レスポンスボディの符号化

Chatter REST API は、ユーザが送信したコンテンツを配信します。このコンテンツの多くは、入力時に絞り込みされず、サードパーティのモバイルアプリケーションや Web アプリケーションなど、雑多なソースから送られてくる場合があります。そのため、Chatter REST API 出力を使用するアプリケーションを作成する開発者は、データを使用するコンテキスト用に出力を適切に処理するように考慮する必要があります。これに失敗すると、アプリケーションとそのユーザがクロスサイトスクリ���ト (XSS) 攻撃やその他の問題にさらされ、結果的にデータ損失、アプリケーション障害、会社の機密情報の漏洩などにつながる可能性があります。

Chatter REST API 文字列は、デフォルトでは最小限に符号化された HTML エンティティであり、多くの場合は HTML タグ間の表示に適していますが、他の HTML コンテキストには適しているとは限りません。Chatter REST API 出力は、多くのコンテキストで使用される可能性があります。開発者は、デフォルトのエンティティ符号化がすべてのコンテキストに適していると想定しないでください。特に、Chatter REST API 出力を HTML 属性値内、URL 内、JavasScript 内、スクリプトタグ内、CSS 内で使用する場合は、それぞれ異なる符号化とホワイトリスト登録が必要になります。  さまざまなコンテキストでの API 出力の処理用法についての詳細は、オープン Web アプリケーションセキュリティプロジェクトを参照してください。

ネイティブのモバイルアプリケーションなど、非 HTML コンテキストの場合、Chatter REST API クライアントが、要求内の X-Chatter-Entity-Encoding HTTP ヘッダーを false に設定して、未加工 (符号化されていない) の出力を要求する場合があります。

Chatter REST API は、応答ペイロードに含まれる URL 値に特殊な符号化を行います。URL の主部分は、RFC2396 に従って URL 符号化され、クエリ文字列は HTML 形式で符号化されます。この符号化は無効にできません。