y-matsui::weblog

電子楽器、音楽、コンピュータ、プログラミング、雑感。面倒くさいオヤジの独り言

RSSフィード:セキュリティの問題が結構難しい

RSSを参照した際に、リダイレクトされる件の原因が判明
「セッションを持っていない場合には強制的にログイン画面に遷移する」というアプリケーションのセキュリティをすっかり忘れていた(汗)。RSS書き出し機能を思いついた際、自分でも認識していたのに・・・熱くなると忘れてしまう。
”ログインを経由しないで(経由してもいいけど)ダイレクトに文書にアクセスするための方法”を別途用意しなければいけないのであった。
RSS書き出し用のaspファイルにアクセスする部分で匿名アクセス(ログインしなくても参照できる)を許可するか、RSSの参照の時点で認証を必要とするか・・・。RSSリーダからユーザ名、パスワードを送って認証させたいがここでも問題がある。今の文書管理システムは基本認証ではない、アプリ独自の認証方法を利用しているので、一般に出回っているRSSリーダでは対応できない。匿名アクセスを許容するのであれば、更新情報を書き出すプログラムは別サイトとし(別のglobal.asaを使う)、別のセキュリティのコンテンツとして用意しなければならない。

全くの公開サイトで更新情報をフィードするのとは異なり、匿名ユーザからの攻撃を排除しながらも、シームレスな認証を行わなければならないのは結構難しい。(RSSの目的とは相反する部分が出てきちゃう?)
システム全体のセキュリティ設計をRSSフィードのために緩めるというのは本末顛倒だ。
元々、システムに登録されているユーザが対象の更新情報告知機能なので、ユーザ認証は必須だろうなぁ。めんどくさいなぁ。