工数不足かな？手抜きかな？
Re:手抜きすぎでしょ (スコア:2)
私の加入している某会員制ホテルグループのアプリはもっとひどかった
自分のアプリに自分の会員No.をひもづける時にまさかの無認証
会員番号はただの数字なので、適当な番号を入れると他人の会員権とひもづいてしまう笑
そしてその場ですぐにアプリによって予約や予約の取り消しができるようになる笑
今までで見た一番ひどいシステム
ホテル業界ってあんまり情報セキュリティの概念がないのかな
Re:手抜きすぎでしょ (スコア:1)
メールからログインなしですぐにリンククリック後に状況を見たいなら、こうするしかない。(ヨドバシのメールもそうね、一応個人情報は隠してあるけど)。
利便性の問題でもある。
Re:手抜きすぎでしょ (スコア:2)
サーバ側でGETリクエストを受け取ったら、情報をセッションに保持してから、GETパラメータを持たないURLにリダイレクトすれば、
現状のURL仕様のままでも「Web解析、ソーシャルメディアアイコンといった外部のリソース」にGETパラメータを知らせないようにはできますね。
まあ、クッキーが使えない／使わないブラウザで見れなくなるけど、今時そこまで気にする必要はなさそう。
Re: (スコア:0)
セッションIDに変換してGET、ないしはPOSTで遷移すれば良いのでは。
IPアドレス変動環境(スマホ等)であればクッキーか不便のどちらかを受け入れてもらうしかないかな。
…そもそもどの程度保護してればOKなんだろ。
埋め込んだスクリプトからなら大概のことできちゃうわけで……
結局トラッキング可能な外部リソースは最初から設置せず全排除が最適解かな。
Re: (スコア:0)
jsもcookieもオフにしてトラッキングブロックしてると生きづらい環境がこうしてできあがっていく…
中にはgoogle analyticsのトラッキングjsが動かないとページ全体が死ぬサイトまである
つらい
Re: (スコア:0)
Googleのマップかなんかの限定公開でもこんな感じでURLを知ってたら誰でもアクセスできてしまうガバガバ仕様だったことがあったような
Re: (スコア:0)
それはURLを知っている人への公開という共有方法を選んだ場合の仕様
そのアドレスを「こんな感じ」で抜き取る方法があったのならガバガバ仕様なのでしょうが、
そのアドレスを抜き取る方法はあったのでしょうか？
Re: (スコア:0)
顧客の要望ってやつですね。
そう実装するしかなくなる。
最も馬鹿な担当がそう言っているだけって気もするけれど。
Re: (スコア:0)
予約に会員登録を必須とする→カネがかかる&客が逃げる
メールに記載のアドレスからのGET+二段階認証→カネがかかる
こういう理由でシステム発注者に拒否されるんでしょうね…
Re: (スコア:0)
本当に予約できたのか見たいだけならこれで十分だろ。
キャンセルできたりするのが余分なだけで。
# どうせ、ダブルブッキングにならない保証はないから。