Because I want to get into the habit of blogging on a regular basis, I thought it would be a fun idea to write a series of articles on one of my favourite topics: HTTP and Webservices. To start, I began writing an article for every HTTP status code. I only realized after I drafted the first few, that the IANA page actually lists 68 official ones. Definitely a bit more than I thought, but I started

このページはコミュニティーの尽力で英語から翻訳されました。MDN Web Docs コミュニティーについてもっと知り、仲間になるにはこちらから。 �� ?View in English � �쪪Always switch to English コンテンツセキュリティポリシー (CSP) は、特定の種類のセキュリティ脅威のリスクを防止または最小限に抑えるのに役立つ機能です。これは、ウェブサイトからブラウザーへの一連の指示で構成されており、サイトを構成するコードが実行できることを制限するようにブラウザーに指示します。 CSP の主な用途は、文書が読み込むことを許可するリソース、特に JavaScript リソースを制御することです。これは主に、攻撃者が被害者のサイトに悪意のあるコードを注入するクロスサイトスクリプティング (XSS) 攻撃に対する防御として使用されます。 CSP には他にも、ク

「HTTP Availability Hints」という提案仕様がMark Nottinghamによって提出されています。 この提案仕様では、キャッシュで使用されるVaryを補助します。この情報により、キャッシュサーバは効率が向上します。 背景 例えば Client 1から英語(en)のコンテンツが要求され、CDNは英語コンテンツをキャッシュする Client 2から日本語(ja)のコンテンツが要求される CDNがOriginからレスポンスを受け取った際に、"vary: Accept-Encoding" がついています。そのため、CDNはオリジンのコンテンツがaccept-languageに依存していると判断して、日本語(ja)の要求をOriginにプロキシします。 このとき、Originが日本語(ja)には対応しておらず結局英語(en)のコンテンツが返ってくることもあります。CDNは英語

●どんな本なの？ 本書は対話形式で気軽にQUIC,HTTP/3の概要を学ぶことを目的とした技術同人誌です。 プログラムに似た魔法が発展している異世界を舞台に 『主人公は魔法技術競技会での優勝を目指す精霊魔術師で……』というような軽いストーリー仕立てで解説が進行します。 楽しみながらQUIC,HTTP/3を学んで貰えれると筆者としても嬉しく思います。 ●HTTP/3って何？ HTTP/2 の弱点を克服することができるHTTPの最新バージョンです その他、ネットワークの切り替わり時にもコネクションを維持できたり、ハンドシェイク時の通信回数が削減されていたりと様々な機能のアップデートが入っています ●読む上であると良い知識 ハンドシェイク等のTCPの基本をなんとなくわかっている方が望ましいです パケットロスや暗号化等のネットワークの基礎知識もほんのりあると理解が深まります HTTP/2の知識はま

WebHookはシステム連携するのに便利な仕組みですが、呼び出されるのがサーバ側とあって、開発時の確認がしづらいのが問題です。ngrokなどを使ってローカル環境を外部に繋ぐこともできますが、準備が面倒と感じる人もいるでしょう。 そこで使ってみたいのがHTTP Responderです。WebHookの内容を確認できるWebサービスです。 HTTP Responderの使い方 最初に自分の好きなURLを設定します。 後はそのURLに来たアクセスについて、細かく情報が確認できます。 HTTP Responderで設定したURLをWebHookに設定することで、どういった情報が送られてくるかが一目で分かるようになります。さらにレスポンスも決めることができます。URLを複数作れるので、サービスごとに分けられるのも便利です。 HTTP Responderはnode/JavaScript製のオープンソー

3. 副作用 冪等、安全、キャッシャブルのセクションに入る前に、まず「副作用」について解説します。 2014 年 6 月に廃止された RFC-2616 の「9.1 安全と冪等メソッド」のセクション では、「副作用（side effects）」という表現が使用されてきましたが、多くの方は、この「副作用」のことを、「リソースの状態の変化」と解釈されてきたことと思います。[ 1 ] 特に関数型プログラミングにおいては頻出する表現ですが、ソフトウェア工学的にも コンピューターの論理的な状態を変化させ、以降の結果に影響を与えること [ 2 ] とされています。 しかし、HTTP の「冪等と安全」の解釈の混乱を招いてきた要因 [ 3 ] の一つのは、この「副作用」の表現方法が適切ではなかった、ということではないでしょうか。 以下では、その理由について解説しますが、その必要のない方はこのセクションはスキ

20200116追記 chrome://flags/ より、「Experimental Web Platform features」を有効にすることで使用できます 20191210追記 モバイルブラウザを示すブーリアン値をもつSec-CH-UA-Mobileヘッダが仕様に追加されました。 ユーザエージェントは歴史的背景により、複雑な文字列が使用されています。 iOSでは User-Agent: Mozilla/5.0 (iPhone; CPU iPhone OS 12_0 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) CriOS/69.0.3497.105 Mobile/15E148 Safari/605.1Edgeでは User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64

と書けます。 省略することで、遷移元のページを httpで開いているときはhttpでアクセスさせられます。 httpsで開いているときはhttpsでアクセスさせることができます。 <a>以外にも<script>, <iframe>, <link>などURI全般でこの書き方を使えます。CSSでも使えます。 メリット httpsで開くページの中にhttpのリンクが混在することを予防できます。 逆に混在すると中間者攻撃を受ける可能性がありますが、それを防ぐことができます。 中間者攻撃を受ける理由は、おおざっぱにいってこうなっています： ユーザがhttpsを使って、あるページにアクセス そのページにhttpへのリンクが混在していると、httpなアクセスが飛ぶ 攻撃者がhttpコンテンツを置き換えたり盗聴したりする また、混在していると、ブラウザの設定によって警告が表示されたりします。Google

20190215追記 Sec-MetadataはFetch Metadataになりました asnokaze.hatenablog.com CSRF攻撃やクロスドメインリクエストに対してサイドチャネル攻撃をすることで、情報がリークすることがあります。 それを防ぐために、どのようにHTTPリクエストが行われたかサーバサイドでより詳しく判断できるように、Sec-Metadataヘッダという仕様がW3Cの WebAppSec WGで議論されています。仕様については提案者のMike West氏のリポジトリに説明があります「Sec-Metadata (TODO: Bikeshed the name)」 すでに、Chromeへの導入も検討されています。 「Intent to Implement: The `Sec-Metadata` HTTP request header.」 例を見るとより分かりやすい

ブラウザがリソースをFetchするさいに、そのFetchに関するメタ情報をリクエストヘッダに付与するというのがFetch Metadataという仕様です。 この情報を用いれば、画像の読み込みのFetchで銀行用のAPIが叩かれるはずがないといった、明らかな不正なリクエストを検知することができるようになる。 毎度おなじみGoogleのMike West氏によって仕様「Fetch Metadata Request Headers」が書かれている。 以前「Sec-Metadataヘッダについて」で紹介したSec-Metadataをより改良したものです。 ヘッダを分けることでヘッダ圧縮の仕組みとも相性が良くなっています。 Example 以下のような、そのフェッチに関する情報を示すSec-Fetch-*ヘッダが付与される。 Sec-Fetch-Dest: image Sec-Fetch-Mode:

#現象Chrome76 から、クロスオリジンのネットワークリクエストを発行した際の preflight(OPTION リクエスト)が devtool 上で見れなくなっている。 #原因Chrome76 から OOR-CORS(Out-of-Blink web security implementation)というプロジェクト(?)によってネットワークのセキュリティ関係の処理が Blink から移され、その影響で devtool から preflight を確認することができなくなったらしい。 ちなみに OOR-CORS 自体は v76 以前から実装されていたが、v76 でデフォルトで有効になるように変更された模様。 #対処chrome://flags/#out-of-blink-corsを無効にし、Chrome を再起動することで preflight がネットワークタブでも確認できるようにな

As per title, what is the maximum length a URL can be, when using a custom URL scheme with an app? e.g. If I'm launching another app via URL, and passing a blob of data using something like myappscheme://some/path?data=0123456789ABCDEF how long can that string get before the URL gets cut off (or the system refuses to launch the other app at all)?

RFC 2616 (Hypertext Transfer Protocol — HTTP/1.1) states there is no limit to the length of a query string (section 3.2.1). RFC 3986 (Uniform Resource Identifier — URI) also states there is no limit, but indicates the hostname is limited to 255 characters because of DNS limitations (section 2.3.3). While the specifications do not specify any maximum length, practical limits are imposed by web brow