_ ブログサービスの XSS 脆弱性対策はいらない

不勉強なのでわからないのだけれど、何らかの理由で、はてなでは管理画面のドメイン変更がスクリプト制限に神経を遣うより高コストなのかな?

たいていのblogサービスではいわゆる管理機能のみでユーザー認証（のCookieによる継続）を利用しているけど、はてなの場合は「管理機能」だけではなく、一般ユーザーレベルの閲覧操作でも「ユーザー認証」されていることを活用し、SNS的な機能（閲覧ユーザー権限による分岐。たとえばプライベートモードとかはてなグループとか）を実現している。だからはてなでは、管理機能だけを別扱いにするだけでは、XSS（によるユーザー認証の乗っ取り）対策にはならない。はてなのSNS的な機能をオフにするか、現在とはまったく違った（閲覧ユーザー認証が乗っ取られたときの危険性を許容範囲まで下げるような）システムデザインで実装し直すか、する必要がある。

ちなみに今はクリティカルな部分（ポイントの扱いとか退会処理とか）は別認証になったから、ずいぶん認証が乗っ取られたときの危険性は下がったけど、昔（住所登録騒動が起こる前）はクリティカルな操作も同じ認証で行っていた。逆に言うと、現在は分離されているクリティカルな操作に関する認証以外の部分は、はてなのサービス全体の設計およびユーザービリティ的に分離できない部分なんだと思う。というのは憶測。