JSONP
別名：JSON with Padding
JSONPとは、JavaScriptから派生した軽量なデータ記述形式であるJSON（JavaScript Object Notation）を用いた関数呼び出しの仕組みのことである。
JSONPでは、HTML/XHTMLにおいて、scriptタグのsrc属性に呼び出したい相手先のURLを指定し、JSON形式で返された処理結果を関数評価することで、最終的な処理結果を得るという仕組みになっている。scriptタグのsrc属性には、呼び出し側とは異なるドメインのURLを指定することができるため、異なるドメインにJSONによるリクエストを投げ、他のドメインで提供されている機能を直接呼び出すことが可能となる。JSONを使用するためデータ交換が軽量であることもあり、JSONPはマッシュアップを行うために適した技法の一つとして注目されている。
なお、JSONPのようにHTTPを通じてリクエストを投げ、データ受け取るための仕組みとしては、XHR（XMLHttpRequest）などがある。ただしXHRで関数呼び出しを行うことができるのは同一ドメイン内における関数のみであるという点でJSONPとは異なる。
JSONP
出典: フリー百科事典『ウィキペディア（Wikipedia）』 (2024/05/14 15:17 UTC 版)
 | |
| 拡張子 | .jsonp |
|---|---|
| MIMEタイプ | application/json-p |
| 種別 | Data interchange |
| 派生元 | JSON、JavaScript |
| ウェブサイト | www (リンク切れ，アーカイブweb archive) |
JSONP (JSON with padding) とは、scriptタグを使用してクロスドメインな（異なるドメインに存在する）データを取得する仕組みのことである。HTMLのscriptタグ、JavaScript（関数）、JSONを組み合わせて実現される。
クロスドメインな通信を実現する方法としては、後にオリジン間リソース共有 (CORS)も開発され、JSON-Pに代わる選択肢となっている。
仕組
ウェブブラウザなどに実装されている「同一生成元ポリシー」という制約により、ウェブページは通常、自分を生成したドメイン以外のドメインのサーバと通信することはできない。 しかし、HTMLのscriptタグのsrc属性には別ドメインのURLを指定して通信することができるという点を利用することによって別ドメインのサーバからデータを取得することが可能になる。
JSONPでは、通常、上記src属性のレスポンスの内容はJavaScript関数呼び出しの形式となるため、src属性に指定するURLにその関数の名前をクエリ文字列の形式で付加する。一般的な方法では、この時に指定する関数名はウェブページ側ですでに定義されているコールバック用の関数の名前になる。
関数名を渡すリクエストパラメータの名前はサーバとクライアント間で事前に取り決めておく必要がある。
例えば（callbackというパラメータ名でparseResponseという関数名を渡す場合）
<script type='text/javascript'
src='http://another.domain.example.com/getjson?callback=parseResponse'>
通常は、上記リクエストのレスポンスとして、JSON形式のデータを引数とする関数の呼び出し文が返される。
この関数の呼び出し文がブラウザにより解釈・実行されることで、データの受信完了の検知とコールバック処理が可能になっている。
上記の例では、parseResponseという関数の呼び出し文が返される。
parseResponse({"Name":"Smith","Rank":7})
注意点
JSONPでは、クロスサイトリクエストフォージェリ（英: cross-site request forgery、CSRF）に対する脆弱性に注意が必要である。 このscriptタグを使う方法では同一生成元ポリシーが適用されず、またサーバのエンドポイントは外部に公開されているため、悪意のあるサイトがJSONデータを取得するといったことが可能であることから、機密情報や個人情報などのデータを取り扱うには不向きである。 また、scriptタグを埋め込む側においても、リモートサイトから任意の内容のデータをページに差し込むことが可能であるため、そのリモートサイトが悪意のあるサイトである場合やJavaScriptインジェクションに対する脆弱性がある場合は、その脆弱性を突かれることで、アカウント情報を盗まれたり、元のサイトも影響を受けたりする可能性がある。
データを提供するサーバ側では、リクエストの正当性を検証するのが適切である。 但し、Cookieだけを使用した検証は、CSRFに対して脆弱であるため、不十分である。
Dojo Toolkit、Google Web ToolkitなどのライブラリでJSONPがサポートされている。
関連項目
- 同一生成元ポリシー
- クロスサイトリクエストフォージェリ (CSRF)
外部リンク
| 概念 | |
|---|---|
| エンジン | |
| コンパイラ | |
| デバッガ | |
| エディタ | |
| サーバーサイド |
|
| フレームワーク・ライブラリ | |
| ユニットテスト |
|
| Docジェネレータ | |
| コード解析 | |
| パッケージ管理 | |
| アプリケーションバンドラー | |
| 関連技術 | |
| 人物 | |
 | この項目は、インターネットやウェブに関連した書きかけの項目です。この項目を加筆・訂正などしてくださる協力者を求めています（PJ:コンピュータ/P:コンピュータ）。 |
 | この項目は、ソフトウェアに関連した書きかけの項目です。この項目を加筆・訂正などしてくださる協力者を求めています（PJ:コンピュータ/P:コンピュータ）。 |
- JSONPのページへのリンク
