usercontents.misskey.xyzを別ドメインにする

[rinsuki]

問題の詳細

usercontents.misskey.xyzがmisskey.xyzのサブドメインであることにより、第三者がusercontents.misskey.xyz上にアップロードしたHTMLファイルを通じてクッキーの取得やAPIのコールなどをすることができます。
これは問題ではないでしょうか。

[rinsuki]

usercontentsが同じドメイン下にあったらWeb起動時に警告を出すのはどうでしょう

[syuilo]

Web-File間で依存がないため、同じドメインにあるかどうかを知るのは無理そう

[rinsuki]

APIにAPIの一部設定を取得できるAPIを作れば良さそう

[syuilo]

そのAPIを利用すると間接的にWebはFileを「知る」事になってしまう

[syuilo]

Webはファイルがどういうふうに提供されているかは知らなくて良い設計になっています

[rinsuki]

ｈｍ